Efectuarea de campanii de phishing și găzduirea sesiunilor Metasploit de la un VPS de încredere este importantă pentru orice cercetător de securitate profesionist, pentester sau hacker. Cu toate acestea, opțiunile sunt destul de limitate, deoarece majoritatea furnizorilor au politici de toleranță zero pentru orice fel de hacking, bun sau rău. După ce am cercetat zeci de produse, am ieșit cu 5 potențiale care sunt ideale pentru cititorii Null Byte. În primul rând, ce este un VPS? Ei bine, înseamnă server virtual privat și este un server virtualizat pe care mulți utilizatori îl percep ca un server dedicat sau privat, chiar dacă este instalat pe un computer fizic care rulează mai multe sisteme de operare simultan. VPS-urile sunt cel mai frecvent utilizate pentru găzduirea site-urilor web online. Când achiziționăm un VPS de la un furnizor, în esență „închiriem” o partiție pe o mașină fizică puternică de înaltă performanță care găzduiește multe servere virtuale. Fiecare VPS este conectat la internet, oferă clienților individuali posibilitatea de a utiliza sisteme de operare diferite și oferă acces complet root la sistemele de operare. Fiecare client (sau administrator de server) operează independent de alți clienți care partajează computerul fizic furnizat de compania VPS. În esență, un server privat virtual este un computer pe care îl putem controla de la distanță de pe orice dispozitiv conectat la internet din lume. Acest lucru ne oferă multă putere. De la un server la distanță, acestea sunt doar câteva dintre lucrurile care pot fi făcute: Pentru a ajunge direct la el, din cercetările noastre, BulletShield este de departe cel mai bun furnizor de VPS pentru haturi și pentesteri, urmat îndeaproape de BuyVM și ClientVPS. Pe locul doi au fost VPSDime și OneHost Cloud. Puteți vedea de ce în graficul nostru de mai jos, dar săriți mai jos pentru a aprofunda ce înseamnă fiecare punct de comparație. UPDATE: BulletShield nu mai există. Vom căuta mai mulți furnizori de VPS pentru a vedea dacă vreunul este suficient de demn pentru a face lista noastră și vom actualiza în consecință atunci când o vom face. Între timp, BuyVM este următorul cel mai bun lucru


 Există mai multe diagrame de comparație VPS online, dar niciuna nu poate fi asociată cu mine ca pentester și pălărie. În majoritatea scenariilor profesionale de testare de penetrare, trebuie să pornim un VPS timp de câteva zile pentru a găzdui o încărcătură utilă, pentru a primi date de exfiltrare sau pentru a efectua un atac de tip phishing. Indiferent dacă furnizorul VPS oferă sau nu asistență tehnologică live, specificații hardware de neînțeles sau o selecție excesivă de sisteme de operare contează rar. În mod ideal, dorim să folosim Bitcoin (BTC) pentru a cumpăra rapid cea mai recentă versiune Debian de la un furnizor de VPS dintr-o țară care respectă confidențialitatea. Când compar furnizorii de VPS prezentați în acest articol, am încercat să fiu cât mai obiectiv și corect posibil. Niciun furnizor VPS din acest articol nu a plătit pentru a fi prezentat în graficul de comparație. Am folosit criteriile de mai jos pentru a veni cu graficul de mai sus. Nu ratați: Cum să vă vindeți Stellar, Ripple& Alte Alt-Coins pentru Bitcoin sau Ethereum în Binance

Termenii și condițiile (ToS) și politica de utilizare acceptabilă (AUP) au fost probabil cele mai mari priorități în acest grafic de comparație. În timp ce zeci de furnizori de VPS au fost luați în considerare la început, majoritatea au interzis sau au descurajat în mod explicit scanere de porturi, distribuirea sarcinilor utile, phishing și/sau hacking de orice fel. Cu câteva excepții, acest lucru a descalificat imediat furnizorul VPS din graficul de comparație. Profesioniștii IT, cercetătorii în domeniul securității și autodidacții că hackerii fac o mulțime de lucruri grozave pe serverele de la distanță. A fost important pentru mine ca furnizorii de VPS prezentați aici să mențină politicile ToS care se potrivesc cel mai bine nevoilor publicului Null Byte. Furnizorii VPS din topul meu au fost printre puținii care nu aveau politici ToS care erau în întregime ostile față de „hacking”. Furnizorii care sunt menționați ca fiind prietenoși cu pentesteri nu precizează în mod explicit în ToS că „hacking” (sau orice terminologie aferentă) este permis. Niciun furnizor de VPS nu ar face asta vreodată. Majoritatea acestor furnizori fie nu fac nicio mențiune despre hacking în ToS sau nu au deloc un ToS disponibil pe site-ul lor. Se credea că acest lucru este un indiciu că activitățile de hacking sunt foarte respinse, dar este posibil să nu ducă la desființarea contului

Trimiterea numelui nostru real, a adresei, a numărului de telefon și a altor informații de identificare personală către orice site web nu este niciodată de dorit. Chiar dacă anonimatul nu este o prioritate pentru dvs., furnizorul de VPS ar putea fi totuși compromis într-o zi și ar putea avea toate datele clienților să fie scurse online. Achiziționarea abonamentelor VPS se face în mod ideal în mod anonim, deoarece nu se știe în ce probleme putem avea în timpul cercetării sau testării. Într-o zi ar putea fi luate acțiuni legale împotriva furnizorului de VPS pentru ceva care s-a întâmplat pe un server pe care l-ați achiziționat, așa că ar fi înțelept să stocați cât mai puține informații despre dvs. în baza de date de clienți a furnizorului. În cele mai multe cazuri, am constatat că este posibil să trimit un nume, o adresă și un număr de telefon complet fals în timpul înregistrării, dar nu am considerat asta drept o „funcție bună” pentru furnizor. Trimiterea de informații false oricărei companii legitime va încălca cu siguranță Termenul de utilizare al furnizorului și va duce la desființarea imediată a contului. O adresă de e-mail cerută de la un furnizor de VPS nu a constituit „informații personale”, deoarece este ușor să obțineți în mod anonim o adresă de e-mail de unică folosință. De asemenea, are sens ca furnizorii de VPS să stabilească o metodă de comunicare cu clienții lor


Nu este nerealist să credem că o companie care oferă tranzacții cripto securizate va coopera pe deplin cu autoritățile pentru a prinde un hacker. Nu contează întotdeauna dacă adresa IP VPS provine dintr-o țară care respectă confidențialitatea. Dacă compania care vă furnizează VPS-ul este situată în SUA sau Marea Britanie, este foarte probabil că nu va ezita să cedeze informațiile dumneavoastră personale oricărei persoane de autoritate. Mergând mai departe în preocupările legate de confidențialitate, Acordul UKUSA este un acord între Regatul Unit, Statele Unite ale Americii, Australia, Canada și Noua Zeelandă pentru a colecta, analiza și partaja informații în mod cooperant. Membrii acestui grup sunt cunoscuți ca cei cinci ochi. Aceste țări sunt renumite pentru că au legi și politici de confidențialitate invazive. Alegerea unui furnizor VPS în cea mai mare țară care respectă confidențialitatea nu este probabil cea mai mare prioritate, dar este logic să luăm în considerare cel puțin furnizorii din țările cu legi decente privind confidențialitatea.

Un „VPS offshore” ar implica faptul că serverul se află în afara locației graniței naționale a companiei și poate permite un anumit grad de discreție. Acest lucru este important pentru dvs., ca pentester și pentru compania pe care sunteți însărcinat să o asigurați, deoarece puteți obține informații compromițătoare și sensibile care nu ar trebui să fie partajate sau scurse. Cititorii sunt încurajați să se întrebe în mod independent cu furnizorii de VPS pentru a determina dacă soluțiile lor offshore sunt potrivite pentru dvs. Furnizorii remarcați că oferă soluții offshore, de obicei, o fac cu o sumă. Nu trebuie să presupunem că cea mai ieftină soluție VPS disponibilă a acestora este și prețul opțiunii lor offshore

BulletShield a fost alegerea mea de top ca cel mai bun furnizor de VPS pentru cititorii Null Byte. BulletShield nu a solicitat și nu a solicitat niciun fel de informații personale atunci când înregistra un cont sau se pregătea pentru a trimite o tranzacție BTC. De asemenea, fac tranzacțiile BTC obligatorii și nu au un ToS care interzice în mod explicit orice fel de activități de testare a penetrației. Dezavantajele sunt că nu acceptă carduri de credit preplătite, iar cel mai ieftin preț este puțin scump, dar dacă prețuiești confidențialitatea, prețul nu este neapărat principalul lucru de luat în considerare. Când vine vorba de sediul companiei, BulletShield nu dezvăluie aceste informații. O căutare rapidă a numelui de domeniu a arătat că a fost achiziționat de Tucows Domains Inc., o companie canadiană, dar a fost achiziționat de la Charlestown, un oraș situat pe o insulă îndepărtată din Indiile de Vest. Cu toate acestea, asta nu înseamnă că acolo are sediul BulletShield, ci doar locul de unde a înregistrat domeniul de la care a înregistrat domeniul BulletShield. Oferă soluții offshore și un site web prietenos cu Tor, ceea ce îl plasează pe BulletShield în fruntea generală. Cu toate acestea, un reprezentant al serviciului pentru clienți mi-a menționat că „pentestarea” este „permise doar servicii antiglonț”, ceea ce poate fi o problemă din punct de vedere al costurilor
BuyVM este pe locul doi pentru a permite testarea legală de penetrare în cazul în care consimțământul explicit și legal este dat de către compania sau persoana (persoanele) în cauză. Un reprezentant a confirmat acest lucru spunând că „au nevoie de un document complet din partea echipei juridice care reprezintă ținta în cauză care să o autorizeze”. Prețurile lor de pornire i-au ridicat într-adevăr în poziții cu soluții VPS la doar 2,42 USD pe lună. Cu toate acestea, aceștia solicită informațiile dvs. personale și, pentru a înregistra un cont, „detaliile contului trebuie să corespundă cu informațiile furnizate de metoda de plată”, astfel că ar putea însemna că cardurile preplătite anonime sunt disponibile. Bitcoin este acceptat, totuși. Și deși au un site web prietenos cu Tor, au sediul în Canada și nu oferă soluții offshore, ceea ce ar putea fi negativ în funcție de ceea ce folosești VPS-ul.

ClientVPS are un ToS, dar nu există prea multe acolo, cu excepția faptului că nu își vor asuma vina pentru nicio acțiune pe care o efectuați care are ca rezultat „vătămare” persoanei sau proprietății, încălcarea drepturilor de autor etc., considerându-vă complet responsabil. În general, prețurile lor au fost cele mai scumpe, dar punctele importante includ acceptarea Bitcoin (cardurile preplătite Visa sunt neclare), a avea un site web compatibil Tor, a avea sediul în Rusia (unde cererile de informații sunt ignorate în mod regulat) și oferirea unei soluții offshore, toate dintre care și-a consolidat poziția actuală în clasamentul lor. În afară de prețul ridicat, alte dezavantaje includ lipsa lor de informații despre pentesting legal (nu mi-au returnat întrebările) și vă solicită datele personale.

OneHost Cloud este singurul furnizor de VPS pe care l-am putut găsi care oferă un VPS Kali Linux și soluții de testare a penetrației. Prețurile lor încep de la doar 6,59 USD/lună, care este un alt beneficiu major al acestui furnizor și acceptă plăți BTC. OneHost Cloud părea alegerea optimă pentru pălării fără intenția de a scana vreodată ilegal un site web sau de a pirata o entitate fără consimțământ. De asemenea, ar fi extrem de confuz pentru clienți dacă ar oferi soluții Kali, dar nu ar permite testarea legală. Cu toate acestea, când am întrebat despre testarea legală de penetrare, ei au răspuns pur și simplu: Toate mesajele de e-mail viitoare de la această adresă vor fi blocate. Acest lucru mi-a fost trimis fără niciun motiv sau explicație. Din acest motiv, OneHost Cloud a ajuns pe ultimul loc și recomand cititorilor să se întrebe în mod independent cu OneHost Cloud despre politicile ToS înainte de a efectua orice fel de testare de penetrare. Alte dezavantaje ale acestui furnizor sunt solicitarea de informații personale; fiind situat în Londra, Marea Britanie; nu aveți un site web gata pentru anonimat; și lipsa de informații despre soluțiile offshore și cardurile preplătite.