• 15 апреля стартует «Курс «SQL-injection Master» ©» от команды The Codeby

    За 3 месяца вы пройдете путь от начальных навыков работы с SQL-запросами к базам данных до продвинутых техник. Научитесь находить уязвимости связанные с базами данных, и внедрять произвольный SQL-код в уязвимые приложения.

    На последнюю неделю приходится экзамен, где нужно будет показать свои навыки, взломав ряд уязвимых учебных сайтов, и добыть флаги. Успешно сдавшие экзамен получат сертификат.

    Запись на курс до 25 апреля. Получить промодоступ ...

-no Signature- при автозапуске аттачей, созданных программно

  • Автор темы Klido
  • Дата начала
K

Klido

Имеем док с вложением, делаем к нему ответы, копируем туда аттач через copyitem.
Форма ответа имеет автозапуск этого аттача при открытии. Получаем уведомление ECL о действии обращение к стороннему приложению, которое не имеет подписи... Очевидно, ставить "разрешать всегда" нельзя...
Понимает ли кто-нибудь как это побороть? Пока не дошел до принудительного подписания респонсов, но как-т онекрасиво без сигнатуры-то..

Ранее и в некоторых иных случаях такое возникало, не только на запуске аттачей...
 
K

Klido

Итак, чуть подробнее.
Есть signed док с вложением. Делаем к нему респонс и копируем в него это вложение (типа сохраняем старую версию).

Код:
Set doc = New NotesDocument(ws.currentdatabase.database)
Call doc.MakeResponse(ND) 
Set item=ND.Getfirstitem("Doc_Attach")
Call doc.Copyitem(item, "Attach_Version")
Call doc.Save(True,True)

на форму респонса ставим Auto launch-First Attachment

проблема-1: при открытии вложения уведомление ECL про неподписанное действие
att5.jpg

и что делать? разрешать такое действие без подписи для всех - как бы нехорошо...

проблема-2: пробуем исправить ситуацию и ставим перед сохранением doc.Sign() - при открытии дока сообщение о поврежденном вложении (не подписи, а corrupted attachment), но после нажатия ОК - открывает...

Есть какие-нибудь мысли как помочь? Усложнить способ копирования вложения, например, с выгрузкой на диск и явным вкладыванием?
 
N

nvyush

Klido
Код добавления аттача поместить в агента, агента подписать сервером?
 
R

RAJ

Делаем к нему респонс и копируем в него это вложение (типа сохраняем старую версию).

а если изменить схему работы - не создавать респонз с копированием полей из главного дока,
а создавать новый главный док, а предыдущий делать ответным к нему, тогда никаких copyitem не надо
 
K

Klido

nvy
Код добавления аттача поместить в агента, агента подписать сервером?
не помогает - сообщение ECL то же самое.... Вернее их даже 2 - одно на запуск external program, а следом - на Access file system....
 
N

nvyush

nvy

не помогает - сообщение ECL то же самое.... Вернее их даже 2 - одно на запуск external program, а следом - на Access file system....
КМК, если агент исполняется от имени сервера и подписан сервером, а серверу проставлены права делать всё, никаких оповещений защиты выскакивать не должно. Может сервер в правах урезан?
 
K

Klido

права все есть... обратился к звёздному небу и... опасность подстерегает с известной стороны, но про данный случай не знал...


ввиду того, что я в админском клиенте тестю (и создаю аттачи), а остальные тестовые юзеры под клиентом - становится понятно всё, хоть по линку и про отправку почты, по факту "...was determined to be a fault within the Domino Administrator client signing operation".
Способ полечить, кстати - жесть (пересохранение форм в почтовом шаблоне).

Ушел копать в этом тнаправлении и тестить только под клиентом....

Добавлено: да, под клиентом еррор ECL обходится применением .sign, зато имеет место ошибка при попытке открыть док с запуском вложения "the attachment may be corrupted lotus" хотите ли продолжить? и если ОК - всё открывается...
причем не на всех типах вложений, например, на .doc ругается, а на .jpeg - нет... всё это очень подозрительно....

Добавлено: хм... что-то перестаю я понимать IBM :KillMe:

IBM Lotus Notes 8.5
Versions 8.5 and 8.5.1

Encoded Data Checksum Mismatch - Attachment may be corrupted

What happened
The attachment you tried to use is unusable by IBM® Lotus Notes®
 
K

Klido

в общем из полезного по копированию аттачей без выгрузки на диск нашлось

всё вроде красиво, по комментам не вызывает подозрений, даже работает, но... в новом документе нет аттачей (полей $File)...
ерунда какая-то...
похоже всё-таки придется через диск делать...
 
T

TIA

2004г - старьё. В примере обходится древний глюк, когда при копировании РТ-поля не копировались его вложения. Сейчас при копировании РТ-поля его вложения тоже копируются.
 
K

Klido

наконец-то побеждено "неподписанное" вложение...
рецепт:
1. написано, что исправили в 6.5.4 и 6.0.5, но без этого на 8.5 не пошло..возможно из-за того, что база создавалась когда-то на 6.х
2. перед копированием аттача из основного дока в респонс ПОДПИСЫВАЕМ с сохранением родительский док текущим пользователем...
 
Мы в соцсетях:

Обучение наступательной кибербезопасности в игровой форме. Начать игру!