Newsgroup: it.comp.appl.notes-domino
Titolo: UserID e password

salve a tutti,
sono piuttosto nuovo al mondo Domino, e se non ho capito male, il file
UserID contiene il certificato Domino dell'utente...
inoltre viene utilizzato insieme alla password per poter accedere al server
Domino, giusto?
Cioč se io ho il file UserID dell'utente Tizio, e ho la password di Tizio,
allora posso fare il login sul server, giusto?
Ebbene, io sto facendo una scansione per le vulnerabilitŕ su un sistema
domina installato, e durante i vari test che ho fatto, sono riuscito a
prendere (accedendo a questo server Domino tramite Internet, quindi come
utente del tutto NON privilegiato) il file UserID di un utente.
Come posso usarlo per ottenere l'accesso al sistema? E' possibile ad esempio
ricavare la password del relativo utente (di cui conosco il nome di login) a
partire dal suo UserID file?
Ci sono altri pericoli?
grazie se avete qualche idea.

ok, sono riuscito anche ad ottenere l'hash della password di un utente...
sapevo che era stato distribuito un tool chiamato sesame per forzare questi
hash o magari anche il file UserID... ne sapete qualcosa?



Nel secondo tempo del film che fanno su Italia 1 (True L...) stasera
parlano di questa possibilità....
-- 
Ciao./ Zio Ciano.
Born to run Unix
-Fare bene non e` bene, fare male non c'e` male.-

 parlano di questa possibilità....
se devi prendere in giro, lascia perdere... anche perchè ci fai pure una
figuraccia.

figuraccia.
Appunto se stai cercando di giocare al cracker lascia perdere....


 Appunto se stai cercando di giocare al cracker lascia perdere....
che palle, ma perchč non ti fai gli affari tuoi allora?
mi sono stufato di gente come te che se ne esce prendendo in giro quando tu
non sai nemmeno quello che sto facendo. Se secondo te sono un lamer allora
non rispondere, che ci fai piů bella figura.
A me serve di provare di rompere questa hash o lo UserID perchč voglio
dimostrare che si puň fare (se si puň fare) e cosě ci posso mettere un
pizzico di "scalpore" nella mia relazione.
Se non vuoi aiutarmi, non fa niente, ma per favore non fare allusioni a una
mia presunta "lameraggine".
Grazie.
PS: se vuoi maggiori chiarimenti, tu o chiunque mi voglia dare qualche info,
(anche qualche sito di riferimento dove ricercare) basta chiedere la mia
email.
Spero nell'aiuto di qualcun altro.

Ciao,
mi spiegheresti meglio come hai ottenuto il file ID?
Il server è aperto su altre porte oltre all'SMTP?
Copie degli ID sono presenti nei documenti degli utenti nella names?
Come hai ottenuto la password?
Sembreranno banali domande ma potrei aiutarti a scovare qualcos'altro...
CT
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG



che io sappia... non e' stato mai craccato un'userID.
Il problema principale della situation e':
Chi e' quel cazzone che ti ha permesso di recuperare il file ID
dell'utente?
Voglio dire... se hai accesso al file system, allora e' un po' troppo
semplice dire che il baco e' di Notes.
Conosci quei siti che vendono sistemi di cracking di password per
Access, Word etc etc?... mai visto un crack per la PWD dell'user id di
notes.
P.S. Litigare con lo zio... significa non avere letto mai nulla in
questo NG. Scusa, ma ci fai tu la figura del pivello... 
P.P.S. Sono interessato alle tu infos... ti contatto a
does_no...@yahoo.it
?
Ciao Olds.

notes.
Anch'io e direi che sul sito della "Lotus" una volta era spiegato bene
anche il perchè.


 Come hai ottenuto la password?
il file ID l'ho ottenuto in modo molto banale:
hanno lasciato i vari database aperti a tutti, in particolare il database
names.nsf.
Quindi vi ho acceduto tramite Internet (HTTPS)... si, il server č aperto
anche con altre porte, ad esempio la 80, la 443, etc... il bello č che si
trova su una rete interna, ma siccome lo usano per far accedere alla propria
posta da fuori tramite https, allora ecco lě che lo han lasciato aperto.
... spulciando dentro all'elenco utenti (ce ne sono circa 2000 di utenti,
quindi sono stato fortunato), ho beccato due utenti che avevano, nel
database, uno lo UserID liberamente prelevabile, e l'altro il digest della
password.
Poi, ho trovato questo documento (uff che ora perň non mi apre, forse č
down)
http://online.securityfocus.com/news/66
dove dice che avevano fatto un software per cracckare le hash di Domino...
non so se esiste qualcosa del genere anche per gli UserID... e cmq stň
software non si trova.
Io ho mdcrack ma non so se va bene per gli hash di Domino.
Per gli UserID poi non ho proprio idea.
ciao

 
does_no...@yahoo.it
?
contattami qui:
g_pedone_77 <chiocciola> 
yahoo.it
(togli i due underscore, e sostituisci <chiocciola> con .... ;) )
thx

 names.nsf.
[straCUT]
permettimi una domanda banale: ma i proprietari del suddetto server lo 
sanno?
bye
-- 
mik_

 software non si trova.
uhmmm mi correggo. Ecco cosa dicono, piů precisamente:
An attacker may not even have to crack the password. Trust Factory found
that if the user's Internet Notes password is the same as their local Notes
password, and their "UserID" file is publicly accessible, the hashed
password is enough to crack their account. Trust Factory even wrote a
program that opens Notes accounts remotely under these circumstances. They
call it "Sesame."

continuare in amicizia :)
Mai iniziata diversamente. Volevo solo dirti in maniera ironica che
forse uno sguardo ai vari livelli di sicurezza di Domino e come viene
creata un'ID poteva forse toglierti qualche dubbio, ma comunque sarei
ben lieto che tu abbia ragione e potessi trovare il modo per leggere
la pwd di un ID. Io ritengo sia molto difficile o improbabile.


 sanno?
si lo sanno... sanno che questi database sono accessibili, perchè glielo ho
fatto vedere io giovedi (ieri) dopo che ho fatto la scansione di
vulnerabilità con Nessus dall'interno (cioè da un loro computer).
Pensa che mentre io e il mio tutor della ditta leggevamo il report della
scansione, c'era lì uno (non so chi) che parlava con altri che dovevano
chiamare qualcuno (un admin boh) per fargli leggere i log del server...
allora gli abbiamo detto che non serviva chiamare nessuno perchè log.nsf era
accessibile a tutti :)
Poi dopo che son tornato a casa ho provato a spulciare dentro il names.nsf e
ho beccato uno UserID e una password.
Lunedì gli farò vedere anche questo, ... e mi piacerebbe anche dimostrargli
che sono riuscito a cracckare la password :)

sanno?
Dai non dirmi che non ne hai mai trovato uno così.
Non dirmi che non hai mai trovato in rete un router Zyxel che hanno
lasciato la password di default (1234) ecc. ecc.
Il mondo è pieno di chi ci è e chi ci fà....


 la pwd di un ID. Io ritengo sia molto difficile o improbabile.
ok, allora scusami, a questo punto credo che ero un pò prevenuto io...
ho scambiato l'ironia con una preso in giro, visto che avevo avuto altre
esperienze di prese in giro...
ok :)
Per quello che dici dei livelli di sicurezza, effettivamente io di Domino
conosco poco... so che questi UserID contengono il certificato dell'utente,
so anche (mi pare) che serve una password associata ad essi... uhmm (??)
ora vedo di documentarmi ancora sul sito di Domino (spero ci siano info
utili)
cmq che tu sappia, è possibile cracckare il digest di una password invece?

 che sono riuscito a cracckare la password :)
Beh i 3 punti precedenti sono già sufficienti per una buona relazione 
sulle mancate responsabilità degli admin dell'azienda. Non mi sembra 
necessario crackare anche l'ID utente (sempre che sia possibile) perchè 
comunuqe, secondo me, hai già abbastanza materiale per le mani. 
Buon Lavoro allora!
-- 
mik_

 Il mondo è pieno di chi ci è e chi ci fà....
il problema è quando questi elementi lavorano con te :)
comunque penso che il nostro amico lo abbia chiesto esclusivamente a 
titolo di studio, peccato sia passato da trollone all'inizio, ma credo 
che sia in buona fede.
bye/buon week
-- 
mik_

 Buon Lavoro allora!
grazie^^

 This 2 tools work only in dictionary attack.
il problema č che (forse solo apparentemente?) questi due tool sembrano non
funzionare...
Infatti ho fatto questa prova. L'utente di cui ho preso il password digest,
lo conosco, e gli ho chiesto di aiutarmi. Ho fatto questi due test, per
accertarmi che i due tool scritti sopra funzionano davvero:
mi sono fatto scrivere la sua password in chiaro dentro un file che ho usato
come dizionario e poi ho provato a cracckare l'hash. Risultato: niente!
Poi mi sono fatto dare il suo ID file, e di nuovo ho usato il dizionario con
la sua password dentro, e ho provato a cracckare l'ID con l'altro tool.
Risultato: niente!
Sono i due tool che non funzionano? E' la versione 5.0.9a di Domino che č
stata aggiornata e resa piů robusta? Sono io che sbaglio qualcosa?
Cmq cosa ne pensate?
ciao

stata aggiornata e resa pi? robusta? Sono io che sbaglio qualcosa?
Scusa ma io insisto sulla possibilità che è praticamente impossibile.
Non ne ho ovviamente una certezza scientifica ma con il gioco dei
certificati etc. leggere la pwd di un'id la vedo molto dura.
Forse si può fare qualcosa per la password internet scritta dentro la
NAB ma anche li non avrei idea da dove cominciare se non avendo il db
names.nsf in mano e sperando che non sia criptato per non consentire
l'apertura in locale.


 l'apertura in locale.
ho riprovato anche facendomi dare l'HTTP hash, sempre da questo utente che
conosco, e i due tools non riescono ad ottenere nulla.
Io penso allora sia come dici tu, cioè è praticamente impossibile.
Sono tentato di credere che questi due tool che mi hanno suggerito
funzionavano (forse) sulle vecchie versioni di domino. Leggendo qui infatti
http://online.securityfocus.com/news/66
 e anche qui
http://www.nwfusion.com/news/2000/0731lotushole.html
 si capisce che in
qualche modo è stato possibile (sulle precedenti versioni di domino per lo
meno, si accenna alla R4), rompere gli hash, quando questi hash non erano
"salted"... ossia non si usava il "sale" negli hash (ehm non so come si
traduce in italiano, spero si capisca il significato :) )
(del resto siccome l'hash http è diverso dall'hash della id password, anche
se la password è la stessa, allora o gli algoritmi sono diversi, oppure
l'hash è "salato" e quindi è più difficile romperlo se non impossibile)
ciao

continuare in amicizia :)
Certo che si continua in amicizia!
Anche perche' se il lavoro e' serio (come sembra) e' utile x tutti.
Pivello nel senso che non conoscendo lo Zio... non potevi capire il
senso della sua risposta.
Lo zio (anche se ha gusti personali un po' discutibili cfr.
http://groups.google.com/groups?hl=it&lr=&ie=UTF-8&oe=UTF-8&selm=a3opdr%246pk%242%40zip.ntrade.it
)
dal punto di vista del netiquestte e' uno dei + nobili. :-)
Per le due PWD il gioco e' questo:
1. La PWD contentunta nel names.nsf, e' hashata... nonso con che
algoritmo.
2. La PWD dello userID semplicemente NON e' scritta nello userID...
serve a cifrare il file stesso, che poi contiene i certificati
digitali. Ergo: se ottiene la password de-hashando quella nel
names.nsf, se ti va di culo magari e' la stessa dello userID e quindi
puoi accedere anche a quello....
prova a dare un'occhiata qui:
http://publib-b.boulder.ibm.com/Redbooks.nsf/9445fa5b416f6e32852569ae006bb65f/69a91e438f05582a8525666d0067020d?OpenDocument&Highlight=0,domino,security
Ti puoi scaricare la versione PDF.
Tienici informati, ci interessa, buon lavoro.

 Tienici informati, ci interessa, buon lavoro.
se potete leggere la mailing list vuln-dev di securityfocus, ho aperto una
discussione a riguardo... molti hanno risposto con varia roba interessante

 dal punto di vista del netiquestte e' uno dei + nobili. :-)
Dopo la storia della "zia" di qualche tempo fa, questo è davvero 
troppo... :)
-- 
mik_