Wie Anonym Drogenshop übers cleanet öffnen ?

[SEGAPACKS]

Hey,

Was muss ich beachten wenn ich einen Shop im clearnet öffnen möchte ?

VPN,SOCKS usw ist mir bekannt.

Server über cloudflare usw auch.

Gibt es jedoch sachen die ich beachten müsste beim einloggen oder beim erstellen ?

Würde mich freuen wenn mir jemand auf die sprünge helfen würde :)

Liebe Grüße

SEGAPACKS

 

[H1ddenlines]

Cloudflare reichte noch nie aus alleine. Es sollte mindestens ein Reverseproxy dazwischen liegen den du monatlich tauschen solltest.

Reverseproxy sollte eine sichere VPN Verbindung zum zweiten RP oder Backend aufweisen. Nur diese Server dürfen untereinander sprechen. 

 

Bei deinen Fragen würde ich aber mir noch mehr Gedanken machen.

Socks sind zu vernachlässigen, wir sind nicht beim Carding -  wenn nämlich der Socks am Ende deiner Kaskade loggt bist du ziemlich arm dran.

 

Nutze Ram Only Systeme die sich zu einer Art sicheren Arbeitsumgebung verbinden. Schau das du so wenig Spuren wie Möglich auf deinem System erzeugst.

Ich kenne Leute die arbeiten über einen modifizierten FireTV Stick vom offenen Vollzug aus ohne Daten in der Zelle zu haben, Grüße nach B.

 

[SEGAPACKS]

17 minutes ago, H1ddenlines said:

Cloudflare reichte noch nie aus alleine. Es sollte mindestens ein Reverseproxy dazwischen liegen den du monatlich tauschen solltest.

Reverseproxy sollte eine sichere VPN Verbindung zum zweiten RP oder Backend aufweisen. Nur diese Server dürfen untereinander sprechen. 

 

Bei deinen Fragen würde ich aber mir noch mehr Gedanken machen.

Socks sind zu vernachlässigen, wir sind nicht beim Carding -  wenn nämlich der Socks am Ende deiner Kaskade loggt bist du ziemlich arm dran.

 

Nutze Ram Only Systeme die sich zu einer Art sicheren Arbeitsumgebung verbinden. Schau das du so wenig Spuren wie Möglich auf deinem System erzeugst.

Ich kenne Leute die arbeiten über einen modifizierten FireTV Stick vom offenen Vollzug aus ohne Daten in der Zelle zu haben, Grüße nach B.

 

Erstmal danke,

welchen reverseproxy kannst du empfehlen ?

welche only ram systeme ?

Würde mich über eine Antwort freuen :)

Liebe Grüße

SEGAPACKS

[Kartoffel]

Bevor du dir gedanken über Hosting machst, solltest du dir:

1. Gedanken darüber machen die Coins clean zu machen, BTC -> XMR -> XMR -> BTC, 

2. Dein Versandsetup anpassen, dass so wenig genetisches Material wie möglich hinterlassen wird.

 

Wenn du hier aber schon Fragen stellst was du beim einloggen / erstellen beachten musst würde ich dir ganz klar raten, lass es.

Ohne vernünftiges Setup (ReverseProxy, vernünftige Cloudflare settings, Firewalls direkt auf Serverseite) wird dein Shop schneller offline sein bevor du den ersten Kunden hast.

Und du ggf. im Knast.

 

[Kropotkin]

10 hours ago, SEGAPACKS said:

Erstmal danke,

welchen reverseproxy kannst du empfehlen ?

welche only ram systeme ?

Würde mich über eine Antwort freuen :)

Liebe Grüße

SEGAPACKS

Am einfachsten ist der Einstieg mit dem Nginx Proxy Manager, der sich schnell und unkompliziert mit einer grafischen Benutzeroberfläche (GUI) über Docker installieren lässt.

RAM-Only-Systeme bedeuten, dass das komplette Betriebssystem direkt in den Arbeitsspeicher geladen wird und keinerlei Daten auf die Festplatte schreibt. Wichtiger Hinweis für Shops: Da bei einem Neustart alle Daten gelöscht werden, musst du die Shop-Datenbank auf einen separaten, sicheren Server auslagern.

Cloudflare bietet darüber hinaus viele Sicherheits- und Routing-Optionen. Du kannst dort mehrere Server-IPs hinterlegen. Sobald ein Server ausfällt, leitet Cloudflare den Traffic automatisch an den nächsten aktiven Server weiter (Load Balancing).

Wenn du das Routing direkt über Cloudflare steuerst, ist ein zusätzlicher HAProxy als lokaler Loadbalancer meistens überflüssig. Er ist jedoch als Zusatz interessant, wenn du den Traffic erst hinter Cloudflare auf interner Infrastruktur verteilen möchtest.

[SEGAPACKS]

1 hour ago, Kropotkin said:

Am einfachsten ist der Einstieg mit dem Nginx Proxy Manager, der sich schnell und unkompliziert mit einer grafischen Benutzeroberfläche (GUI) über Docker installieren lässt.

RAM-Only-Systeme bedeuten, dass das komplette Betriebssystem direkt in den Arbeitsspeicher geladen wird und keinerlei Daten auf die Festplatte schreibt. Wichtiger Hinweis für Shops: Da bei einem Neustart alle Daten gelöscht werden, musst du die Shop-Datenbank auf einen separaten, sicheren Server auslagern.

Cloudflare bietet darüber hinaus viele Sicherheits- und Routing-Optionen. Du kannst dort mehrere Server-IPs hinterlegen. Sobald ein Server ausfällt, leitet Cloudflare den Traffic automatisch an den nächsten aktiven Server weiter (Load Balancing).

Wenn du das Routing direkt über Cloudflare steuerst, ist ein zusätzlicher HAProxy als lokaler Loadbalancer meistens überflüssig. Er ist jedoch als Zusatz interessant, wenn du den Traffic erst hinter Cloudflare auf interner Infrastruktur verteilen möchtest.

Alles klar,

Vielen dank für diese hilfreichen optionen !

werde das alles umsetzen.

Liebe Grüße

SEGAPACKS

[Kartoffel]

@ SEGAPACKS  es gibt eine geleakte version von Fraudcart. https://github.com/ret0x7A69/openfraudcart

Das kannst du gut als Shop nutzen.

Die funktioniert und hat meines wissens nach keine Backdoor, ich hatte damals nichts gefunden (Keine Garantie drauf, immer selbst prüfen).

Was du evtl machen solltest um für Erweiterungen keine Probleme zu haben ist die Laravel Version updaten und redesignen.

Kannst du relativ günstig von Freelancern machen lassen.

6 hours ago, Kropotkin said:

Am einfachsten ist der Einstieg mit dem Nginx Proxy Manager,

Dazu ist hinzuzufügen, dass du wenn du mit Nginx arbeitest einige Ports schließen musst bzw diese nur mit Cloudflare kommunizieren lassen darfst.

Wenn deine Backend IP geleaked wird ist feierabend für deinen Server.

80 = nur Cloudflare

443 = nur Cloudflare

22 = eine Proxy IP die nur dir gehört und du nur mit dieser auf den SSH zugreifen kannst

81 = nicht öffentlich

alle anderen Ports = blockieren

 

Aus eigener Erfahrung kann ich dir noch sagen regelmäßig verschlüsselte Backups der DB ziehen rettet dir im zweifelsfall den Arsch.

Im idealfall, alle 10 min mit MAX. 24h Speicherdauer. Lässt sich alles automatisieren.

Du wirst nicht bei den etablierten Hostern wie: Hetzner, Strato etc hosten, sondern bei irgendeinem Reseller.

Dort kann es sein dass der Server einfach so zerschossen wird. Ohne Backup steht du ohne alles da.

 

Zum Thema Domains, mein Wissen ist dazu aus 2023, seitdem mache ich aktiv nichtsmehr, da lass ich mich auch gerne korrigieren:

.to Domains halten gut was aus. WICHTIG: direkt beim provider selbst holen: tonic.to

Zahlungen kannst du über https://btcpayserver.org/ abwickeln lassen. Es gibt auch möglichkeiten für XMR: https://sethforprivacy.com/guides/accepting-monero-via-btcpay-server/

Lässt sich relativ einfach per API einbinden. 

 

Ansonsten

- es schadet nicht jemanden für Pentesting zu bezahlen.

- Achte auf dein Setup

- Mach deine Coins sauber, IMMER EGAL FÜR WAS!!

[H1ddenlines]

6 hours ago, Kartoffel said:

@ SEGAPACKS  es gibt eine geleakte version von Fraudcart. https://github.com/ret0x7A69/openfraudcart

Das kannst du gut als Shop nutzen.

Die funktioniert und hat meines wissens nach keine Backdoor, ich hatte damals nichts gefunden (Keine Garantie drauf, immer selbst prüfen).

Was du evtl machen solltest um für Erweiterungen keine Probleme zu haben ist die Laravel Version updaten und redesignen.

Kannst du relativ günstig von Freelancern machen lassen.

Dazu ist hinzuzufügen, dass du wenn du mit Nginx arbeitest einige Ports schließen musst bzw diese nur mit Cloudflare kommunizieren lassen darfst.

Wenn deine Backend IP geleaked wird ist feierabend für deinen Server.

80 = nur Cloudflare

443 = nur Cloudflare

22 = eine Proxy IP die nur dir gehört und du nur mit dieser auf den SSH zugreifen kannst

81 = nicht öffentlich

alle anderen Ports = blockieren

 

Aus eigener Erfahrung kann ich dir noch sagen regelmäßig verschlüsselte Backups der DB ziehen rettet dir im zweifelsfall den Arsch.

Im idealfall, alle 10 min mit MAX. 24h Speicherdauer. Lässt sich alles automatisieren.

Du wirst nicht bei den etablierten Hostern wie: Hetzner, Strato etc hosten, sondern bei irgendeinem Reseller.

Dort kann es sein dass der Server einfach so zerschossen wird. Ohne Backup steht du ohne alles da.

 

Zum Thema Domains, mein Wissen ist dazu aus 2023, seitdem mache ich aktiv nichtsmehr, da lass ich mich auch gerne korrigieren:

.to Domains halten gut was aus. WICHTIG: direkt beim provider selbst holen: tonic.to

Zahlungen kannst du über https://btcpayserver.org/ abwickeln lassen. Es gibt auch möglichkeiten für XMR: https://sethforprivacy.com/guides/accepting-monero-via-btcpay-server/

Lässt sich relativ einfach per API einbinden. 

 

Ansonsten

- es schadet nicht jemanden für Pentesting zu bezahlen.

- Achte auf dein Setup

- Mach deine Coins sauber, IMMER EGAL FÜR WAS!!

Nicht verkehrt deine Antwort aber .TO Domains sind seit diesen Jahres auch nicht mehr sicher. Burning Series hat die Domain schon verloren und wird Sie auch nicht wiederbekommen, sorry not sorry. )))

-> https://tarnkappe.info/artikel/szene/burning-series-und-serienstream-mit-technischen-problemen-331144.html | bs.to

Die Content Industrie kann sehr böse mit Geld um sich werfen um ihre Ziele zu verwirklichen. Heißt .TO Domains heutzutage sind so lange sicher bis es jemand wirklich ernst meint.

Auch das TONIC Abuse Interface wurde überarbeitet auch wenn es auf die ersten Klicks noch nach dem 2004er Design aussieht.

https://www.tonic.to/abuse @ Krypton  ggf. interessant für dich.

@ Kartoffel

Cloudflare als reinen Proxy zu verwenden mag zwar nach Außen hin gut gehen, aber sie loggen, was meinst du wieso andere Foren nur noch DDoSGuard.RU verwenden seit dem Bust von Toha? 

Diese sind zwar auch staatlich unterstellt aber wenn du dich auf deren Boden nicht wie Scheiße verhälst, passiert dir und deinen Projekten wenig bis gar nichts.

CF können und werden eure Sessions auf den Useragent genau abfangen, wenn die entsprechende Order reinkommt inkl. Timestamps inkl. JS Injection.

Nicht alle Funktionen die Cloudflare anbietet sind nur für den Schutz gegen DDoS, auch aber nicht nur. ^^

Ein Admin sollte daher immer möglichst direkt mit dem Endserver sprechen und nicht die URL seiner Nutzer verwenden, jo klingt Arschig aber kostenlos ist halt immer so eine Sache. Manche Boards verwenden Paid Access 

und damit meine ich nicht nur sich einen lustige Farbe / Titel zu kaufen.

 

[SEGAPACKS]

19 hours ago, Kartoffel said:

@ SEGAPACKS  es gibt eine geleakte version von Fraudcart. https://github.com/ret0x7A69/openfraudcart

Das kannst du gut als Shop nutzen.

Die funktioniert und hat meines wissens nach keine Backdoor, ich hatte damals nichts gefunden (Keine Garantie drauf, immer selbst prüfen).

Was du evtl machen solltest um für Erweiterungen keine Probleme zu haben ist die Laravel Version updaten und redesignen.

Kannst du relativ günstig von Freelancern machen lassen.

Dazu ist hinzuzufügen, dass du wenn du mit Nginx arbeitest einige Ports schließen musst bzw diese nur mit Cloudflare kommunizieren lassen darfst.

Wenn deine Backend IP geleaked wird ist feierabend für deinen Server.

80 = nur Cloudflare

443 = nur Cloudflare

22 = eine Proxy IP die nur dir gehört und du nur mit dieser auf den SSH zugreifen kannst

81 = nicht öffentlich

alle anderen Ports = blockieren

 

Aus eigener Erfahrung kann ich dir noch sagen regelmäßig verschlüsselte Backups der DB ziehen rettet dir im zweifelsfall den Arsch.

Im idealfall, alle 10 min mit MAX. 24h Speicherdauer. Lässt sich alles automatisieren.

Du wirst nicht bei den etablierten Hostern wie: Hetzner, Strato etc hosten, sondern bei irgendeinem Reseller.

Dort kann es sein dass der Server einfach so zerschossen wird. Ohne Backup steht du ohne alles da.

 

Zum Thema Domains, mein Wissen ist dazu aus 2023, seitdem mache ich aktiv nichtsmehr, da lass ich mich auch gerne korrigieren:

.to Domains halten gut was aus. WICHTIG: direkt beim provider selbst holen: tonic.to

Zahlungen kannst du über https://btcpayserver.org/ abwickeln lassen. Es gibt auch möglichkeiten für XMR: https://sethforprivacy.com/guides/accepting-monero-via-btcpay-server/

Lässt sich relativ einfach per API einbinden. 

 

Ansonsten

- es schadet nicht jemanden für Pentesting zu bezahlen.

- Achte auf dein Setup

- Mach deine Coins sauber, IMMER EGAL FÜR WAS!!

Ich danke dir für dieses tolle Tool !!

Wie fange ich an auf dem mac diese codes einzusetzen um den Shop zu sehen ?

Liebe Grüße

SEGAPACKS

[Kartoffel]

18 hours ago, H1ddenlines said:

Nicht verkehrt deine Antwort aber .TO Domains sind seit diesen Jahres auch nicht mehr sicher. Burning Series hat die Domain schon verloren und wird Sie auch nicht wiederbekommen, sorry not sorry. )))

Vielen Dank für die Info, dann rein aus Interesse, welche tld ist denn noch zu gebrauchen? :)

[BullDDoser]

Dickes Danke an die Comunnity für eure Hilfe.🙏

LG

Bulli

[BullDDoser]

Verdient einen weitere Push

LG

Bulli

[H1ddenlines]

On 31.7.2026 at 00:20, Kartoffel said:

Vielen Dank für die Info, dann rein aus Interesse, welche tld ist denn noch zu gebrauchen? :)

Aktuell im Trend ist .IR (IRAN) .hk .tw .ac .ai .io eigentlich alles was nicht direkt der ICANN unterstellt ist.

Oft ist aber auch die Sache, dass wenn nicht ICANN unterstellte Registrare eine z.B .AI Domain anbieten, diese aber in den USA oder Deutschland oder UK  ihren Firmensitz haben dann bringt es leider auch wenig und die Abuse Mail zieht schnell vorallem wenn sie über spezialisierte Anwälte eintrifft.

Es sollte schon sehr nativ gewählt sein heißt bei einer .AI (ANGUILLA) -> schau das der Firmensitz bestenfalls nah an oder Anguilla ist wo du die Sache einkaufst.

 

[H1ddenlines]

On 30.7.2026 at 18:46, SEGAPACKS said:

Ich danke dir für dieses tolle Tool !!

Wie fange ich an auf dem mac diese codes einzusetzen um den Shop zu sehen ?

Liebe Grüße

SEGAPACKS

Rewritten and upgraded version of FraudCart (made by slaves, published by DarkBASIC)

Overview of most changes:

• Updated from Laravel 5.7 to 8.9 with all its dependencies
• Adding orders logic rewritten
• Enables multiple up to thousands of digital orders at once
• Implementation of caching to reduce app load and increase performance, which has been increased up to 100 times for certain operations
• Reduced number of queries in general
• Unnecessary cron jobs removed

 

Wenn du es nicht auf Laravel 11/12 hochmontieren willst was recht nervig sein wird, würde ich dir erstmal davon abraten. Du wirst es zum laufen bekommen aber mit vuln. PHP Versionen und schlecht abgesicherte PHP Versionen bzw. zu Alte in diesem Fall sind ein direkter Entry in deinen Server, da wäre tatsächlich ein abgesichertes WP/WC Setup mit HD Cryptowoo der sichere Low-Budget Weg.

[SEGAPACKS]

Push

[Quantom]

Schön zu sehen, wie fleißig und hilfsbereit die Community hier unterstützt! Wenn du ein Projekt planst, das auf absolute Anonymität und höchste Sicherheit ausgelegt ist, reichen einfache Standard-Setups leider bei Weitem nicht aus. Grundsätzlich solltest du nach der Devise „Privacy & Local-First“ entwickeln und betreiben – sensible Daten und Logiken gehören so nah wie möglich an deine eigene Kontrolle und nicht auf fremde Cloud-Dienste.

Gehe am besten mit einer gesunden Portion Paranoia an die Sache ran: Gehe vom ersten Tag an davon aus, dass dein Server bereits unter Dauerbeschuss steht und jemand mit aller Macht versucht, an deine Daten zu kommen (Zero Trust). Arbeite verdammt vorsichtig! Das bedeutet auch, dass deine Programme und Dienste nach außen hin auf ein absolutes Minimum an Kommunikation heruntergeschraubt werden müssen. Ein einziger unbedachter API-Call oder ein externer Telemetrie-Pings einer Software reicht im Zweifel schon aus, um die echte IP und somit den Standort deines Servers zu verraten.

Eine strikte Trennung von Frontend, Backend und einzelnen Modulen ist dabei essenziell. Arbeite so dezentral wie möglich und nutze separate Server oder isolierte Container für die verschiedenen Komponenten. Sollte deine Webseite – also das Frontend – einmal gekappert werden, bleibt der Rest deiner Infrastruktur und deiner Datenbanken unberührt. Genauso wichtig ist eine durchdachte Backup-Strategie: Es ist extrem naiv zu glauben, dass schon nichts passieren wird. Backups müssen automatisiert, regelmäßig und vor allem verschlüsselt auf externe Systeme übertragen werden, bevor sie den Server überhaupt verlassen.

Für den absoluten Ernstfall solltest du außerdem einen verlässlichen Nuke-Mechanismus parat haben. Sobald du auch nur das leiseste Bauchgefühl hast, dass etwas schiefläuft (oder sprichwörtlich der linke Hoden juckt), muss sich dein System per Knopfdruck oder Skript innerhalb von Sekunden selbst bereinigen. Alles Kritische wird spurlos vernichtet, und nur das absolut Nötigste überlebt verschlüsselt an einem sicheren Ort.

Was die Netzwerk-Anonymität angeht, solltest du niemals mit deinen echten öffentlichen IPs arbeiten. Auch VPN-Zugänge sind mit Vorsicht zu genießen, da sie oft ein trügerisches Gefühl von Sicherheit vermitteln. Erlangt ein Angreifer Zugriff auf einen Knotenpunkt, kann er sich im ungünstigsten Fall seitlich durch den VPN-Tunnel bewegen und deinen echten Standort lokalisieren. Wenn es wirklich streng anonym sein muss, führen Wege eher über versteckte Dienste wie Tor (Onion Services) oder I2P. Das treibt allerdings die Latenz spürbar in die Höhe, was du bei der Anwendungsarchitektur berücksichtigen musst.

Gleichzeitig darf weder dein Quellcode noch deine Konfiguration irgendwelche digitalen Spuren hinterlassen. Ein bekannter Klassiker unter den Fehlern ist das Hinterlassen echter Identitätsmerkmale – wie damals beim Betreiber von Candyshop, der seine echte E-Mail-Adresse im SSL-Zertifikat angegeben hatte. Achte ebenso darauf, keine persönlichen Daten in Git-Commits, Bild-Metadaten oder WHOIS-Einträgen von Domains zu hinterlassen.

Auch das Thema Finanzen erfordert höchste Sorgfalt. Pseudonym ist nicht gleich anonym: Transparente Blockchains wie Bitcoin lassen sich heutzutage problemlos nachverfolgen und führen über Börsen fast immer zur echten Identität. Wer Anonymität beim Zahlungsverkehr ernst nimmt, setzt ausschließlich auf Privacy-Coins wie Monero und betreibt am besten eigene Open-Source-Payment-Gateways.

Zu guter Letzt: Nutze ruhig KI zur Unterstützung beim Programmieren, denn sie ist inzwischen verdammt mächtig geworden. Sei dir aber bewusst, dass KIs nach wie vor halluzinieren. Sie verkaufen dir fehlerhaften oder unsicheren Code manchmal mit voller Überzeugung als richtig. Hinterfrage Sicherheitslogiken daher immer selbst und gib niemals echte Zugangsdaten oder spezifische Serverpfade in öffentliche KI-Prompts ein. Wer sich inspirieren lassen möchte, wie ein moderner KI-Workflow beim Coden aussehen kann, findet hier einen guten Ansatz: https://christitus.com/my-ai-workflow/ (als Raw-Text, da externe Links hier eventuell nicht erlaubt sind).

Natürlich ist das alles hier kein vollständiges Handbuch und kratzt nur an der Oberfläche – das Thema OpSec und anonymes Hosting ist riesig, und man lernt nie aus. Aber wenn du diese Grundregeln beachtest, hast du schon ein solides Fundament!