Ищем сервера с поддержкой IP-спуфинга (Spoofable VPS)

[noet]

Прежде всего я расскажу вам про то, что такое спуфабл VPS и для чего он вообще нужен?

Спуфабл VPS - это сервер, который позволяет подменять IP-адрес источника (src IP) в сетевых пакетах.
Зачем это нужно? Например, для Amplification DDoS-атак, где IP-адрес источника подменяется на адрес жертвы, чтобы уязвимые сервисы (DNS, NTP, CLDAP, MEMCACHED и другие
(может быть когда-нибудь расскажу как искать такие сервисы)
) отправляли огромные ответы не обратно на VPS, а прямо на жертву.

Без спуфинга не получится сделать амплификацию. А амплификация - ключ к тому, чтобы превратить условные 100 Мбит собственного трафика в гигабиты отражённого. Наверняка некоторые из вас уже пытались "поиграть в хакера" с амплификацией насканив себе уязвимых сервисов, но ловили разочарование и удивлялись: "Почему атака не работает? Пакеты вроде летят, а жертва продолжает жить".

Всё очень просто - в 90% случаев ваш провайдер или сервер НЕ spoofable, поэтому просто отсекает такие подменные пакеты ещё до выхода в магистраль, поэтому они никогда не достигают уязвимых сервисов, простыми словами: Ваш трафик шел вникуда и жертва не получала ровным счётом ни-че-го.

Эта статья скорее пища для размышлений, чем готовый мануал. Кто-то напишет свой скрипт для автоматизации поиска, кто-то будет проверять всё руками, а кому-то просто будет интересно почитать.

Первым делом идём на официальный сайт CAIDA, а именно в последние тесты пользователей:
https://spoofer.caida.org/recent_tests.php

Тут мы видим таблицу последних тестов. Да, понимаю, выглядит страшно, сейчас всё объясню

Что значат столбцы:
• NAT - если стоит yes, значит клиент был за роутером и результаты искажены. Нас интересует no.
• Outbound Private - проверка спуфа локальных адресов (10.0.0.0, 192.168.0.0 и тд). Можно смело игнорировать.
• Outbound Routable - это и есть наше золото, если здесь стоит надпись received, значит пакеты с подменённым IP действительно дошли до CAIDA.
• Adj Spoof Prefix Len - размер диапазона, в котором спуф работает.
- /8 = очень крупная сеть (~16 млн адресов)
- /16 = ~65 тыс. адресов
- /24 = 256 адресов
Чем "шире" диапазон (ближе к /8), тем ценнее.
Большинство результатов приходят от обычных ISP (домашний интернет), которые нам не подходят.
Нам нужны именно хостинг-провайдеры, которые продают сервера/VPS.

1. Берём IP из таблицы CAIDA и проверяем его на https://ipinfo.io или через whois.
2. Ищем, чтобы владелец был hosting / data center, а не ISP / telecom / broadband ISP.

Пример:

Тут мы уже нашли сразу две интересные подсети:
• 216.114.75.x/24
• 187.109.17.x/24

Проверяем их через ipinfo.
Первый же адрес (216.114.75.1) оказался провайдером серверов:





Второй (187.109.17.1) же - обычным провайдером связи без VPS (таких мы скипаем):



В итоге процесс поиска выглядит так:

1. Смотрим список "recent tests" на CAIDA
2. Ищем строки, где NAT = no
3. Ищум строки, где Outbound Routable = received
4. Обращаем внимание на префиксы с /8.../24
5. Проверяем владельца IP через ipinfo/whois
6. Если это хостинг-провайдер, проверяем у него наличие VPS

На этом этапе уже всё зависит от вас:
Кто-то пойдёт собирать базу вручную, кто-то напишет автоматизацию.

Не знаю, как подвести итог этой статьи, наверное, какими-то красивыми словами. В общем, те, кому это действительно нужно - увидят в описанном подходе полезную либо уже знакомую идею, кому не интересно - просто пройдут мимо.
Дудосеров прошу не обижаться, я не пытаюсь убить ваш рынок, скорее наоборот, вдохнуть в него хоть немного свежего воздуха

UPD: Если вам лень всем этим заниматься, тратить деньги на поиск и проверку спуфабл VPS и вам проще переплатить, оставляю реддит ветку где люди иногда оставляют спуфбабл серваки: https://www.reddit.com/r/IPHM_Servers

 

[Drake3221]

достаточно годно для это темы сделано

 

[veryfry]

мне пох,я на свифтнод даж бабок решил не жалеть

 

[merto]

для такого самовара в лице меня оказывается все понятно)