Archiv der Kategorie: Security

Raspberry Pi vs. IBM Bluemix – 1:0

I had some time last night (the whole family had gone to bed early), so I spent some to look at the XPages integration into Bluemix. I found the Greenwell Travel Expenses Demo: But after clicking a link, the page … Weiterlesen

Veröffentlicht unter Security, Web, XPages | Verschlagwortet mit , , , , | 6 Kommentare

Security: Usefull HTTP Response Headers

Here is a list of usefull HTTP headers for responses you should know about: X-Content-Type-Options When set to „nosniff„, this header will prevent browsers from MIME-sniffing a response away from the declared content-type. While this header is more relevant for … Weiterlesen

Veröffentlicht unter Allgemein, Security | Verschlagwortet mit | Hinterlasse einen Kommentar

Hardening SSH vs. Eclipse RSE

After hardening the SSH configuration on a Debian server by removing unsecure ciphers and MACs I got in trouble with Eclipse Remote System Explorer. When trying to open the server, I always got an „Algorithm negotiation fail“ message: Even installing … Weiterlesen

Veröffentlicht unter Security | 2 Kommentare

REST & Security: CSRF Attacks

In this post I will demonstrate how a do a CSRF attack against a XPages REST service. Let’s assume that we have a custom REST service on a XPage. To keep the example as simple as possible, this service returns … Weiterlesen

Veröffentlicht unter REST, Security | Verschlagwortet mit , | 5 Kommentare

REST & Security

I am currently wearing my white hat and doing some pen and vulnerabilty tests for a RESTful API. While this is actually a hot topic in the Domino world, here are some resources: CSRF & REST: Stateless CSRF Protection Stateless Session … Weiterlesen

Veröffentlicht unter Security | Verschlagwortet mit , | 11 Kommentare

Security: Another XSS Vulnerability in Domino

Stephan Wissel wrote about a XSS vulnerabilty for Domino servers (< 8.5.4) and in his post you will get an advise how to protect your domino server against this attack. Thanks for this! Works great! But there is still a … Weiterlesen

Veröffentlicht unter Infrastruktur, Java Script, Security, Server, Web, XPages | Verschlagwortet mit , , , , , , , | Hinterlasse einen Kommentar

DocumentDataSource with Signer/SignerWithFullAccess-Rights

Yesterday I read the very interessting question from Daniele Grillo at Is a datasource available for XPages who can access the underlying document with different access levels? I have never seen one before, so I decided to do some … Weiterlesen

Veröffentlicht unter Java, JSF, Security, ServerSide JavaScript, XPages | Verschlagwortet mit , , , , , , | 7 Kommentare

Security: Domino Server Backdoor (2)

Aus einer XPages-Applikation lässt sich der XSP Command Manager (das zugrundeliegende OSGi Framework) fernsteuern. Das Kommando entspricht dem Befehl tell http xsp <BEFEHL> auf der Domino Serverkonsole, nur dass hierfür kein Serverkonsolenzugriff benötigt wird. Mit Hilfe der folgenden XPage lassen … Weiterlesen

Veröffentlicht unter Allgemein, Security, Server, XPages | Verschlagwortet mit , , , , , | 1 Kommentar

Security: Fernsteuerbare DocumentDataSources

Analog zu den ViewDataSources lassen sich auch DocumentDataSources über die Adresszeile des Browsers manipulieren: Der URL-Parameter databaseName ermöglicht hierbei die Steuerung der zugrundliegenden Datenbank, und überschreibt einen eventuell in der XPage hinterlegten Wert. <?xml version=“1.0″ encoding=“UTF-8″?> <xp:view xmlns:xp=““>    <> … Weiterlesen

Veröffentlicht unter Allgemein, JSF, Security, Server, Web, XPages | Verschlagwortet mit , , , , , , | 4 Kommentare

Security: Domino Server Backdoor

Mit XPages lässt sich ein Domino Server auf einfachste Weise lahm legen, da man über die Java Runtime beliebige Threads starten kann. Ein kleiner Button startet z.B. Notepad auf einem Windows Domino Server: <xp:button value=“Start NotePad!“ id=“buttonStartNotePad“> <xp:eventHandler event=“onclick“ submit=“true“ … Weiterlesen

Veröffentlicht unter Allgemein, Security, Server, XPages | Verschlagwortet mit , , , , , | 12 Kommentare