Tiến hành các chiến dịch lừa đảo và lưu trữ các phiên Metasploit từ một VPS đáng tin cậy là điều quan trọng đối với bất kỳ nhà nghiên cứu bảo mật chuyên nghiệp, pentester hay hacker nào. Tuy nhiên, các tùy chọn khá hạn chế vì hầu hết các nhà cung cấp đều có chính sách không khoan nhượng đối với bất kỳ loại hack nào, dù tốt hay xấu. Sau khi nghiên cứu hàng chục sản phẩm, chúng tôi đã đưa ra 5 tiềm năng lý tưởng cho người đọc Null Byte. Điều đầu tiên đầu tiên VPS là gì? Chà, nó là viết tắt của máy chủ riêng ảo và là một máy chủ ảo hóa mà nhiều người dùng coi là máy chủ chuyên dụng hoặc máy chủ riêng mặc dù nó được cài đặt trên một máy tính vật lý chạy nhiều hệ điều hành cùng lúc. VPS được sử dụng phổ biến nhất để lưu trữ các trang web trực tuyến. Khi chúng tôi mua một VPS từ một nhà cung cấp, về bản chất, chúng tôi đang "thuê"một phân vùng trên một máy vật lý hiệu suất cao mạnh mẽ chứa nhiều máy chủ ảo. Mỗi VPS được kết nối với internet, cấp cho khách hàng cá nhân khả năng sử dụng các hệ điều hành khác nhau và cấp quyền truy cập root đầy đủ cho các hệ điều hành. Mỗi khách hàng (hoặc quản trị viên máy chủ) hoạt động độc lập với các khách hàng khác chia sẻ máy tính vật lý do công ty VPS cung cấp. Về cơ bản, máy chủ riêng ảo là một máy tính mà chúng ta có thể điều khiển từ xa từ bất kỳ thiết bị kết nối internet nào trên thế giới. Điều này mang lại cho chúng ta rất nhiều sức mạnh. Từ một máy chủ từ xa, đây chỉ là một vài trong số những điều có thể được thực hiện: Theo nghiên cứu của chúng tôi, BulletShield cho đến nay vẫn là nhà cung cấp VPS tốt nhất cho người dùng mũ và người kiểm tra, theo sát là BuyVM và ClientVPS. Á quân là VPSDime và OneHost Cloud. Bạn có thể thấy lý do tại sao trong biểu đồ của chúng tôi bên dưới, nhưng hãy nhảy xuống bên dưới biểu đồ đó để tìm hiểu sâu hơn về ý nghĩa của từng điểm so sánh. CẬP NHẬT: BulletShield không còn tồn tại. Chúng tôi sẽ xem xét thêm các nhà cung cấp VPS để xem liệu có nhà cung cấp nào đủ xứng đáng để đưa vào danh sách của chúng tôi hay không và chúng tôi sẽ cập nhật tương ứng khi chúng tôi thực hiện. Trong khi đó, BuyVM là điều tốt nhất tiếp theo


Có một số biểu đồ so sánh VPS trực tuyến, nhưng không có biểu đồ nào phù hợp với tôi với tư cách là một pentester andhat. Trong hầu hết các tình huống thử nghiệm thâm nhập chuyên nghiệp, chúng tôi cần khởi động VPS trong vài ngày để lưu trữ trọng tải, nhận dữ liệu đánh cắp hoặc thực hiện một cuộc tấn công lừa đảo. Việc nhà cung cấp VPS có cung cấp hỗ trợ kỹ thuật trực tiếp hay không, thông số kỹ thuật phần cứng khó hiểu hoặc quá nhiều lựa chọn hệ điều hành hiếm khi quan trọng. Lý tưởng nhất là chúng ta muốn sử dụng Bitcoin (BTC) để mua nhanh bản phát hành Debian mới nhất từ ​​nhà cung cấp VPS có trụ sở tại một quốc gia tôn trọng quyền riêng tư. Khi so sánh các nhà cung cấp VPS được nêu trong bài viết này, tôi đã cố gắng khách quan và công bằng nhất có thể. Không có nhà cung cấp VPS nào trong bài viết này trả tiền để được xuất hiện trong biểu đồ so sánh. Tôi đã sử dụng các tiêu chí dưới đây để đưa ra biểu đồ trên. Đừng bỏ lỡ: Cách bán Stellar, Ripple của bạn& Các loại tiền thay thế khác cho Bitcoin hoặc Ethereum trên Binance

Điều khoản dịch vụ (ToS) và chính sách sử dụng được chấp nhận (AUP) có lẽ là những ưu tiên cao nhất trong biểu đồ so sánh này. Mặc dù lúc đầu, hàng chục nhà cung cấp VPS đã được xem xét, nhưng hầu hết đều không được phép hoặc không khuyến khích các trình quét cổng, phân phối tải trọng, lừa đảo và/hoặc hack dưới bất kỳ hình thức nào. Với một vài trường hợp ngoại lệ, điều này ngay lập tức loại nhà cung cấp VPS khỏi bảng so sánh. Các chuyên gia CNTT, nhà nghiên cứu bảo mật và tin tặc tự học đã làm được rất nhiều việc tuyệt vời trên các máy chủ từ xa. Điều quan trọng đối với tôi là các nhà cung cấp VPS được giới thiệu ở đây đã duy trì các chính sách ToS phù hợp nhất với nhu cầu của đối tượng Null Byte. Các nhà cung cấp VPS trong biểu đồ của tôi là một trong số ít các nhà cung cấp không có chính sách ToS hoàn toàn thù địch với "hack". Các nhà cung cấp được ghi nhận là thân thiện với pentester không tuyên bố rõ ràng trong Điều khoản dịch vụ của họ rằng "hack"(hoặc bất kỳ thuật ngữ liên quan nào) được cho phép. Không có nhà cung cấp VPS sẽ làm điều đó. Hầu hết các nhà cung cấp này không đề cập đến việc hack trong Điều khoản dịch vụ của họ hoặc họ hoàn toàn không có Điều khoản dịch vụ nào trên trang web của họ. Đây được cho là một dấu hiệu cho thấy các hoạt động hack bị phản đối mạnh mẽ, nhưng có thể không dẫn đến việc chấm dứt tài khoản

Gửi tên thật, địa chỉ, số điện thoại và thông tin nhận dạng cá nhân khác của chúng tôi cho bất kỳ trang web nào là điều không bao giờ được mong muốn. Ngay cả khi bạn không ưu tiên ẩn danh, nhà cung cấp VPS một ngày nào đó vẫn có thể bị xâm phạm và tất cả dữ liệu khách hàng của họ bị rò rỉ trực tuyến. Việc mua đăng ký VPS được thực hiện một cách lý tưởng một cách ẩn danh, vì không biết chúng tôi có thể gặp rắc rối gì trong quá trình nghiên cứu hoặc dồn nén. Hành động pháp lý một ngày nào đó có thể được thực hiện đối với nhà cung cấp VPS vì điều gì đó đã xảy ra trên máy chủ mà bạn đã mua, vì vậy sẽ là khôn ngoan nếu bạn lưu trữ ít thông tin về bản thân trên cơ sở dữ liệu khách hàng của nhà cung cấp. Trong hầu hết các trường hợp, tôi thấy có thể gửi tên, địa chỉ và số điện thoại hoàn toàn giả trong quá trình đăng ký nhưng tôi không coi đó là "tính năng tốt"của nhà cung cấp. Gửi thông tin sai lệch cho bất kỳ công ty hợp pháp nào gần như chắc chắn sẽ phá vỡ Điều khoản dịch vụ của nhà cung cấp và dẫn đến việc chấm dứt tài khoản ngay lập tức. Một địa chỉ email được yêu cầu từ nhà cung cấp VPS không được coi là "thông tin cá nhân", vì thật dễ dàng để có được một địa chỉ email dùng một lần một cách ẩn danh. Cũng hợp lý khi các nhà cung cấp VPS thiết lập một số phương thức giao tiếp với khách hàng của họ
Không phải là không thực tế khi tin rằng một công ty cung cấp các giao dịch tiền điện tử an toàn sẽ hợp tác đầy đủ với các cơ quan chức năng để bắt một tin tặc. Không phải lúc nào địa chỉ IP của VPS cũng có nguồn gốc từ một quốc gia tôn trọng quyền riêng tư. Nếu công ty cung cấp VPS cho bạn ở Hoa Kỳ hoặc Vương quốc Anh, rất có thể họ sẽ không ngần ngại cung cấp thông tin cá nhân của bạn cho bất kỳ nhân vật có thẩm quyền nào. Đi sâu hơn vào các mối quan tâm về quyền riêng tư, Thỏa thuận UKUSA là một thỏa thuận giữa Vương quốc Anh, Hoa Kỳ, Úc, Canada và New Zealand để hợp tác thu thập, phân tích và chia sẻ thông tin tình báo. Các thành viên của nhóm này được gọi là Five Eyes. Những quốc gia này nổi tiếng vì có luật và chính sách xâm phạm quyền riêng tư. Chọn một nhà cung cấp VPS ở quốc gia tôn trọng quyền riêng tư nhất có thể không phải là ưu tiên cao nhất, nhưng ít nhất nên xem xét các nhà cung cấp ở các quốc gia có luật riêng tư phù hợp

"VPS nước ngoài"có nghĩa là máy chủ nằm ngoài vị trí ranh giới quốc gia của công ty và có thể cho phép một số mức độ tùy ý. Điều này rất quan trọng đối với bạn với tư cách là một pentester và công ty mà bạn được giao nhiệm vụ bảo mật vì bạn có thể có được thông tin nhạy cảm và nguy hiểm không nên chia sẻ hoặc rò rỉ. Người đọc được khuyến khích tự hỏi nhà cung cấp VPS để xác định xem các giải pháp nước ngoài của họ có phù hợp với bạn hay không. Các nhà cung cấp được ghi nhận là cung cấp các giải pháp nước ngoài thường làm như vậy với giá cao. Không nên cho rằng giải pháp VPS hiện có rẻ nhất của họ cũng là giá của tùy chọn nước ngoài của họ

BulletShield là lựa chọn hàng đầu của tôi với tư cách là nhà cung cấp VPS tốt nhất cho người đọc Null Byte. BulletShield không yêu cầu hoặc yêu cầu bất kỳ loại thông tin cá nhân nào khi đăng ký tài khoản hoặc chuẩn bị gửi giao dịch BTC. Họ cũng bắt buộc giao dịch BTC và không có Điều khoản dịch vụ cấm rõ ràng bất kỳ loại hoạt động thử nghiệm thâm nhập nào. Nhược điểm là họ không chấp nhận thẻ tín dụng trả trước và giá rẻ nhất hơi đắt, nhưng nếu bạn coi trọng quyền riêng tư của mình, giá cả không nhất thiết phải là điều chính cần xem xét. Khi nói đến trụ sở chính của công ty, BulletShield không tiết lộ thông tin này. Tìm kiếm nhanh tên miền cho thấy nó được mua bởi Tucows Domains Inc., một công ty của Canada, nhưng lại được mua từ Charlestown, một thành phố nằm trên một hòn đảo xa xôi ở Tây Ấn. Tuy nhiên, điều đó không có nghĩa đó là nơi BulletShield đặt trụ sở chính, đó chỉ là nơi mà công ty đăng ký tên miền BulletShield đã sử dụng để đăng ký tên miền từ đó. Họ cung cấp các giải pháp nước ngoài và một trang web thân thiện với Tor, đưa BulletShield lên vị trí dẫn đầu về tổng thể. Tuy nhiên, một đại diện dịch vụ khách hàng đã đề cập với tôi rằng "pesting""chỉ được phép trên các dịch vụ chống đạn", đây có thể là một vấn đề khôn ngoan về chi phí
BuyVM là người về nhì trong việc cho phép thử nghiệm thâm nhập hợp pháp khi có sự đồng ý rõ ràng và hợp pháp bằng văn bản của công ty hoặc (những) người được đề cập. Một đại diện đã xác nhận điều này bằng cách nói rằng họ "cần một tài liệu đầy đủ từ nhóm pháp lý đại diện cho mục tiêu được đề cập cho phép điều đó."Giá khởi điểm của họ thực sự đã nâng họ lên hàng đầu với các giải pháp VPS thấp chỉ 2,42 đô la một tháng. Tuy nhiên, họ yêu cầu thông tin cá nhân của bạn và để đăng ký tài khoản, "chi tiết tài khoản phải khớp với thông tin do phương thức thanh toán cung cấp", vì vậy điều đó có thể có nghĩa là thẻ trả trước ẩn danh đã hết. Bitcoin được chấp nhận, mặc dù. Và mặc dù họ có trang web thân thiện với Tor, nhưng họ có trụ sở chính tại Canada và không cung cấp các giải pháp nước ngoài, điều này có thể là tiêu cực tùy thuộc vào việc bạn đang sử dụng VPS cho mục đích gì

ClientVPS có Điều khoản dịch vụ, nhưng không có nhiều điều trong đó ngoại trừ việc họ sẽ không đổ lỗi cho bất kỳ hành động nào bạn thực hiện dẫn đến "thương tích"cho người hoặc tài sản, vi phạm bản quyền, v.v., và bạn hoàn toàn chịu trách nhiệm. Nhìn chung, giá của chúng đắt nhất, nhưng những điểm nổi bật bao gồm chấp nhận Bitcoin (thẻ Visa trả trước không rõ ràng), có trang web thân thiện với Tor, có trụ sở tại Nga (nơi các yêu cầu cung cấp thông tin thường bị bỏ qua) và cung cấp giải pháp nước ngoài, tất cả trong đó củng cố vị trí hiện tại của nó trong bảng xếp hạng của họ. Ngoài giá cao, những nhược điểm khác bao gồm việc họ thiếu thông tin về quá trình dồn nén hợp pháp (họ không trả lời yêu cầu của tôi) và họ yêu cầu dữ liệu cá nhân của bạn

OneHost Cloud là nhà cung cấp VPS duy nhất mà tôi có thể tìm thấy cung cấp VPS Kali Linux và các giải pháp kiểm tra thâm nhập. Giá của họ bắt đầu chỉ từ 6,59 đô la/tháng, đây là một lợi ích lớn khác của nhà cung cấp này và họ chấp nhận thanh toán bằng BTC. OneHost Cloud dường như là lựa chọn tối ưu cho những người không có ý định quét trái phép một trang web hoặc hack một thực thể mà không có sự đồng ý. Khách hàng cũng sẽ cực kỳ bối rối nếu họ cung cấp giải pháp Kali nhưng không cho phép pentesting hợp pháp. Tuy nhiên, khi tôi hỏi về thử nghiệm thâm nhập hợp pháp, họ chỉ trả lời đơn giản: Tất cả các email trong tương lai từ địa chỉ này sẽ bị chặn. Điều này đã được gửi cho tôi mà không có lý do hoặc giải thích. Vì lý do này, OneHost Cloud đứng ở vị trí cuối cùng và tôi khuyên người đọc nên hỏi độc lập OneHost Cloud về các chính sách ToS của họ trước khi thực hiện bất kỳ loại thử nghiệm thâm nhập nào. Nhược điểm khác của nhà cung cấp này là yêu cầu thông tin cá nhân; được đặt tại London, Vương quốc Anh; không có trang web sẵn sàng ẩn danh; và thiếu thông tin về các giải pháp ra nước ngoài và thẻ trả trước.