Mostrar mensajes previos
Ordenar por
por Mahakuku Sin sí­ntomas
Hola, tengo unas dudas en general para poder realizar un ataque DDoS/Dos.
Primero que nada debo dar un contexto situacional breve. Básicamente estoy haciendo un ejercicio de pentesting a una startup para la cual trabajé y me dieron permisos (legales y verbales) para realizarles ataques de diferente índole. En este caso quiero realizar un ataque de Denegación de servicios para poder evidenciar de que :
  1. Realmente no están capacitados para recibir una alta carga en el serivdor (sitio web mas que nada) 
  2. Si están cuentan con herramientas de mitigación necesarias para ser una startup
Llevo ya tiempo haciendo un reconocimiento pasivo y activo y cuento con la siguiente información importante para este caso:
  • 1 solo servidor en digitalocean
  • No cuenta con cloudflare
  • Utilicé 2 herramientas de detector de WAF y no me arroja ninguno
  • Puertos abiertos:
    • 22.ssh
    • 80 http
    • 443 ssl/http
    • 3000 ppp??
    • 3306 mysq
Con la información reunida me da a entender de que si es posible realizar una denegación de servicios. Tengo un par de dudas eso si que me están impidiendo avanzar.
1) He usado herramientas y script típicos de KALI tales como LOIC,y otros de manera local para ambientes de laboratorio y si, funcionan, pero asumo que solamente desde mi computador personal, corriendo estos programas a través de una maquina virtual y con una red doméstica de internet, no voy a causar nada a un servidor de digital ocean ¿Estaré en lo correcto?
2) Había pensado también en lanzar mi ataque desde una VPS ¿Cómo? No se, creo que aquí solo me queda experimentar y seguir buscando referencias. Por una parte pensé en hacer un DDoS con alguna botnet o simplemente un DoS a la pagina en si, realizando muchas peticiones GET o POST. 
3) Mi otra duda es que, la pagina está en un servidor de DigitalOcean y las herramientas que yo usé para detectar waf no me arrojaron nada, hasta donde yo se, los servicios de hosting/VPS cuentan con propios WAF's o sistemas de mitigación, pero no se en este caso. Quiero confiar en que no tienen nada de estas medidas tomadas porque cuando hablé personalmente con los encargados de TI , no tenían idea de nada de sistemas de mitigación de ningún tipo.

Agradecería si alguien tiene alguna idea de como poder seguir mi camino, todo me suma. Gracias
 
por Flight embedded Moderador
Mahakuku escribió: 03 May 2023, 23:47 Hola, tengo unas dudas en general para poder realizar un ataque DDoS/Dos.
Primero que nada debo dar un contexto situacional breve. Básicamente estoy haciendo un ejercicio de pentesting a una startup para la cual trabajé y me dieron permisos (legales y verbales) para realizarles ataques de diferente índole. En este caso quiero realizar un ataque de Denegación de servicios para poder evidenciar de que :
  1. Realmente no están capacitados para recibir una alta carga en el serivdor (sitio web mas que nada) 
  2. Si están cuentan con herramientas de mitigación necesarias para ser una startup
Llevo ya tiempo haciendo un reconocimiento pasivo y activo y cuento con la siguiente información importante para este caso:
  • 1 solo servidor en digitalocean
  • No cuenta con cloudflare
  • Utilicé 2 herramientas de detector de WAF y no me arroja ninguno
  • Puertos abiertos:
    • 22.ssh
    • 80 http
    • 443 ssl/http
    • 3000 ppp??
    • 3306 mysq
Con la información reunida me da a entender de que si es posible realizar una denegación de servicios. Tengo un par de dudas eso si que me están impidiendo avanzar.
1) He usado herramientas y script típicos de KALI tales como LOIC,y otros de manera local para ambientes de laboratorio y si, funcionan, pero asumo que solamente desde mi computador personal, corriendo estos programas a través de una maquina virtual y con una red doméstica de internet, no voy a causar nada a un servidor de digital ocean ¿Estaré en lo correcto?
2) Había pensado también en lanzar mi ataque desde una VPS ¿Cómo? No se, creo que aquí solo me queda experimentar y seguir buscando referencias. Por una parte pensé en hacer un DDoS con alguna botnet o simplemente un DoS a la pagina en si, realizando muchas peticiones GET o POST. 
3) Mi otra duda es que, la pagina está en un servidor de DigitalOcean y las herramientas que yo usé para detectar waf no me arrojaron nada, hasta donde yo se, los servicios de hosting/VPS cuentan con propios WAF's o sistemas de mitigación, pero no se en este caso. Quiero confiar en que no tienen nada de estas medidas tomadas porque cuando hablé personalmente con los encargados de TI , no tenían idea de nada de sistemas de mitigación de ningún tipo.

Agradecería si alguien tiene alguna idea de como poder seguir mi camino, todo me suma. Gracias



 
Hola. 
"... no voy a causar nada a un servidor de digital ocean ¿Estaré en lo correcto?". Sí, estás en lo correcto.

..."He usado herramientas y script típicos de KALI tales como LOIC..." Deciles a los los encargados de TI"  y a todos aquellos que se quieran sumar a tu proyecto (en beneficio de la seguridad de la empresa según conjeturo por tus palabras y tu buena intención) que individualmente corran al mismo tiempo esa aplicación que mencionaste o cualquier otra herramienta de DDOS, y si son pocos encargados que se sumen otros empleados que conozcan su uso y estén dispuestos a ejecutarla.
Imagen
Imagen
por DSR! Benevolent dictator for life
Pegale al server 80 simulando un post a algun script que tengas. Si es medio verga el server lo tiras abajo con muy poca concurrencia.
 

Código: Seleccionar todo

{******************************************************************************}
{** WARNING WARNING WARNING WARNING WARNING WARNING WARNING WARNING WARNING  **}
{******************************************************************************}
{**                                                                          **}
{** The prototypes, declarations and information in this file has been       **}
{** compiled from various sources as well as through reverse engineering     **}
{** techniques. We make no guarantee as to the correctness of the contents.  **}
{** Caution is recommended, USE AT YOUR OWN RISK.                            **}
{**                                                                          **}
{******************************************************************************}
Temas similares
Puedo hacer un ataque de ddos si tengo varias vps rdp con Windows por Usuario borrado 126798 en Dudas y Preguntas
Ataque a Wordpress ! por Selerim en Dudas y Preguntas
Links sobre el tema
Variantes de tema
Responder

Volver a “Dudas y Preguntas”