一、 IIS的身份驗(yàn)證概述.... 3
1、 匿名訪問... 3
2、 集成windows身份驗(yàn)證... 3
2.1. NTLM驗(yàn)證... 3
2.2. Kerberos驗(yàn)證... 3
3、 基本身份驗(yàn)證... 4
二、 匿名訪問.... 4
三、 Windows集成驗(yàn)證.... 5
1、 NTLM驗(yàn)證過程... 5
1.1. 客戶端選擇NTLM方式... 5
1.2. 服務(wù)端返回質(zhì)詢碼... 5
1.3. 客戶端加密質(zhì)詢碼再次發(fā)送請求... 5
1.4. 服務(wù)端驗(yàn)證客戶端用戶和密碼... 5
2、 Kerberos驗(yàn)證過程... 6
2.1. 客戶端選擇Kerberos驗(yàn)證... 6
2.2. 服務(wù)端驗(yàn)證身份驗(yàn)證票... 6
3、 客戶端和服務(wù)器都不在域中... 6
3.1. 客戶端用ip地址訪問服務(wù)... 6
3.1.1. 客戶端IE申請頁面... 6
3.1.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 6
3.1.3. 客戶端選擇NTLM驗(yàn)證，要求輸入用戶名密碼，請求質(zhì)詢碼... 7
3.1.4. 服務(wù)器返回質(zhì)詢碼... 7
3.1.5. 客戶端發(fā)送使用前面輸入賬戶的密碼加密后的質(zhì)詢碼... 7
3.1.6. 服務(wù)端驗(yàn)證通過，返回資源... 8
3.2. 客戶端用機(jī)器名訪問服務(wù)器，登錄用戶名/口令跟服務(wù)器不匹配... 9
3.2.1. 客戶端IE申請頁面... 9
3.2.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 9
3.2.3. 客戶端選擇NTLM驗(yàn)證，請求質(zhì)詢碼... 9
3.2.4. 服務(wù)器返回質(zhì)詢碼... 9
3.2.5. 客戶端發(fā)送用登陸本機(jī)的賬戶加密后的質(zhì)詢碼... 10
3.2.6. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 10
3.2.7. 客戶端及選選擇NTLM驗(yàn)證，要求輸入用戶名和口令，再次請求質(zhì)詢碼... 10
3.2.8. 服務(wù)端返回質(zhì)詢碼... 11
3.2.9. 客戶端發(fā)送使用前面輸入賬戶的密碼加密后的質(zhì)詢碼... 11
3.2.10. 服務(wù)端驗(yàn)證通過，返回資源... 11
3.3. 客戶端用機(jī)器名訪問服務(wù)器，登錄用戶名/口令跟服務(wù)器匹配... 12
3.3.1. 客戶端IE申請頁面... 12
3.3.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 12
3.3.3. 客戶端選擇NTLM驗(yàn)證，請求質(zhì)詢碼... 12
3.3.4. 服務(wù)器返回質(zhì)詢碼... 13
3.3.5. 客戶端發(fā)送用登陸本機(jī)的賬戶加密后的質(zhì)詢碼... 13
3.3.6. 服務(wù)端驗(yàn)證通過，返回資源... 13
4、 客戶端和服務(wù)器都在同一域中... 14
4.1. 客戶端用機(jī)ip訪問服務(wù)器... 14
4.1.1. 客戶端IE申請頁面... 14
4.1.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 14
4.1.3. 客戶端選擇NTLM驗(yàn)證，要求輸入用戶名密碼，請求質(zhì)詢碼... 15
4.1.4. 服務(wù)器返回質(zhì)詢碼... 15
4.1.5. 客戶端發(fā)送使用前面輸入賬戶的密碼加密后的質(zhì)詢碼... 15
4.1.6. 服務(wù)端驗(yàn)證通過，返回資源... 16
4.2. 客戶端用機(jī)器名訪問服務(wù)器，客戶端用戶以域賬戶登錄... 16
4.2.1. 客戶端IE申請頁面... 16
4.2.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 16
4.2.3. 客戶端選擇Kerberos驗(yàn)證，發(fā)送驗(yàn)證票到服務(wù)端... 17
4.2.4. 服務(wù)端驗(yàn)證通過，返回資源... 17
4.3. 客戶端用機(jī)器名訪問服務(wù)器，客戶端用戶以客戶端本地用戶登錄，用戶名/口令跟服務(wù)器賬戶不匹配 18
4.3.1. 客戶端IE申請頁面... 18
4.3.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 18
4.3.3. 客戶端選擇NTLM驗(yàn)證，請求質(zhì)詢碼... 19
4.3.4. 服務(wù)器返回質(zhì)詢碼... 19
4.3.5. 客戶端發(fā)送用登陸本機(jī)的賬戶加密后的質(zhì)詢碼... 19
4.3.6. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 20
4.3.7. 客戶端及選選擇NTLM驗(yàn)證，要求輸入用戶名和口令，再次請求質(zhì)詢碼... 20
4.3.8. 服務(wù)端返回質(zhì)詢碼... 20
4.3.9. 客戶端發(fā)送使用前面輸入賬戶的密碼加密后的質(zhì)詢碼... 20
4.3.10. 服務(wù)端驗(yàn)證通過，返回資源... 21
4.4. 客戶端用機(jī)器名訪問服務(wù)器，客戶端用戶以客戶端本地用戶登錄，用戶名/口令跟服務(wù)器賬戶匹配 21
4.4.1. 客戶端IE申請頁面... 21
4.4.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 22
4.4.3. 客戶端選擇NTLM驗(yàn)證，請求質(zhì)詢碼... 22
4.4.4. 服務(wù)器返回質(zhì)詢碼... 22
4.4.5. 客戶端發(fā)送用登陸本機(jī)的賬戶加密后的質(zhì)詢碼... 22
4.4.6. 服務(wù)端驗(yàn)證通過，返回資源... 23
5、 集成驗(yàn)證總結(jié)... 23
5.1. 客戶端以ip地址訪問服務(wù)器... 23
5.2. 服務(wù)器在域，客戶端以域帳號登陸... 24
5.3. 其他情況IE都選擇采用NTLM驗(yàn)證方式。... 24
四、 基本身份驗(yàn)證.... 24
1、 客戶端IE申請頁面... 24
2、 服務(wù)端返回?zé)o授權(quán)回應(yīng)，并告知客戶端要求基本身份驗(yàn)證... 24
3、 客戶端彈出對話框要求輸入用戶名和密碼... 25
4、 服務(wù)端驗(yàn)證通過，返回資源... 25
一、 IIS的身份驗(yàn)證概述
IIS具有身份驗(yàn)證功能，可以有以下幾種驗(yàn)證方式：
1、 匿名訪問
這種方式不驗(yàn)證訪問用戶的身份，客戶端不需要提供任何身份驗(yàn)證的憑據(jù)，服務(wù)端把這樣的訪問作為匿名的訪問，并把這樣的訪問用戶都映射到一個(gè)服務(wù)端的賬戶，一般為IUSER_MACHINE這個(gè)用戶，可以修改映射到的用戶：
2、 集成windows身份驗(yàn)證
這種驗(yàn)證方式里面也分為兩種情況
2.1.
NTLM
驗(yàn)證
這種驗(yàn)證方式需要把用戶的用戶名和密碼傳送到服務(wù)端，服務(wù)端驗(yàn)證用戶名和密碼是否和服務(wù)器的此用戶的密碼一致。用戶名用明碼傳送，但是密碼經(jīng)過處理后派生出一個(gè)8字節(jié)的key加密質(zhì)詢碼后傳送。
2.2.
Kerberos
驗(yàn)證
這種驗(yàn)證方式只把客戶端訪問IIS的驗(yàn)證票發(fā)送到IIS服務(wù)器，IIS收到這個(gè)票據(jù)就能確定客戶端的身份，不需要傳送用戶的密碼。需要kerberos驗(yàn)證的用戶一定是域用戶。
每一個(gè)登錄用戶在登錄被驗(yàn)證后都會被域中的驗(yàn)證服務(wù)器生成一個(gè)票據(jù)授權(quán)票（TGT）作為這個(gè)用戶訪問其他服務(wù)所要驗(yàn)證票的憑證（這是為了實(shí)現(xiàn)一次登錄就能訪問域中所有需要驗(yàn)證的資源的所謂單點(diǎn)登錄SSO功能），而訪問IIS服務(wù)器的驗(yàn)證票是通過此用戶的票據(jù)授權(quán)票（TGT）向IIS獲取的。之后此客戶訪問此IIS都使用這個(gè)驗(yàn)證票。同樣訪問其他需要驗(yàn)證的服務(wù)也是憑這個(gè)TGT獲取該服務(wù)的驗(yàn)證票。
下面是kerberos比較詳細(xì)的原理。
Kerberos原理介紹：
工作站端運(yùn)行著一個(gè)票據(jù)授權(quán)的服務(wù)，叫Kinit，專門用做工作站同認(rèn)證服務(wù)器Kerberos間的身份認(rèn)證的服務(wù)。
1. 用戶開始登錄，輸入用戶名，驗(yàn)證服務(wù)器收到用戶名，在用戶數(shù)據(jù)庫中查找這個(gè)用戶，結(jié)果發(fā)現(xiàn)了這個(gè)用戶。
2. 驗(yàn)證服務(wù)器生成一個(gè)驗(yàn)證服務(wù)器跟這個(gè)登錄用戶之間共享的一個(gè)會話口令（Session key），這個(gè)口令只有驗(yàn)證服務(wù)器跟這個(gè)登錄用戶之間使用，用來做相互驗(yàn)證對方使用。同時(shí)驗(yàn)證服務(wù)器給這個(gè)登錄用戶生成一個(gè)票據(jù)授權(quán)票(ticket-granting ticket)，工作站以后就可以憑這個(gè)票據(jù)授權(quán)票來向驗(yàn)證服務(wù)器請求其他的票據(jù)，而不用再次驗(yàn)證自己的身份了。驗(yàn)證服務(wù)器把{ Session key ＋ ticket-granting ticket }用登錄用戶的口令加密后發(fā)回到工作站。
3. 工作站用自己的口令解密驗(yàn)證服務(wù)器返回的數(shù)據(jù)包，如果解密正確則驗(yàn)證成功。解密后能夠獲得登錄用戶與驗(yàn)證服務(wù)器共享的Session key和一張ticket-granting ticket。
到此，登錄用戶沒有在網(wǎng)絡(luò)上發(fā)送口令，通過驗(yàn)證服務(wù)器使用用戶口令加密驗(yàn)證授權(quán)票的方法驗(yàn)證了用戶，用戶跟驗(yàn)證服務(wù)器之間建立了關(guān)系，在工作站上也保存來相應(yīng)的身份證明，以后要是用網(wǎng)絡(luò)中的其他服務(wù)，可以通過這個(gè)身份證明向驗(yàn)證服務(wù)器申請相應(yīng)服務(wù)器的服務(wù)票，來獲得相應(yīng)服務(wù)身份驗(yàn)證。
4. 如果用戶第一次訪問IIS服務(wù)器，工作站的kinit查看本機(jī)上沒有訪問IIS服務(wù)器的驗(yàn)證票，于是kinit會向驗(yàn)證服務(wù)器發(fā)出請求，請求訪問IIS服務(wù)的驗(yàn)證票。Kinit先要生成一個(gè)驗(yàn)證器，驗(yàn)證器是這樣的：{用戶名：工作站地址}用跟驗(yàn)證服務(wù)器間的Session key加密。Kinit將驗(yàn)證器、票據(jù)授權(quán)票、你的名字、你的工作站地址、IIS服務(wù)名字發(fā)送的驗(yàn)證服務(wù)器，驗(yàn)證服務(wù)器驗(yàn)證驗(yàn)證授權(quán)票真實(shí)有效，然后用跟你共享的Session key解開驗(yàn)證器，獲取其中的用戶名和地址，與發(fā)送這個(gè)請求的用戶和地址比較，如果相符，說明驗(yàn)證通過，這個(gè)請求合法。
5. 驗(yàn)證服務(wù)器先生成這個(gè)用戶跟IIS服務(wù)器之間的Session key會話口令，之后根據(jù)用戶請求生成IIS服務(wù)器的驗(yàn)證票，是這個(gè)樣子的：｛會話口令：用戶名：用戶機(jī)器地址：服務(wù)名：有效期：時(shí)間戳｝，這個(gè)驗(yàn)證票用IIS服務(wù)器的密碼（驗(yàn)證服務(wù)器知道所有授權(quán)服務(wù)的密碼）進(jìn)行加密形成最終的驗(yàn)證票。最后，驗(yàn)證服務(wù)器{會話口令＋加好密的驗(yàn)證票}用用戶口令加密后發(fā)送給用戶。
6. 工作站收到驗(yàn)證服務(wù)器返回的數(shù)據(jù)包，用自己的口令解密，獲得跟IIS服務(wù)器的Session key和IIS服務(wù)器的驗(yàn)證票。
7. 工作站kinit同樣要生成一個(gè)驗(yàn)證器，驗(yàn)證器是這樣的：{用戶名：工作站地址}用跟IIS服務(wù)器間的Session key加密。將驗(yàn)證器和IIS驗(yàn)證票一起發(fā)送到IIS服務(wù)器。
8. IIS服務(wù)器先用自己的服務(wù)器密碼解開IIS驗(yàn)證票，如果解密成功，說明此驗(yàn)證票真實(shí)有效，然后查看此驗(yàn)證票是否在有效期內(nèi)，在有效期內(nèi)，用驗(yàn)證票中帶的會話口令去解密驗(yàn)證器，獲得其中的用戶名和工作站地址，如果跟驗(yàn)證票中的用戶名和地址相符則說明發(fā)送此驗(yàn)證票的用戶就是驗(yàn)證票的所有者，從而驗(yàn)證本次請求有效。
3、 基本身份驗(yàn)證
這種驗(yàn)證方式完全是把用戶名和明文用明文（經(jīng)過base64編碼，但是base64編碼不是加密的，經(jīng)過轉(zhuǎn)換就能轉(zhuǎn)換成原始的明文）傳送到服務(wù)端驗(yàn)證。服務(wù)器直接驗(yàn)證服務(wù)器本地是否用用戶跟客戶端提供的用戶名和密碼相匹配的，如果有則通過驗(yàn)證。
二、 匿名訪問
服務(wù)端IIS設(shè)置了允許匿名訪問后，在收到客戶端的資源請求后，不需要經(jīng)過身份驗(yàn)證，直接把請求的資源返回給客戶端。
GET /iisstart.htm HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
If-Modified-Since: Fri, 21 Feb 2003 12:15:52 GMT
If-None-Match: "0ce1f9a2d9c21:d87"
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; InfoPath.1; .NET CLR 2.0.50727; MAXTHON 2.0)
Host: 192.168.100.5
Connection: Keep-Alive
HTTP/1.1 200 OK
Content-Length: 1193
Content-Type: text/html
Last-Modified: Fri, 21 Feb 2003 12:15:52 GMT
Accept-Ranges: bytes
ETag: "0ce1f9a2d9c21:d8b"
Server: Microsoft-IIS/6.0
MicrosoftOfficeWebServer: 5.0_Pub
X-Powered-By: ASP.NET
Date: Mon, 12 Nov 2007 07:29:40 GMT
三、 Windows集成驗(yàn)證
集成 Windows 身份驗(yàn)證可以使用 NTLM 或 Kerberos V5 身份驗(yàn)證，當(dāng) Internet Explorer 試圖設(shè)為集成驗(yàn)證的IIS的資源時(shí)，IIS 發(fā)送兩個(gè) WWW 身份驗(yàn)證頭，Negotiate 和 NTLM。
客戶端IE認(rèn)識Negotiate頭，將選擇Negotiate頭，之后IE可以選擇NTLM 或 Kerberos兩種驗(yàn)證方式。
如果客戶端不認(rèn)識Negotiate頭，只能選擇NTLM頭，就只能使用NTLM驗(yàn)證方式。
現(xiàn)在IE使用的版本一般都在5.0以上，所以現(xiàn)在可以認(rèn)為IE客戶端都能識別Negotiate 頭。
所以本文只考慮IE接受Negotiate頭，分別使用NTLM 或 Kerberos兩種驗(yàn)證的情況。
1、 NTLM驗(yàn)證過程
1.1.
客戶端選擇
NTLM
方式
如果IE選擇了NTLM驗(yàn)證，IE就會在發(fā)送到IIS的請求中加入一個(gè)Authorization: Negotiate頭，內(nèi)容為：
Authorization: Negotiate NTLMSSPXXXXXXXXXXXXXXXXX
藍(lán)色部分在實(shí)際中是經(jīng)過base64編碼的，其中“NTLMSSP”表示是NTLM驗(yàn)證的請求，后面的“XXXXXXXX”部分是二進(jìn)制的數(shù)據(jù)，告訴服務(wù)器，客戶端現(xiàn)在選擇了NTLM驗(yàn)證，請服務(wù)器發(fā)送質(zhì)詢碼給客戶端。
1.2.
服務(wù)端返回質(zhì)詢碼
服務(wù)器在返回?zé)o授權(quán)訪問的http回應(yīng)的頭部加入Authorization: Negotiate頭，內(nèi)容為：
Authorization: Negotiate NTLMSSPXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
服務(wù)器返回的“XXXXXXXX”部分中含有一個(gè)八字節(jié)的質(zhì)詢碼。
1.3.
客戶端加密質(zhì)詢碼再次發(fā)送請求
客戶端使用客戶端帳號的密碼派生出來的8字節(jié)DESkey使用DES算法加密收到的質(zhì)詢碼。連同客戶端帳號的用戶名發(fā)送到服務(wù)端，形式還是這樣：
Authorization: Negotiate NTLMSSPXXXXXXXXXXXXXXXXX
這里的“XXXXXXX”部分包含了加密后的質(zhì)詢碼和客戶端用戶名，用戶名在其中以明碼形式存在。
1.4.
服務(wù)端驗(yàn)證客戶端用戶和密碼
服務(wù)端收到用戶名后，先查驗(yàn)本機(jī)是否有這個(gè)用戶，如果沒有直接返回沒有授權(quán)的http回應(yīng)。
如果有這個(gè)用戶，就用這個(gè)用戶的密碼派生出來的8字節(jié)DESkey使用DES算法加密發(fā)給客戶端的那個(gè)8字節(jié)的質(zhì)詢碼，然后跟收到客戶端發(fā)送來的加密后的質(zhì)詢碼比較，如果不相同，表示客戶端輸入密碼不正確看，返回沒有授權(quán)的http回應(yīng)；如果相同，就表示客戶端輸入這個(gè)用戶的密碼正確，驗(yàn)證通過，返回客戶端請求的資源。
2、 Kerberos驗(yàn)證過程
2.1.
客戶端選擇
Kerberos
驗(yàn)證
如果客戶端選擇了Kerberos驗(yàn)證，客戶端直接在請求頭中加入Authorization: Negotiate頭，內(nèi)容為：
Authorization: Negotiate XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
其中“XXXXXXXXXX”包含了客戶端登錄用戶的身份驗(yàn)證票（登錄時(shí)域中的票據(jù)服務(wù)器發(fā)放的標(biāo)識此登錄用戶身份的票據(jù)，其中不包含用戶的密碼）。
2.2.
服務(wù)端驗(yàn)證身份驗(yàn)證票
服務(wù)器驗(yàn)證用戶驗(yàn)證票，如果有效的票據(jù)，服務(wù)端能據(jù)此獲得用戶的用戶名，并驗(yàn)證用戶的有效性。驗(yàn)證通過后，服務(wù)端返回客戶端請求的資源。
但是客戶端IE何時(shí)選擇NTLM 、合適選擇Kerberos呢？下面通過一系列的測試來找出答案。
分服務(wù)器和客戶端在域不在域兩種情況測試。
3、 客戶端和服務(wù)器都不在域中
測試環(huán)境為服務(wù)器和客戶端機(jī)器在同一個(gè)局域網(wǎng)中，但是都不在域中?？蛻舳薎E請求服務(wù)端IIS的一個(gè)頁面default.aspx。
IIS服務(wù)端設(shè)置：
l 不啟用匿名訪問
l 只啟用集成windows身份驗(yàn)證
這個(gè)環(huán)境下又分為下面幾種情況：
3.1.
客戶端用
ip
地址訪問服務(wù)
3.1.1. 客戶端IE申請頁面
客戶端IE瀏覽器的地址欄上輸入要訪問的URL，就會向服務(wù)端發(fā)送一個(gè)GET請求：
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: 192.168.1.13:81
Connection: Keep-Alive
3.1.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)
服務(wù)端設(shè)置了禁用匿名訪問，只允許windows驗(yàn)證，所以服務(wù)端返回了無授權(quán)回應(yīng)：
HTTP/1.1 401 Unauthorized
返回的http頭中還包括的:
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
這兩個(gè)頭表示服務(wù)端只接受集成windows驗(yàn)證方式
HTTP/1.1 401 Unauthorized
Content-Length: 1327
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
X-Powered-By: ASP.NET
Date: Sun, 11 Nov 2007 12:28:29 GMT
3.1.3. 客戶端選擇NTLM驗(yàn)證，要求輸入用戶名密碼，請求質(zhì)詢碼
客戶端通過Authorization: Negotiate NTLMSSPXXXX 頭告訴服務(wù)器，客戶端要求NTLM驗(yàn)證，請求服務(wù)端發(fā)送質(zhì)詢碼。
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: 192.168.1.13:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAFAs4OAAAAD3==
3.1.4. 服務(wù)器返回質(zhì)詢碼
服務(wù)端收到客戶端的請求，發(fā)送一個(gè)八字節(jié)的質(zhì)詢碼。
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAAEgASADgAAAAFgoqii7rzphzu6mEAAAAAAAAAAFwAXABKAAAABQLODgAAAA9CAEkAWgBUAEEATABLAFIAMgACABIAQgBJAFoAVABBAEwASwBSADIAAQASAEIASQBaAFQAQQBMAEsAUgAyAAQAEgBiAGkAegB0AGEAbABrAFIAMgADABIAYgBpAHoAdABhAGwAawBSADIAAAAAAA==
X-Powered-By: ASP.NET
Date: Sun, 11 Nov 2007 12:29:44 GMT
3.1.5. 客戶端發(fā)送使用前面輸入賬戶的密碼加密后的質(zhì)詢碼
客戶端IE收到質(zhì)詢碼后，使用根據(jù)一定的規(guī)則從登錄用戶密碼派生出的8字節(jié)的key對質(zhì)詢碼進(jìn)行DES加密，加密后的質(zhì)詢碼和用戶名明碼連同頁面請求一起發(fā)送到服務(wù)端。
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: 192.168.1.13:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAADAAAAGAAYAI4AAAAYABgApgAAABgAGABIAAAAGgAaAGAAAAAUABQAegAAAAAAAAC+AAAABYKIogUCzg4AAAAPMQA5ADIALgAxADYAOAAuADEALgAxADMAYQBkAG0AaQBuAGkAcwB0AHIAYQB0AG8AcgBXAEkATgAyADAAMAAzAC0AUABDAL0amMkkEMWLAAAAAAAAAAAAAAAAAAAAAFND1Boc0kthz0TBnfxn3z4W9/NILU1CtW==
3.1.6. 服務(wù)端驗(yàn)證通過，返回資源
服務(wù)端收到用戶名和加密后的質(zhì)詢碼后，根據(jù)用戶名查找服務(wù)器上此用戶的密碼，按照客戶端同樣的方法加密質(zhì)詢碼，然后跟收到客戶端返回的質(zhì)詢碼，如果一致，則說明用戶名和密碼都一致，驗(yàn)證通過，返回客戶端IE請求資源。如果不對，再次返回?zé)o授權(quán)http回應(yīng)。
HTTP/1.1 200 OK
Date: Sun, 11 Nov 2007 12:29:44 GMT
Server: Microsoft-IIS/6.0
X-Powered-By: ASP.NET
X-AspNet-Version: 2.0.50727
Cache-Control: private
Content-Type: text/html; charset=utf-8
Content-Length: 522
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" >
<head><title>
.Untitled Page
</title></head>
<body>
<form name="form1" method="post" action="default.aspx" id="form1">
<div>
<input type="hidden" name="__VIEWSTATE" id="__VIEWSTATE" value="/wEPDwUJNzgzNDMwNTMzZGTcefU2sz1MLsbXiZdUEXomIyZ20Q==" />
</div>
<div>
This is a simple page!</div>
</form>
</body>
</html>
3.2.
客戶端用機(jī)器名訪問服務(wù)器，登錄用戶名
/
口令跟服務(wù)器不匹配
這種情況，客戶端用服務(wù)器名訪問服務(wù)器，但是客戶端登錄系統(tǒng)的用戶跟服務(wù)器上的用戶名和密碼不匹配，也就是要么服務(wù)器上沒這個(gè)用戶，要么就是服務(wù)器這個(gè)用戶的密碼跟客戶端這個(gè)用戶的密碼不一樣。
3.2.1. 客戶端IE申請頁面
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
3.2.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)
服務(wù)端不允許匿名訪問，服務(wù)端返回需要集成驗(yàn)證的的http頭。
HTTP/1.1 401 Unauthorized
Content-Length: 1327
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:38:36 GMT
3.2.3. 客戶端選擇NTLM驗(yàn)證，請求質(zhì)詢碼
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAFAs4OAAAADw==
3.2.4. 服務(wù)器返回質(zhì)詢碼
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAAEgASADgAAAAFgoqikemftrQx0qUAAAAAAAAAAFwAXABKAAAABQLODgAAAA9CAEkAWgBUAEEATABLAFIAMgACABIAQgBJAFoAVABBAEwASwBSADIAAQASAEIASQBaAFQAQQBMAEsAUgAyAAQAEgBiAGkAegB0AGEAbABrAFIAMgADABIAYgBpAHoAdABhAGwAawBSADIAAAAAAA==
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:38:36 GMT
3.2.5. 客戶端發(fā)送用登陸本機(jī)的賬戶加密后的質(zhì)詢碼
客戶端IE首先用本機(jī)登錄用戶的密碼派生的key加密質(zhì)詢碼，然后連同用戶名一起發(fā)送到服務(wù)端驗(yàn)證。
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAADAAAAGAAYAIoAAAAYABgAogAAABQAFABIAAAAGgAaAFwAAAAUABQAdgAAAAAAAAC6AAAABYKIogUCzg4AAAAPVwBJAE4AMgAwADAAMwAtAFAAQwBBAGQAbQBpAG4AaQBzAHQAcgBhAHQAbwByAFcASQBOADIAMAAwADMALQBQAEMAwo4jxECJeUwAAAAAAAAAAAAAAAAAAAAA2/kscwhI0mmAC6W4OmsZjbrRyrS2NGUX
3.2.6. 服務(wù)端返回?zé)o授權(quán)回應(yīng)
客戶端本機(jī)登錄的用戶名和密碼跟服務(wù)器端沒有匹配的，所以驗(yàn)證在服務(wù)端沒有通過，服務(wù)端返回?zé)o授權(quán)的回應(yīng)。
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:38:36 GMT
3.2.7. 客戶端及選選擇NTLM驗(yàn)證，要求輸入用戶名和口令，再次請求質(zhì)詢碼
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAFAs4OAAAADw==
3.2.8. 服務(wù)端返回質(zhì)詢碼
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAAEgASADgAAAAFgoqi3GHiM9qD6TUAAAAAAAAAAFwAXABKAAAABQLODgAAAA9CAEkAWgBUAEEATABLAFIAMgACABIAQgBJAFoAVABBAEwASwBSADIAAQASAEIASQBaAFQAQQBMAEsAUgAyAAQAEgBiAGkAegB0AGEAbABrAFIAMgADABIAYgBpAHoAdABhAGwAawBSADIAAAAAAA==
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:38:45 GMT
3.2.9. 客戶端發(fā)送使用前面輸入賬戶的密碼加密后的質(zhì)詢碼
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAADAAAAGAAYAIgAAAAYABgAoAAAABIAEgBIAAAAGgAaAFoAAAAUABQAdAAAAAAAAAC4AAAABYKIogUCzg4AAAAPQgBJAFoAVABBAEwASwBSADIAYQBkAG0AaQBuAGkAcwB0AHIAYQB0AG8AcgBXAEkATgAyADAAMAAzAC0AUABDAKeYMtcyzwKJAAAAAAAAAAAAAAAAAAAAAExqwTipbr+IzohNdmnopPU1B9pp7QBplA==
3.2.10. 服務(wù)端驗(yàn)證通過，返回資源
HTTP/1.1 200 OK
Date: Wed, 14 Nov 2007 12:38:45 GMT
Server: Microsoft-IIS/6.0
X-Powered-By: ASP.NET
X-AspNet-Version: 2.0.50727
Cache-Control: private
Content-Type: text/html; charset=utf-8
Content-Length: 522
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" >
<head><title>
.Untitled Page
</title></head>
<body>
<form name="form1" method="post" action="default.aspx" id="form1">
<div>
<input type="hidden" name="__VIEWSTATE" id="__VIEWSTATE" value="/wEPDwUJNzgzNDMwNTMzZGTcefU2sz1MLsbXiZdUEXomIyZ20Q==" />
</div>
<div>
This is a simple page!</div>
</form>
</body>
</html>
3.3.
客戶端用機(jī)器名訪問服務(wù)器
，登錄用戶名
/
口令跟服務(wù)器匹配
這種情況，客戶端用服務(wù)器名訪問服務(wù)器，而且客戶端登錄系統(tǒng)的用戶正好在服務(wù)器上有個(gè)同名同密碼的用戶。
3.3.1. 客戶端IE申請頁面
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
3.3.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)
同樣，服務(wù)端不允許匿名訪問，服務(wù)端返回需要集成驗(yàn)證的的http頭。
HTTP/1.1 401 Unauthorized
Content-Length: 1327
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:35:41 GMT
3.3.3. 客戶端選擇NTLM驗(yàn)證，請求質(zhì)詢碼
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAFAs4OAAAADw==
3.3.4. 服務(wù)器返回質(zhì)詢碼
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAAEgASADgAAAAFgoqiSWLtzjLMElAAAAAAAAAAAFwAXABKAAAABQLODgAAAA9CAEkAWgBUAEEATABLAFIAMgACABIAQgBJAFoAVABBAEwASwBSADIAAQASAEIASQBaAFQAQQBMAEsAUgAyAAQAEgBiAGkAegB0AGEAbABrAFIAMgADABIAYgBpAHoAdABhAGwAawBSADIAAAAAAA==
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:35:41 GMT