Lotus

Magazine
Marque
MISC
HS n°
Numéro
1
Mois de parution
octobre 2007


Résumé

Dans cet article, nous abordons le sujet des pentests sur infrastructures Lotus. « Lotus », vous avez bien dit « Lotus » ??? Oui, oui, vous savez, cette interface très longue à charger, qui vous ouvre le monde merveilleux de produits complexes et mystérieux. Vous l’avez certainement même déjà rencontrée lors d’un audit, sur un réseau, avec son port TCP/1352 ouvert. Vous vous êtes dit « que faire maintenant ? ». Cet article va tenter de répondre à cette question.


Voici une photo du client pour rafraîchir les mémoires :

f1 11

Tout d’abord, présentons brièvement les différents éléments qui composent l’offre Lotus. Lotus est le nom de la société appartenant à IBM, auteur des composants « Domino » (partie serveur) et Notes (partie cliente). La version actuelle est la version 7, serveurs et clients suivant les mêmes numéros de version. Le gros du parc installé est cependant en version 6 (notamment 6.5.x). Le serveur s’installe sur quasiment tous les systèmes d’exploitation, le client en revanche est un peu plus capricieux et ne fonctionne correctement que dans des environnements Windows. Le serveur n’est livré par défaut avec aucun compte système ou d’administration. Les interrogations sur ce fameux port TCP/1352, et les autres (connecteurs Domino vers d’autres protocoles, tels que SMTP, POP…) ne sont pas non plus très verbeuses. Pas non plus d’exploit connu qui, en un clic, vous donne un shell sur le...

Cet article est réservé aux abonnés. Il vous reste 97% à découvrir.
à partir de 21,65€ HT/mois/lecteur pour un accès 5 lecteurs à toute la plateforme
J'en profite