Domino - Security

[HipSlu]

Hallo,

wer mal Lust hat kann bitte auf meinen Server http://notes.t-mobile.at schauen & mir berichten, ob es irgendwelche Config-Verbesserungen gibt!

[_Arne_]

Öhm ja:)

würde keine User anlegen mit gleichen Namen und Password *geheim tipp*

[luna]

deine uhr geht 7 minuten vor.  

die besucherzahlen sind zu gross, dafuer das mailto zu klein.  

wie hast du das gemacht?  

gruss,
luna

[Fis]

Ohh man kommt ja sogar rein mit test test. Ich hoffe das war absicht

[eknori]

Allowed to use monitors:
Martin Hipfinger/hipslu.com

Not allowed to use monitors:
Martin Hipfinger/hipslu.com

was denn nu ??  

[HipSlu]

So, und jetzt kommt die große Preisfrage:

Wie habt Ihr das gemacht?

[eknori]

Nun ja, das ist ja relativ simpel:

Habe mal die Anmeldung mit Test + test probiert, wie FIS gesagt hat.
Dann werde ich in die Mailbox von Hr. Mustermann geleitet. Da ich mich ja ein bisschen in Notes auskenne, habe ich einfach mal die names.nsf in die URL eingetragen und schwupps war ich im Adressbuch.
Hier konnte ich mich mal in aller Ruhe umsehen und meinen ( Mustermann ) Eintrag ändern.

Komme auch noch in andere Systemdatenbanken rein.

Die ganz harten Sachen werde ich dann mal im Laufe des WE testen  

[HipSlu]

@eknori: alles klar, bin ich beruhigt! dachte schon, da wär was gröberes faul

@Admin & @ Fis: test/test habt ihr aber nur durch zufall rausgefunden.... oder?

@Luna: zeit werd ich gleich am montag richtig stellen   & der counter ist von notes.net (domcount) - link kann i ebenfalls am montag posten

der username / passwort test/test war gott sein dank   natürlich absicht, und zwar war das für meine daus zur veranschaulichung von inotes gedacht...... tja, hab das jetzt natürlich mal schnell geändert  

[HipSlu]

hier wie versprochen der link zum counter:

http://www-10.lotus.com/ldd/sandbox.nsf/ecc552f1ab6e46e4852568a90055c4cd/01f39a2450fb75ab852567de00712f06?OpenDocument

[Fis]

Hallo,

das mit dem Test Test war nur Zufall bei sowas teste ich verschiedene Combos aus und meist ist immer so ein Testzugang zu sehen. Das mit dem Names.nsf im Web ist ein allgemeiner Problem bei den meisten, die sperren die DB´s nicht. Deine ganze Hilfe-DB´s sind auch noch frei, sind aber nicht so wichtig.

Gruß Rodan

[HipSlu]

Diese Erfahrung habe ich auch sehr oft gemacht - vor allem die statrep.nsf ist meist sogar schreibend zugänglich, gar nicht so selten auch die mail.box

am schlimmsten jedoch sind die applikations-db's..... sogar bei so großen firmen wie bei xerox

bei denen bekommt man nicht mal ein mail zurück, wenn man auf fehler hinweist.....

[Hoshee]

Yoo,

von den Standardports sind auf eurem Server noch FTP und SMTP erreichbar / offen.
Wenn es nicht sein muss, würde ich die dicht machen, denn sie bieten immer einen Angriffspunkt.

Scante ...

Hoshee

[Meff]

Servus HipSlu,

ist ja zwischenzeitlich ziemlich dicht (sogar das Relayen geht nicht, findet man nicht häufig).
Inwieweit bist Du noch an einem Test interessiert oder nutzt Du den Server produktiv ? Falls Du möchtest kann man mal ein paar wirkliche Attacken gegen den Server fahren...
Meld Dich mal.


Meff :-))

[HipSlu]

Der Server ist und bleibt ein Testserver - allerdings steht er nicht hinter einer Hardware-Firewall, sondern ist nur durch eine Software-Firewall geschüzt. Für mich ist auch (in diesem Test) nur die Domino-Security wichtig, nicht irgendwelche sonstigen Dinge. D.h. für irgendwelche Verbesserungsvorschläge bez. Verbesserung in der Config bin ich jederzeit offen.

PS: Erspart mir aber bitte so "lustige" DOS Attacken - wie gesagt, nur der Domino-Server selbst ist für mich interessant

[Meff]

Hallo HipSlu,

wo denkst Du hin, Du wolltest ja nicht eine Firewall oder sonst was getestet haben, sondern den Dominoserver...


Meff