Prowadzenie kampanii phishingowych i hostowanie sesji Metasploit z zaufanego VPS jest ważne dla każdego profesjonalnego badacza bezpieczeństwa, pentestera, hakera orhat. Jednak opcje są dość ograniczone, ponieważ większość dostawców stosuje politykę zerowej tolerancji dla wszelkiego rodzaju hakowania, dobrego lub złego. Po zbadaniu dziesiątek produktów wybraliśmy 5 potencjałów, które są idealne dla czytników Null Byte. Po pierwsze, co to jest VPS? Cóż, oznacza wirtualny serwer prywatny i jest serwerem zwirtualizowanym, który wielu użytkowników postrzega jako serwer dedykowany lub prywatny, mimo że jest zainstalowany na fizycznym komputerze z wieloma systemami operacyjnymi jednocześnie. Serwery VPS są najczęściej używane do hostowania witryn internetowych. Kiedy kupujemy VPS od dostawcy, zasadniczo „wynajmujemy” partycję na potężnej, wysokowydajnej maszynie fizycznej, na której znajduje się wiele serwerów wirtualnych. Każdy VPS jest podłączony do Internetu, daje indywidualnym klientom możliwość korzystania z różnych systemów operacyjnych i zapewnia pełny dostęp root do systemów operacyjnych. Każdy klient (lub administrator serwera) działa niezależnie od innych klientów współdzielących fizyczny komputer dostarczony przez firmę VPS. Zasadniczo wirtualny serwer prywatny to komputer, którym możemy sterować zdalnie z dowolnego urządzenia podłączonego do Internetu na świecie. To daje nam dużą moc. Ze zdalnego serwera to tylko kilka rzeczy, które można zrobić: Aby przejść od razu do rzeczy, z naszych badań wynika, że ​​BulletShield jest zdecydowanie najlepszym dostawcą VPS dla kapeluszy i pentesterów, tuż za BuyVM i ClientVPS. Drugie miejsce zajęły VPSDime i OneHost Cloud. Możesz zobaczyć, dlaczego na naszym wykresie poniżej, ale przejdź poniżej, aby zagłębić się w znaczenie każdego punktu porównania. AKTUALIZACJA: BulletShield już nie istnieje. Będziemy przyglądać się większej liczbie dostawców VPS, aby sprawdzić, czy któryś z nich jest wystarczająco godny, aby znaleźć się na naszej liście, i odpowiednio zaktualizujemy, kiedy to zrobimy. W międzyczasie BuyVM to kolejna najlepsza rzecz


Istnieje kilka tabel porównawczych VPS online, ale żadna nie jest dla mnie odpowiednia jako pentester andhat. W większości scenariuszy profesjonalnych testów penetracyjnych musimy uruchomić VPS na kilka dni, aby obsłużyć ładunek, otrzymać dane dotyczące eksfiltracji lub przeprowadzić atak phishingowy. To, czy dostawca VPS oferuje wsparcie techniczne na żywo, niezrozumiałe specyfikacje sprzętu lub nadmierny wybór systemów operacyjnych, rzadko ma znaczenie. W idealnej sytuacji chcielibyśmy użyć Bitcoin (BTC) do szybkiego zakupu najnowszej wersji Debiana od dostawcy VPS z kraju szanującego prywatność. Porównując dostawców VPS przedstawionych w tym artykule, starałem się być jak najbardziej obiektywny i uczciwy. Żaden dostawca VPS z tego artykułu nie zapłacił za umieszczenie go w tabeli porównawczej. Użyłem poniższych kryteriów, aby stworzyć powyższy wykres. Nie przegap: Jak sprzedać swoją gwiazdę, Ripple& Inne Alt-Coins dla Bitcoin lub Ethereum w Binance

Warunki korzystania z usługi (ToS) i zasady dopuszczalnego użytkowania (AUP) były prawdopodobnie najwyższymi priorytetami w tej tabeli porównawczej. Chociaż początkowo brano pod uwagę dziesiątki dostawców VPS, większość wyraźnie zabroniła lub odradzała skanery portów, dystrybucję ładunku, phishing i/lub wszelkiego rodzaju hakowanie. Z kilkoma wyjątkami natychmiast zdyskwalifikowało to dostawcę VPS z tabeli porównawczej. Specjaliści IT, badacze bezpieczeństwa i samoucy, że hakerzy wykonują mnóstwo świetnej pracy na zdalnych serwerach. Było dla mnie ważne, aby przedstawieni tutaj dostawcy VPS utrzymywali zasady ToS, które najlepiej odpowiadają potrzebom odbiorców Null Byte. Dostawcy VPS na moim wykresie byli jednymi z nielicznych, którzy nie mieli zasad ToS, które były całkowicie wrogie wobec „hakowania”. Dostawcy uznani za przyjaznych pentesterom nie stwierdzają wyraźnie w swoich ToS, że „hakowanie” (lub jakakolwiek powiązana terminologia) jest dozwolone. Żaden dostawca VPS nigdy by tego nie zrobił. Większość z tych dostawców albo nie wspomina o hakowaniu w swoich Warunkach korzystania z usługi, albo w ogóle nie udostępnia Warunków korzystania z usługi na swojej stronie internetowej. Uznano to za wskazówkę, że działania hakerskie są bardzo mile widziane, ale nie mogą skutkować zamknięciem konta

Przekazywanie naszego prawdziwego imienia i nazwiska, adresu, numeru telefonu i innych danych osobowych na jakiejkolwiek stronie internetowej nigdy nie jest pożądane. Nawet jeśli anonimowość nie jest dla Ciebie priorytetem, dostawca VPS może pewnego dnia zostać naruszony i wszystkie dane jego klientów wyciekną online. Zakup subskrypcji VPS najlepiej odbywa się anonimowo, ponieważ nie wiadomo, w jakie kłopoty możemy się wpakować podczas badań lub pentestów. Pewnego dnia mogą zostać podjęte kroki prawne przeciwko dostawcy VPS za coś, co wydarzyło się na zakupionym serwerze, więc rozsądnie byłoby przechowywać jak najmniej informacji o sobie w bazie danych klientów dostawcy. W większości przypadków stwierdziłem, że podczas rejestracji można było podać całkowicie fałszywe imię i nazwisko, adres i numer telefonu, ale nie uważałem tego za „dobrą cechę” dostawcy. Przesłanie fałszywych informacji dowolnej legalnej firmie prawie na pewno złamie Warunki świadczenia usług dostawcy i spowoduje natychmiastowe zamknięcie konta. Adres e-mail wymagany od dostawcy VPS nie stanowi „danych osobowych”, ponieważ łatwo jest anonimowo uzyskać jednorazowy adres e-mail. Sensowne jest również, aby dostawcy VPS ustalali jakąś metodę komunikacji ze swoimi klientami


Nie jest nierealne wierzyć, że firma oferująca bezpieczne transakcje kryptograficzne będzie w pełni współpracować z władzami, aby złapać hakera. Nie zawsze ma znaczenie, czy adres IP VPS pochodzi z kraju, który szanuje prywatność. Jeśli firma dostarczająca Ci VPS znajduje się w Stanach Zjednoczonych lub Wielkiej Brytanii, jest bardzo prawdopodobne, że nie zawaha się przekazać Twoich danych osobowych jakimkolwiek autorytetom. Idąc dalej w kwestie dotyczące prywatności, Umowa UKUSA to umowa między Wielką Brytanią, Stanami Zjednoczonymi, Australią, Kanadą i Nową Zelandią w celu wspólnego gromadzenia, analizowania i udostępniania danych wywiadowczych. Członkowie tej grupy są znani jako Five Eyes. Kraje te słyną z inwazyjnych przepisów i polityk dotyczących prywatności. Wybór dostawcy VPS w kraju najbardziej szanującym prywatność prawdopodobnie nie jest najwyższym priorytetem, ale warto przynajmniej rozważyć dostawców w krajach, w których obowiązują przyzwoite przepisy dotyczące prywatności

„VPS na morzu” oznaczałby, że serwer znajduje się poza krajową lokalizacją firmy i może pozwolić na pewien stopień dyskrecji. Jest to ważne dla Ciebie jako pentestera i firmy, którą masz chronić, ponieważ możesz zdobyć kompromitujące i wrażliwe informacje, których nie należy udostępniać ani ujawniać. Czytelników zachęcamy do niezależnego zapytania dostawców VPS w celu ustalenia, czy ich rozwiązania offshore są dla Ciebie odpowiednie. Dostawcy, o których wiadomo, że oferują rozwiązania offshore, zwykle robią to za dodatkową opłatą. Nie należy zakładać, że ich najtańsze dostępne rozwiązanie VPS jest również ceną ich opcji offshore

BulletShield był moim najlepszym wyborem jako najlepszego dostawcy VPS dla czytników Null Byte. BulletShield nie wymagał ani nie prosił o podanie jakichkolwiek danych osobowych podczas rejestracji konta lub przygotowania do przesłania transakcji BTC. Sprawiają również, że transakcje BTC są obowiązkowe i nie mają ToS, które wyraźnie zabraniają wszelkiego rodzaju testów penetracyjnych. Wadą jest to, że nie akceptują przedpłaconych kart kredytowych, a najtańsza cena jest trochę droga, ale jeśli cenisz swoją prywatność, cena niekoniecznie jest najważniejszą rzeczą do rozważenia. Jeśli chodzi o siedzibę firmy, BulletShield nie ujawnia tych informacji. Szybkie wyszukiwanie nazwy domeny wykazało, że została ona zakupiona przez kanadyjską firmę Tucows Domains Inc., ale została zakupiona od Charlestown, miasta położonego na odległej wyspie w Indiach Zachodnich. Nie oznacza to jednak, że to tam BulletShield ma swoją siedzibę, jest to miejsce, z którego rejestrator domen BulletShield zarejestrował domenę. Oferują rozwiązania offshore i stronę internetową przyjazną Torowi, co stawia BulletShield na prowadzeniu. Jednak przedstawiciel obsługi klienta wspomniał mi, że „pentestowanie” jest „dozwolone tylko w usługach kuloodpornych”, co może stanowić problem pod względem kosztów
BuyVM zajmuje drugie miejsce pod względem umożliwienia legalnych testów penetracyjnych, w przypadku gdy dana firma lub osoby wyrażają wyraźną i prawną pisemną zgodę. Przedstawiciel potwierdził to, mówiąc, że „potrzebują pełnego dokumentu od zespołu prawnego reprezentującego dany cel, który to upoważnia”. Ich ceny początkowe naprawdę podniosły ich w rankingach dzięki rozwiązaniom VPS już od 2,42 USD miesięcznie. Proszą jednak o podanie danych osobowych, a aby zarejestrować konto, „dane konta muszą być zgodne z informacjami podanymi przez metodę płatności”, co może oznaczać, że anonimowe karty przedpłacone są niedostępne. Bitcoin jest jednak akceptowany. I chociaż mają witrynę przyjazną Torowi, mają siedzibę główną w Kanadzie i nie oferują rozwiązań offshore, co może być negatywne w zależności od tego, do czego używasz VPS

ClientVPS ma ToS, ale niewiele tam jest poza tym, że nie ponoszą żadnej winy za żadne działania, które wykonasz, które skutkują „obrażeniem” osoby lub mienia, naruszeniem praw autorskich itp., Pociągając Cię za pełną odpowiedzialność. Ogólnie rzecz biorąc, ich ceny były najdroższe, ale najważniejsze to akceptacja Bitcoin (przedpłacone karty Visa są niejasne), posiadanie strony internetowej przyjaznej Torowi, siedziba główna w Rosji (gdzie prośby o informacje są regularnie ignorowane) i oferowanie rozwiązania offshore, wszystkie z których ugruntowało swoją obecną pozycję w rankingu. Oprócz wysokiej ceny, inne wady obejmują brak informacji o legalnym pentestingu (nie odpowiedzieli na moje zapytania) i żądają twoich danych osobowych

OneHost Cloud to jedyny dostawca VPS, jakiego udało mi się znaleźć, który oferuje Kali Linux VPS i rozwiązania do testów penetracyjnych. Ich ceny zaczynają się już od 6,59 USD miesięcznie, co jest kolejną ważną zaletą tego dostawcy i akceptują płatności BTC. Chmura OneHost wydawała się optymalnym wyborem bez zamiaru nielegalnego skanowania strony internetowej lub hakowania podmiotu bez zgody. Byłoby to również bardzo mylące dla klientów, gdyby oferowali rozwiązania Kali, ale nie pozwalali na legalne pentesty. Kiedy jednak zapytałem o legalne testy penetracyjne, po prostu odpowiedzieli: Wszystkie przyszłe wiadomości e-mail z tego adresu będą blokowane. Zostało to wysłane do mnie bez powodu ani wyjaśnienia. Z tego powodu OneHost Cloud znalazł się na ostatnim miejscu i polecam czytelnikom niezależne zapytanie do OneHost Cloud o ich zasady ToS przed wykonaniem jakichkolwiek testów penetracyjnych. Inne wady tego dostawcy to żądanie danych osobowych; przebywanie w Londynie w Wielkiej Brytanii; brak gotowej strony anonimowej; oraz brak informacji o rozwiązaniach offshore i kartach przedpłaconych.