HackToLive Academy

24/09/2026

🚨 WordPress CVE-2026-87902 - প্যাচ রিলিজের কয়েক ঘণ্টার মধ্যেই শুরু Active Exploitation!

সম্প্রতি WordPress এর একটি অত্যন্ত ক্রিটিক্যাল vulnerability (CVE-2026-87902) উন্মোচিত হয়েছে, যার CVSS Score 9.2 । সবথেকে অ্যালার্মিং বিষয় হলো, vulnerability-টি disclose হওয়ার মাত্র কয়েক ঘণ্টার মধ্যেই হ্যাকাররা এটি active exploit করা শুরু করে দিয়েছে।
যেহেতু WordPress বিশ্বের অন্যতম জনপ্রিয় CMS, তাই এই অ্যাটাকের ইমপ্যাক্ট অনেক বড় হতে পারে। আজ আমরা এই vulnerability এর একটি in-depth technical analysis করবো।

🔹 Vulnerability Overview: কী এই CVE-2026-87902?

এটি মূলত একটি Unauthenticated Remote Code Ex*****on (RCE) Vulnerability। অর্থাৎ, কোনো হ্যাকারকে ওয়েবসাইটে লগ-ইন করতে হবে না, লগইন বাইপাস করেই সে সার্ভারে কমান্ড রান করতে পারবে।

▫️Technical Root Cause:

WordPress-এর কোর ফাংশন get_page_template() এ একটি লজিক্যাল ত্রুটি রয়েছে। এই ফাংশনটি মূলত পেজ টেমপ্লেট খোঁজার কাজ করে। একজন unauthenticated অ্যাটাকার এই page-template resolution প্রসেসকে ম্যানিপুলেট করে active theme ডিরেক্টরির বাইরের যেকোনো readable .php ফাইল include করতে পারে।

সহজ কথায়, এটি একটি Local File Inclusion (LFI) ভলনারেবিলিটি, যা নির্দিষ্ট কিছু সার্ভার কনফিগারেশনে সরাসরি RCE-তে রূপ নেয়।

⚠️ The Pre-requisites: কখন আপনার সাইট ঝুঁকিতে থাকবে?

সৌভাগ্যবশত, যেকোনো WordPress সাইটেই এই অ্যাটাক সরাসরি কাজ করবে না। Successful exploitation-এর জন্য সার্ভার এবং থিমের দুটি নির্দিষ্ট precondition মেলা আবশ্যক:

▫️ Theme Directory Structure: আপনার ওয়েবসাইটের active child বা parent থিমের ভেতরে এমন একটি top-level ডিরেক্টরি থাকতে হবে যার নাম page- দিয়ে শুরু হয় (যেমন: page-templates)।

▫️ Target File Availability: সার্ভারে একটি নির্দিষ্ট .php ফাইল আগে থেকেই থাকতে হবে যা web server অ্যাকাউন্ট দ্বারা readable। (হ্যাকারদের সবচেয়ে প্রিয় টার্গেট হলো pearcmd.php)।

🛠️ The Attack Chain: হ্যাকাররা যেভাবে Exploit করছে

সাইবার সিকিউরিটি ফার্ম Previdian এবং Patchstack এর থ্রেট ইন্টেলিজেন্স রিপোর্ট অনুযায়ী, অ্যাটাকাররা অত্যন্ত স্মার্ট একটি পদ্ধতি ব্যবহার করছে।

ধাপ ১: pearcmd.php টার্গেট করা
অ্যাটাকাররা LFI ব্যবহার করে সার্ভারে থাকা /usr/local/lib/php/pearcmd.php ফাইলটিকে ইনক্লুড করছে। এই ফাইলটি অনেক লিনাক্স সার্ভারে ডিফল্টভাবে থাকে।

ধাপ ২: File Write & Payload Drop
pearcmd-এর কিছু নির্দিষ্ট প্যারামিটার ব্যবহার করে তারা সার্ভারের /tmp/ বা /var/tmp/ ডিরেক্টরিতে নিজেদের বানানো একটি malicious PHP ফাইল রাইট করছে।

ধাপ ৩: Web Shell Ex*****on
এই ড্রপ করা ফাইলের মাধ্যমে তারা GitHub-এ হোস্ট করা একটি PHP web-shell (যেমন: uploader.php) সার্ভারে ডাউনলোড করে এবং তা এক্সিকিউট করে সাইটের পূর্ণ নিয়ন্ত্রণ নিয়ে নেয়।

🔹 Honeypot নেটওয়ার্কে দেখা গেছে, হ্যাকাররা সার্ভারে নিচের নামের ফাইলগুলো ড্রপ করছে:

▫️ wp-pear-rce-flag.php
▫️ poc87902.php
▫️ luci_.php
▫️zeta_.php

🔹 Real-world Exploitation Data

▫️ টাইমলাইন: গত ২২ সেপ্টেম্বর, ২০২৬ তারিখে WordPress প্যাচ রিলিজ করে। আর ঐ দিন সকাল ১১:৪৯ (UTC) থেকেই হ্যাকাররা mass-exploitation শুরু করে দেয়!

▫️Indicators of Compromise (IoCs): অ্যাটাকগুলো মূলত US (New Jersey) এবং Indonesia-এর বিভিন্ন IP address থেকে আসছে (যেমন: 104.194.9[.]227, 43.250.53[.]42, 180.251.159[.]243)।

▫️প্রথমে তারা শুধু harmless কোর ফাইল দিয়ে reconnaissance (তথ্য সংগ্রহ) করছিল, কিন্তু এখন সরাসরি malicious পে-লোড পুশ করছে।

🔹 Remediation: কীভাবে সুরক্ষিত থাকবেন?

যেহেতু WordPress-এর auto-update ডিফল্টভাবে অন থাকে, তাই অনেক সাইট ইতিমধ্যে সুরক্ষিত। তবে ম্যানুয়ালি কিছু পদক্ষেপ নেওয়া জরুরি:

▫️Update Immediately: যত দ্রুত সম্ভব আপনার WordPress আপডেট করে লেটেস্ট ভার্সন 7.1.2 (অথবা আপনার মেজর ভার্সনের সিকিউরিটি রিলিজ যেমন 7.0.6, 6.9.9, 6.8.10) ইন্সটল করুন।

▫️ Audit Server Logs: আপনার সার্ভারের এক্সেস লগ চেক করুন। /tmp বা /var/tmp ডিরেক্টরিতে সন্দেহজনক কোনো ফাইল রাইট হয়েছে কিনা তা ভেরিফাই করুন।

▫️Review Theme Folders: আপনার থিমে page- দিয়ে শুরু হওয়া কোনো অপ্রয়োজনীয় ডিরেক্টরি থাকলে তা রিনিম বা রিমুভ করে দিন।

পরিশেষে বলতে গেলে Cybersecurity এর জগতে "Time to Patch" এখন অত্যন্ত ক্রিটিক্যাল। হ্যাকাররা এখন আর মাসের পর মাস অপেক্ষা করে না; zero-day বা 1-day রিলিজের কয়েক ঘণ্টার মাঝেই exploit লেখা শুরু করে দেয়। তাই ক্লায়েন্ট বা নিজের সাইট সবসময় আপ-টু-ডেট রাখুন!

পোস্টটি আপনার পরিচিত ডেভেলপার বা সিস্টেম অ্যাডমিনদের সাথে শেয়ার করে তাদের সতর্ক করে দিতে পারেন। এই অ্যাটাক চেইনটি সম্পর্কে আপনার কী মতামত? কমেন্টে জানাতে পারেন!

24/09/2026

🚩 BCS CTF 2026 is going live soon!

As a Community Partner of BCS ICT Fest 2026, HackToLive Academy invites you to join the challenge, build your team, and compete on the global scoreboard. 🔥

📅 25–27 September 2026
🌐 Free & Online

Register now: https://ctf.bcsictfest.com/

22/09/2026

Today is the last day for registration.

🚩 CAPTURE THE FLAG (CTF) RECRUITMENT 🚩

Are you interested in Cybersecurity & CTFs? 🔐
Want to learn, practice, and participate in National & Inter-University CTF competitions with the HackToLive Community?

Then join us! 🚀

🏴 CTF Categories

🔹 Web Exploitation
🔹 Reverse Engineering (Rev)
🔹 Binary Exploitation (PWN)
🔹 Digital Forensics & Incident Response (DFIR)
🔹 OSINT & Miscellaneous

🌱 Who Can Join?

Everyone! 💯

Whether you are:

🟢 A complete beginner
🟡 Have basic cybersecurity knowledge
🔴 Already experienced in CTFs

Last Date : 22/09/2026

You are welcome to join us.

You don't need to know everything before joining.
We'll learn, practice, solve challenges, and grow together. 🤝

🎯 What We Are Looking For

We don't care about how much you know.

We care about dedication. 🔥

Register here :
https://docs.google.com/forms/d/e/1FAIpQLSesvbcVY16bbZ8wXIzoMMc31f-1aqTsdgRAv44FB3nUPvqG9w/viewform?usp=sharing&ouid=105421122340526688518

📢 If you want to start your CTF journey and represent HackToLive in National & Inter-University CTF competitions, register now!

Join HackToLive. Build your skills. Become a CTF player. 🚩🔥

20/09/2026

CTF-এর Web Challenge দেখলে প্রথমে কী করবেন? 🧩

একটা Web Challenge পেলেন।
Website খুললেন। Login page দেখলেন। কিছু parameters দেখলেন।

এখনই কি SQLi, XSS বা অন্য কোনো payload ছোড়া শুরু করবেন?

না।

Web Exploitation-এর সবচেয়ে গুরুত্বপূর্ণ skill হলো আগে Application বুঝুন, তারপর Attack Surface খুঁজুন।

🔍 01. প্রথমে Application-টা বুঝুন

Challenge-এর website-টা কিছুক্ষণ explore করুন।

খেয়াল করুন:

→ কী কী page আছে?
→ Login / Register আছে?
→ Search বা input field আছে?
→ URL-এ parameters আছে?
→ File upload আছে?
→ API endpoint আছে?
→ Cookie / Session কীভাবে কাজ করছে?
→ User role বা permission-এর কোনো difference আছে?

কোনো functionality-কে ছোট করে দেখবেন না।

অনেক সময় vulnerability এমন জায়গায় থাকে যেটা প্রথম দেখায় খুব সাধারণ মনে হয়।

🗺️ 02. Attack Surface Map করুন

এখন খুঁজুন application-এর কোথায় কোথায় user-controlled input যাচ্ছে।

Focus করুন:

Endpoints
Parameters
Directories
API Routes
HTTP Methods
Cookies
Headers
File Uploads
Hidden Functionality

Useful tools:

Burp Suite
ffuf
Gobuster
curl
Nmap

লক্ষ্য হলো:

“এই application-এর কোন কোন জায়গায় আমি input বা request control করতে পারছি?”

🛰️ 03. Burp Suite দিয়ে Traffic দেখুন

Web CTF-এ Burp Suite আপনার সবচেয়ে গুরুত্বপূর্ণ tools-এর একটি।

Request intercept করে দেখুন:

• GET / POST / PUT / DELETE
• Parameters
• Cookies
• Authorization headers
• Content-Type
• Response codes
• Redirects
• Server responses

একই request সামান্য পরিবর্তন করলে application কীভাবে react করে, সেটাও লক্ষ্য করুন।

Response অনেক সময় vulnerability-এর clue দেয়।

🎯 04. এখন Vulnerability Hunt করুন

Attack surface বোঝার পর common Web vulnerabilities check করুন।

💉 Injection

• SQL Injection
• Command Injection
• NoSQL Injection
• SSTI

🌐 Client-Side

• Reflected XSS
• Stored XSS
• DOM XSS
• CSRF

🔐 Authentication & Access Control

• Authentication Bypass
• IDOR
• Privilege Escalation
• Session-related issues

📁 File & Server-Side

• Path Traversal
• File Upload vulnerabilities
• SSRF
• XXE
• Local/Remote File Inclusion

⚙️ Modern Web

• JWT vulnerabilities
• API Security issues
• Race Conditions
• HTTP Request Smuggling
• Business Logic vulnerabilities

সব challenge-এ সব vulnerability থাকবে না।

Challenge-এর functionality অনুযায়ী hypothesis তৈরি করুন।

🧠 05. Payload মুখস্থ নয়, Logic বুঝুন

Web Exploitation শেখার সময় সবচেয়ে বড় ভুল:

“কোন payload কাজ করবে?”

এর বদলে প্রশ্ন করুন:

“Application কেন এই input-টাকে trust করছে?”

তারপর দেখুন:

Input → Processing → Validation → Application Logic → Output

এই flow-এর কোথায় unexpected behavior হচ্ছে সেটা খুঁজুন।

কারণ অনেক Web CTF-এর vulnerability কোনো obvious payload-এর মধ্যে নয়। Application logic-এর মধ্যেই লুকিয়ে থাকে।

🔄 06. Test → Observe → Modify

একটা payload কাজ করল না?

Random payload spam করবেন না।

বরং:

Test
↓
Observe Response
↓
Understand Behavior
↓
Modify Request
↓
Test Again

HTTP status code, response length, error message, headers, timing এবং content-এর ছোট পরিবর্তনও গুরুত্বপূর্ণ clue হতে পারে।

🚩 07. তারপর Exploitation

Vulnerability সম্পর্কে confidence তৈরি হলে exploitation করুন।

নিজেকে জিজ্ঞেস করুন:

What is vulnerable?
Why is it vulnerable?
How can I control it?
What can I reach from here?
Where is the flag?

এভাবে এগোলে আপনি শুধু flag capture করবেন না। কেন vulnerability কাজ করেছে সেটাও বুঝবেন।

🧩 Web CTF Quick Flow

Understand the Application
↓
Map the Attack Surface
↓
Intercept Requests
↓
Analyze Parameters & Functionality
↓
Identify Potential Vulnerabilities
↓
Test & Validate
↓
Exploit
↓
Capture the Flag 🚩

🛠️ Essential Tools

Burp Suite: HTTP interception & testing
Browser DevTools: Client-side analysis
curl: Manual HTTP requests
Nmap: Service & attack-surface discovery
ffuf / Gobuster: Content & endpoint discovery

🎓 কোথায় Practice করবেন?

PortSwigger Web Security Academy

Web vulnerabilities শেখার জন্য interactive labs এবং structured learning resources।

Root Me

Web-Client, Web-Server এবং অন্যান্য security categories-এর hands-on challenges দিয়ে Web Exploitation practice করার জন্য useful CTF platform।

Hack The Box Academy

Guided modules এবং hands-on pe*******on testing practice।

TryHackMe

Beginner-friendly Web Security এবং CTF learning paths।

picoCTF

Beginner থেকে intermediate level-এর বিভিন্ন Web Exploitation challenges।

OverTheWire

Security fundamentals এবং problem-solving skill develop করার জন্য useful platform।

📌 মনে রাখবেন

Web Exploitation ≠ Payload মুখস্থ করা।

একজন ভালো Web Exploitation learner প্রথমে জানতে চায়:

“এই application কীভাবে কাজ করে?”

তারপর খুঁজে:

“কোথায় application-এর expected behavior ভেঙে যাচ্ছে?”

এই mindset-টাই CTF-এর Web category-তে আপনাকে অনেক দূর এগিয়ে দেবে।

💾 Save this post.

পরেরবার কোনো Web Challenge পেলে এই flow-টা reference হিসেবে ব্যবহার করুন।

🔗 HackToLive Community

🌐 Website:
hacktolive.net

💬 WhatsApp Community:
https://chat.whatsapp.com/BuCdXj6pC929dwuCx2dpXz

💻 Discord Server:
https://discord.gg/cguqMjzGn

HackToLive Academy
Learn. Practice. Build. Secure.

20/09/2026

3 Days Left 💀💀
Register now!!

🚩 CAPTURE THE FLAG (CTF) RECRUITMENT 🚩

Are you interested in Cybersecurity & CTFs? 🔐
Want to learn, practice, and participate in National & Inter-University CTF competitions with the HackToLive Community?

Then join us! 🚀

🏴 CTF Categories

🔹 Web Exploitation
🔹 Reverse Engineering (Rev)
🔹 Binary Exploitation (PWN)
🔹 Digital Forensics & Incident Response (DFIR)
🔹 OSINT & Miscellaneous

🌱 Who Can Join?

Everyone! 💯

Whether you are:

🟢 A complete beginner
🟡 Have basic cybersecurity knowledge
🔴 Already experienced in CTFs

Last Date : 22/09/2026

You are welcome to join us.

You don't need to know everything before joining.
We'll learn, practice, solve challenges, and grow together. 🤝

🎯 What We Are Looking For

We don't care about how much you know.

We care about dedication. 🔥

Register here :
https://docs.google.com/forms/d/e/1FAIpQLSesvbcVY16bbZ8wXIzoMMc31f-1aqTsdgRAv44FB3nUPvqG9w/viewform?usp=sharing&ouid=105421122340526688518

📢 If you want to start your CTF journey and represent HackToLive in National & Inter-University CTF competitions, register now!

Join HackToLive. Build your skills. Become a CTF player. 🚩🔥

19/09/2026

🏆 Congratulations to Team CyberForceUFTB!

A great performance in NULL Origin CTF 2026 - Qualifier Round, organized by Team CyberXoX on CyberHX.

🏴 Rank: #62 out of 1,141 teams
🎯 Score: 8,060 pts

Team members:
Junayed Islam & Mariam Sayeed Choity

HackToLive Academy congratulates the team on this achievement! 🚩

17/09/2026

🚩 CAPTURE THE FLAG (CTF) RECRUITMENT 🚩

Are you interested in Cybersecurity & CTFs? 🔐
Want to learn, practice, and participate in National & Inter-University CTF competitions with the HackToLive Community?

Then join us! 🚀

🏴 CTF Categories

🔹 Web Exploitation
🔹 Reverse Engineering (Rev)
🔹 Binary Exploitation (PWN)
🔹 Digital Forensics & Incident Response (DFIR)
🔹 OSINT & Miscellaneous

🌱 Who Can Join?

Everyone! 💯

Whether you are:

🟢 A complete beginner
🟡 Have basic cybersecurity knowledge
🔴 Already experienced in CTFs

Last Date : 22/09/2026

You are welcome to join us.

You don't need to know everything before joining.
We'll learn, practice, solve challenges, and grow together. 🤝

🎯 What We Are Looking For

We don't care about how much you know.

We care about dedication. 🔥

Register here :
https://docs.google.com/forms/d/e/1FAIpQLSesvbcVY16bbZ8wXIzoMMc31f-1aqTsdgRAv44FB3nUPvqG9w/viewform?usp=sharing&ouid=105421122340526688518

📢 If you want to start your CTF journey and represent HackToLive in National & Inter-University CTF competitions, register now!

Join HackToLive. Build your skills. Become a CTF player. 🚩🔥

16/09/2026

Cybersecurity শেখা যদি একটা Game হতো?

আপনার হাতে একটা challenge।
সামনে একটা system।
আর কোথাও লুকিয়ে আছে একটা “Flag”…

আপনার কাজ?

Flag-টা খুঁজে বের করা।

এটাই মূল ধারণা Capture The Flag বা CTF-এর।

🚩 CTF আসলে কী?

CTF হলো একটি cybersecurity competition যেখানে বিভিন্ন security challenge solve করে hidden “flag” খুঁজে বের করতে হয়।

একটি challenge হতে পারে vulnerable website, encrypted message, suspicious file, network traffic, বা কোনো compromised system।

আপনাকে problem analyse করতে হবে, clues খুঁজতে হবে, vulnerability identify করতে হবে এবং শেষ পর্যন্ত flag capture করতে হবে।

🧩 CTF-এর জনপ্রিয় ধরনগুলো

CTF সবসময় একইভাবে খেলা হয় না। Competition-এর format অনুযায়ী experience-ও ভিন্ন হতে পারে।

🔹 Jeopardy-Style CTF
সবচেয়ে common format। Web, Crypto, Forensics, OSINT, Reverse Engineering, Miscellaneous সহ বিভিন্ন category-তে challenge থাকে।

Challenge solve করে সঠিক flag submit করলে points পাওয়া যায়।

🔹 Attack & Defense

এখানে শুধু অন্যের system attack করলেই হবে না, নিজের system-ও defend করতে হবে।
একদিকে vulnerability exploit করতে হবে, অন্যদিকে নিজের service secure রাখতে হবে।

🔹 King of the Hill

একটি নির্দিষ্ট system বা environment-এর control নেওয়াই মূল লক্ষ্য। System compromise করার পর সেটি যতক্ষণ control-এ রাখা যায়, সেই অনুযায়ী points বা advantage পাওয়া যেতে পারে।

🔹 Boot2Root

একটি vulnerable machine দেওয়া হয়।Enumeration থেকে শুরু করে exploitation এবং privilege escalation-এর মাধ্যমে machine-এর highest privilege বা root access নেওয়ার চেষ্টা করতে হয়।

🔹 Mixed / Hybrid CTF

অনেক competition-এ একাধিক format একসাথে থাকে। যেমন Jeopardy-style challenges-এর পাশাপাশি machine exploitation বা Attack & Defense elements থাকতে পারে।

🎯 CTF-এ কী কী শেখা যায়?

একটি CTF-এর challenge থেকেই Cybersecurity-এর বিভিন্ন area practice করা যায়:

🔹 Web Security
XSS, SQL Injection, Authentication flaws, File Upload ইত্যাদি।

🔹 Cryptography
Encryption, Encoding, Hashing এবং cryptographic weaknesses।

🔹 Digital Forensics
Files, memory dumps, metadata ও network traffic থেকে clues খুঁজে বের করা।

🔹 OSINT
Publicly available information থেকে useful intelligence বের করা।

🔹 Reverse Engineering
কোনো program-এর logic এবং behaviour বুঝতে শেখা।

🔹 Network Security
Packets analyse করে hidden information বা suspicious activity identify করা।

🔹 Linux & Privilege Escalation
Enumeration, misconfiguration এবং privilege escalation practice করা।

💡 CTF কেন Cybersecurity শেখার জন্য গুরুত্বপূর্ণ?

কারণ এখানে আপনাকে ready-made solution দেওয়া হয় না।

আপনাকে নিজেই ভাবতে হয়:

“এখানে আসলে কী হচ্ছে?”

তারপর research করতে হয়, tools ব্যবহার করতে হয়, different approaches try করতে হয় এবং শেষ পর্যন্ত solution বের করতে হয়।

এই process তৈরি করে:

• Problem-solving ability
• Analytical thinking
• Attacker mindset
• Tool familiarity
• Practical cybersecurity skills

🚀 Beginner হলে কোথা থেকে শুরু করবেন?

Linux Basics
Networking Fundamentals
Web Basics
Common Vulnerabilities
Beginner CTF Challenges
Advanced Challenges

শুরুতেই সব category জানা বা সব challenge solve করা জরুরি নয়।

একটি challenge solve করতে কয়েক ঘণ্টা লাগলেও সমস্যা নেই।

কারণ CTF-এর আসল লক্ষ্য শুধু Flag Capture করা নয়।

Problem বুঝতে শেখা।
নিজে Research করতে শেখা।
এবং Solution খুঁজে বের করতে শেখা।

আপনি যদি Cybersecurity শিখছেন, নিয়মিত CTF practice আপনার theoretical knowledge-কে practical skill-এ পরিণত করতে সাহায্য করতে পারে।

📌 পোস্টটি Save করে রাখুন এবং Cybersecurity শিখতে আগ্রহী কারও সাথে Share করুন।

🌐 HackToLive Academy

Cybersecurity শেখা, hands-on practice এবং community-এর সাথে grow করার জন্য আমাদের সাথে থাকুন।

Website: hacktolive.net
Facebook: hacktolive.academy
WhatsApp Community: https://chat.whatsapp.com/BuCdXj6pC929dwuCx2dpXz
Discord: https://discord.gg/cguqMjzGn

15/09/2026

Bug Bounty: Hacking-এর বৈধ পথ?

আপনি Cybersecurity শিখছেন।
Nmap, Burp Suite, Web Security, Linux অনেক কিছুই শিখছেন।

কিন্তু এসব বাস্তবে কোথায় কাজে লাগাব ?

এখানেই Bug Bounty Hunting হতে পারে আপনার জন্য দারুণ একটি learning path।

🔎 Bug Bounty আসলে কী?

সহজভাবে বললে, কোনো কোম্পানি তাদের Website, Web Application বা API-তে security vulnerability খুঁজে বের করার জন্য Security Researchers-দের সুযোগ দেয়।

আপনি কোনো valid vulnerability খুঁজে পেলে সেটি responsibleভাবে কোম্পানিকে report করেন।

Vulnerability-এর severity ও impact অনুযায়ী আপনি পেতে পারেন:

• Recognition / Hall of Fame
• Certificate বা Swag
• Monetary Reward
• এবং সবচেয়ে গুরুত্বপূর্ণ, Real-world experience

তবে Bug Bounty মানে “Website hack করা” নয়।

আপনি কেবল সেই target-এই test করবেন, যেটার জন্য কোম্পানি স্পষ্টভাবে permission দিয়েছে।

🧩 Beginner হিসেবে কী কী শিখতে হবে?

Bug Bounty শুরু করার আগে ৫০টা hacking tool শেখার দরকার নেই।

বরং এই foundation তৈরি করুন:

1️⃣ Web Fundamentals
HTTP/HTTPS, Request-Response, Cookies, Sessions, Headers, Authentication কীভাবে কাজ করে, এসব বুঝুন।

2️⃣ Web Vulnerabilities
শুরু করুন:

→ XSS
→ SQL Injection
→ IDOR / Broken Access Control
→ Authentication flaws
→ CSRF
→ File Upload vulnerabilities
→ SSRF
→ Security Misconfiguration

3️⃣ Burp Suite
Browser থেকে Server-এ কী যাচ্ছে, Server কী response দিচ্ছে, সেটা বুঝতে Burp Suite অসাধারণ একটি tool।

4️⃣ Recon & Enumeration
একটি target সম্পর্কে কী কী information publicly available এবং কোন attack surface আছে, সেটা খুঁজতে শিখুন।

5️⃣ API Security
বর্তমান Web Application-এর বড় একটি অংশ API-driven। তাই API endpoint, authentication, authorization এবং common API vulnerabilities বোঝাও গুরুত্বপূর্ণ।

6️⃣ Report Writing
Bug খুঁজে পাওয়াই শেষ নয়।

একজন ভালো researcher জানেন কীভাবে:

Vulnerability → Evidence → Impact → Reproduction Steps → Suggested Fix

পরিষ্কারভাবে report করতে হয়।

💡 তাহলে Bug Bounty শেখা কেন worth it?

কারণ এখানে আপনি শুধু theory পড়ছেন না।

আপনি শিখছেন,

একজন attacker কীভাবে চিন্তা করে।
একটি application কোথায় দুর্বল হতে পারে।
একটি vulnerability-এর real-world impact কী।
এবং কীভাবে নিজের findings professionally communicate করতে হয়।

সবচেয়ে বড় ব্যাপার?

আপনার শেখার প্রমাণ তৈরি হয়।

একটি valid finding, ভালো report, Hall of Fame বা documented research, এসব আপনার practical cybersecurity journey-এর অংশ হয়ে থাকতে পারে।

🚀 একদম Beginner হলে কোথা থেকে শুরু করবেন?

একটা simple roadmap:

Web Fundamentals
↓
HTTP + Browser DevTools
↓
Burp Suite
↓
OWASP Top Vulnerabilities
↓
Recon & Enumeration
↓
Practice Labs / CTFs
↓
Public Bug Bounty Programs
↓
Responsible Disclosure

শুরুতেই “আমি bug খুঁজে টাকা আয় করব”, এই mindset না রেখে,

“আমি real-world application কীভাবে কাজ করে এবং কোথায় ভেঙে যেতে পারে সেটা শিখব”

এই mindset নিয়ে শুরু করুন।

কারণ Bug Bounty-এর সবচেয়ে valuable reward সবসময় টাকা নয়।
আপনার skill. আপনার methodology. আর real-world experience.

🌐 Cybersecurity শেখার Journey-তে আমাদের সাথে থাকুন

HackToLive Academy - Cybersecurity শেখা, Practice করা এবং Community-এর সাথে Grow করার একটি learning platform।

🌐 Website: hacktolive.net

📘 Facebook: hacktolive.academy

💬 WhatsApp Community: https://chat.whatsapp.com/BuCdXj6pC929dwuCx2dpXz

💻 Discord Server: https://discord.gg/cguqMjzGn

📌 এই পোস্টটি Save করে রাখুন,Bug Bounty শুরু করার সময় roadmap হিসেবে কাজে লাগবে।

আর এমন কেউ থাকলে যে Cybersecurity শিখতে চায় কিন্তু কোথা থেকে শুরু করবে বুঝতে পারছে না, তার সাথে Share করুন।

13/09/2026

We are excited to welcome MD Munna Shikder as an official HackToLive Campus Ambassador, representing Bangladesh University of Business and Technology - BUBT. 💚

Our Campus Ambassador community continues to grow, connecting passionate students from universities across Bangladesh with a shared interest in cybersecurity, technology, learning, and community. 🌐

We’re proud to have MD Munna Shikder join the HackToLive family and represent us at BUBT.

✨ New campus. New connection. New opportunities.

We look forward to this journey and to building a stronger student community together.

🎉 Congratulations, MD Munna Shikder!
Welcome to the HackToLive Campus Ambassador Program! 🚀

One Campus. One Ambassador. One Community.