建站
咨詢
售后
建站咨詢
新聞中心
這里有您想知道的互聯(lián)網(wǎng)營銷解決方案
IIS各種身份驗證詳細測試第1/2頁
一、 iis的身份驗證概述.... 3
1、 匿名訪問... 3
2、 集成windows身份驗證... 3
2.1. NTLM驗證... 3
2.2. Kerberos驗證... 3
3、 基本身份驗證... 4
二、 匿名訪問.... 4
三、 Windows集成驗證.... 5
1、 NTLM驗證過程... 5
1.1. 客戶端選擇NTLM方式... 5
1.2. 服務(wù)端返回質(zhì)詢碼... 5
1.3. 客戶端加密質(zhì)詢碼再次發(fā)送請求... 5
1.4. 服務(wù)端驗證客戶端用戶和密碼... 5
2、 Kerberos驗證過程... 6
2.1. 客戶端選擇Kerberos驗證... 6
2.2. 服務(wù)端驗證身份驗證票... 6
3、 客戶端和服務(wù)器都不在域中... 6
3.1. 客戶端用ip地址訪問服務(wù)... 6
3.1.1. 客戶端IE申請頁面... 6
3.1.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 6
3.1.3. 客戶端選擇NTLM驗證，要求輸入用戶名密碼，請求質(zhì)詢碼... 7
3.1.4. 服務(wù)器返回質(zhì)詢碼... 7
3.1.5. 客戶端發(fā)送使用前面輸入賬戶的密碼加密后的質(zhì)詢碼... 7
3.1.6. 服務(wù)端驗證通過，返回資源... 8
3.2. 客戶端用機器名訪問服務(wù)器，登錄用戶名/口令跟服務(wù)器不匹配... 9
3.2.1. 客戶端IE申請頁面... 9
3.2.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 9
3.2.3. 客戶端選擇NTLM驗證，請求質(zhì)詢碼... 9
3.2.4. 服務(wù)器返回質(zhì)詢碼... 9
3.2.5. 客戶端發(fā)送用登陸本機的賬戶加密后的質(zhì)詢碼... 10
3.2.6. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 10
3.2.7. 客戶端及選選擇NTLM驗證，要求輸入用戶名和口令，再次請求質(zhì)詢碼... 10
3.2.8. 服務(wù)端返回質(zhì)詢碼... 11
3.2.9. 客戶端發(fā)送使用前面輸入賬戶的密碼加密后的質(zhì)詢碼... 11
3.2.10. 服務(wù)端驗證通過，返回資源... 11
3.3. 客戶端用機器名訪問服務(wù)器，登錄用戶名/口令跟服務(wù)器匹配... 12
3.3.1. 客戶端IE申請頁面... 12
3.3.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 12
3.3.3. 客戶端選擇NTLM驗證，請求質(zhì)詢碼... 12
3.3.4. 服務(wù)器返回質(zhì)詢碼... 13
3.3.5. 客戶端發(fā)送用登陸本機的賬戶加密后的質(zhì)詢碼... 13
3.3.6. 服務(wù)端驗證通過，返回資源... 13
4、 客戶端和服務(wù)器都在同一域中... 14
4.1. 客戶端用機ip訪問服務(wù)器... 14
4.1.1. 客戶端IE申請頁面... 14
4.1.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 14
4.1.3. 客戶端選擇NTLM驗證，要求輸入用戶名密碼，請求質(zhì)詢碼... 15
4.1.4. 服務(wù)器返回質(zhì)詢碼... 15
4.1.5. 客戶端發(fā)送使用前面輸入賬戶的密碼加密后的質(zhì)詢碼... 15
4.1.6. 服務(wù)端驗證通過，返回資源... 16
4.2. 客戶端用機器名訪問服務(wù)器，客戶端用戶以域賬戶登錄... 16
4.2.1. 客戶端IE申請頁面... 16
4.2.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 16
4.2.3. 客戶端選擇Kerberos驗證，發(fā)送驗證票到服務(wù)端... 17
4.2.4. 服務(wù)端驗證通過，返回資源... 17
4.3. 客戶端用機器名訪問服務(wù)器，客戶端用戶以客戶端本地用戶登錄，用戶名/口令跟服務(wù)器賬戶不匹配 18
4.3.1. 客戶端IE申請頁面... 18
4.3.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 18
4.3.3. 客戶端選擇NTLM驗證，請求質(zhì)詢碼... 19
4.3.4. 服務(wù)器返回質(zhì)詢碼... 19
4.3.5. 客戶端發(fā)送用登陸本機的賬戶加密后的質(zhì)詢碼... 19
4.3.6. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 20
4.3.7. 客戶端及選選擇NTLM驗證，要求輸入用戶名和口令，再次請求質(zhì)詢碼... 20
4.3.8. 服務(wù)端返回質(zhì)詢碼... 20
4.3.9. 客戶端發(fā)送使用前面輸入賬戶的密碼加密后的質(zhì)詢碼... 20
4.3.10. 服務(wù)端驗證通過，返回資源... 21
4.4. 客戶端用機器名訪問服務(wù)器，客戶端用戶以客戶端本地用戶登錄，用戶名/口令跟服務(wù)器賬戶匹配 21
4.4.1. 客戶端IE申請頁面... 21
4.4.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 22
4.4.3. 客戶端選擇NTLM驗證，請求質(zhì)詢碼... 22
4.4.4. 服務(wù)器返回質(zhì)詢碼... 22
4.4.5. 客戶端發(fā)送用登陸本機的賬戶加密后的質(zhì)詢碼... 22
4.4.6. 服務(wù)端驗證通過，返回資源... 23
5、 集成驗證總結(jié)... 23
5.1. 客戶端以ip地址訪問服務(wù)器... 23
5.2. 服務(wù)器在域，客戶端以域帳號登陸... 24
5.3. 其他情況IE都選擇采用NTLM驗證方式。... 24
四、 基本身份驗證.... 24
1、 客戶端IE申請頁面... 24
2、 服務(wù)端返回?zé)o授權(quán)回應(yīng)，并告知客戶端要求基本身份驗證... 24
3、 客戶端彈出對話框要求輸入用戶名和密碼... 25
4、 服務(wù)端驗證通過，返回資源... 25
一、 IIS的身份驗證概述
IIS具有身份驗證功能，可以有以下幾種驗證方式：
1、 匿名訪問
這種方式不驗證訪問用戶的身份，客戶端不需要提供任何身份驗證的憑據(jù)，服務(wù)端把這樣的訪問作為匿名的訪問，并把這樣的訪問用戶都映射到一個服務(wù)端的賬戶，一般為IUSER_MACHINE這個用戶，可以修改映射到的用戶：
2、 集成windows身份驗證
這種驗證方式里面也分為兩種情況
2.1.
NTLM
驗證
這種驗證方式需要把用戶的用戶名和密碼傳送到服務(wù)端，服務(wù)端驗證用戶名和密碼是否和服務(wù)器的此用戶的密碼一致。用戶名用明碼傳送，但是密碼經(jīng)過處理后派生出一個8字節(jié)的key加密質(zhì)詢碼后傳送。
2.2.
Kerberos
驗證
這種驗證方式只把客戶端訪問IIS的驗證票發(fā)送到IIS服務(wù)器，IIS收到這個票據(jù)就能確定客戶端的身份，不需要傳送用戶的密碼。需要kerberos驗證的用戶一定是域用戶。
每一個登錄用戶在登錄被驗證后都會被域中的驗證服務(wù)器生成一個票據(jù)授權(quán)票（TGT）作為這個用戶訪問其他服務(wù)所要驗證票的憑證（這是為了實現(xiàn)一次登錄就能訪問域中所有需要驗證的資源的所謂單點登錄SSO功能），而訪問IIS服務(wù)器的驗證票是通過此用戶的票據(jù)授權(quán)票（TGT）向IIS獲取的。之后此客戶訪問此IIS都使用這個驗證票。同樣訪問其他需要驗證的服務(wù)也是憑這個TGT獲取該服務(wù)的驗證票。
下面是kerberos比較詳細的原理。
Kerberos原理介紹：
工作站端運行著一個票據(jù)授權(quán)的服務(wù)，叫Kinit，專門用做工作站同認證服務(wù)器Kerberos間的身份認證的服務(wù)。
1. 用戶開始登錄，輸入用戶名，驗證服務(wù)器收到用戶名，在用戶數(shù)據(jù)庫中查找這個用戶，結(jié)果發(fā)現(xiàn)了這個用戶。
2. 驗證服務(wù)器生成一個驗證服務(wù)器跟這個登錄用戶之間共享的一個會話口令（Session key），這個口令只有驗證服務(wù)器跟這個登錄用戶之間使用，用來做相互驗證對方使用。同時驗證服務(wù)器給這個登錄用戶生成一個票據(jù)授權(quán)票(ticket-granting ticket)，工作站以后就可以憑這個票據(jù)授權(quán)票來向驗證服務(wù)器請求其他的票據(jù)，而不用再次驗證自己的身份了。驗證服務(wù)器把{ Session key ＋ ticket-granting ticket }用登錄用戶的口令加密后發(fā)回到工作站。
3. 工作站用自己的口令解密驗證服務(wù)器返回的數(shù)據(jù)包，如果解密正確則驗證成功。解密后能夠獲得登錄用戶與驗證服務(wù)器共享的Session key和一張ticket-granting ticket。
到此，登錄用戶沒有在網(wǎng)絡(luò)上發(fā)送口令，通過驗證服務(wù)器使用用戶口令加密驗證授權(quán)票的方法驗證了用戶，用戶跟驗證服務(wù)器之間建立了關(guān)系，在工作站上也保存來相應(yīng)的身份證明，以后要是用網(wǎng)絡(luò)中的其他服務(wù)，可以通過這個身份證明向驗證服務(wù)器申請相應(yīng)服務(wù)器的服務(wù)票，來獲得相應(yīng)服務(wù)身份驗證。
4. 如果用戶第一次訪問IIS服務(wù)器，工作站的kinit查看本機上沒有訪問IIS服務(wù)器的驗證票，于是kinit會向驗證服務(wù)器發(fā)出請求，請求訪問IIS服務(wù)的驗證票。Kinit先要生成一個驗證器，驗證器是這樣的：{用戶名：工作站地址}用跟驗證服務(wù)器間的Session key加密。Kinit將驗證器、票據(jù)授權(quán)票、你的名字、你的工作站地址、IIS服務(wù)名字發(fā)送的驗證服務(wù)器，驗證服務(wù)器驗證驗證授權(quán)票真實有效，然后用跟你共享的Session key解開驗證器，獲取其中的用戶名和地址，與發(fā)送這個請求的用戶和地址比較，如果相符，說明驗證通過，這個請求合法。
5. 驗證服務(wù)器先生成這個用戶跟IIS服務(wù)器之間的Session key會話口令，之后根據(jù)用戶請求生成IIS服務(wù)器的驗證票，是這個樣子的：｛會話口令：用戶名：用戶機器地址：服務(wù)名：有效期：時間戳｝，這個驗證票用IIS服務(wù)器的密碼（驗證服務(wù)器知道所有授權(quán)服務(wù)的密碼）進行加密形成最終的驗證票。最后，驗證服務(wù)器{會話口令＋加好密的驗證票}用用戶口令加密后發(fā)送給用戶。
6. 工作站收到驗證服務(wù)器返回的數(shù)據(jù)包，用自己的口令解密，獲得跟IIS服務(wù)器的Session key和IIS服務(wù)器的驗證票。
7. 工作站kinit同樣要生成一個驗證器，驗證器是這樣的：{用戶名：工作站地址}用跟IIS服務(wù)器間的Session key加密。將驗證器和IIS驗證票一起發(fā)送到IIS服務(wù)器。
8. IIS服務(wù)器先用自己的服務(wù)器密碼解開IIS驗證票，如果解密成功，說明此驗證票真實有效，然后查看此驗證票是否在有效期內(nèi)，在有效期內(nèi)，用驗證票中帶的會話口令去解密驗證器，獲得其中的用戶名和工作站地址，如果跟驗證票中的用戶名和地址相符則說明發(fā)送此驗證票的用戶就是驗證票的所有者，從而驗證本次請求有效。
3、 基本身份驗證
這種驗證方式完全是把用戶名和明文用明文（經(jīng)過base64編碼，但是base64編碼不是加密的，經(jīng)過轉(zhuǎn)換就能轉(zhuǎn)換成原始的明文）傳送到服務(wù)端驗證。服務(wù)器直接驗證服務(wù)器本地是否用用戶跟客戶端提供的用戶名和密碼相匹配的，如果有則通過驗證。
二、 匿名訪問
服務(wù)端IIS設(shè)置了允許匿名訪問后，在收到客戶端的資源請求后，不需要經(jīng)過身份驗證，直接把請求的資源返回給客戶端。
GET /iisstart.htm HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
If-Modified-Since: Fri, 21 Feb 2003 12:15:52 GMT
If-None-Match: "0ce1f9a2d9c21:d87"
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; InfoPath.1; .NET CLR 2.0.50727; MAXTHON 2.0)
Host: 192.168.100.5
Connection: Keep-Alive
HTTP/1.1 200 OK
Content-Length: 1193
Content-Type: text/html
Last-Modified: Fri, 21 Feb 2003 12:15:52 GMT
Accept-Ranges: bytes
ETag: "0ce1f9a2d9c21:d8b"
Server: Microsoft-IIS/6.0
MicrosoftOfficeWebServer: 5.0_Pub
X-Powered-By: ASP.NET
Date: Mon, 12 Nov 2007 07:29:40 GMT
三、 Windows集成驗證
集成 Windows 身份驗證可以使用 NTLM 或 Kerberos V5 身份驗證，當 Internet Explorer 試圖設(shè)為集成驗證的IIS的資源時，IIS 發(fā)送兩個 WWW 身份驗證頭，Negotiate 和 NTLM。
客戶端IE認識Negotiate頭，將選擇Negotiate頭，之后IE可以選擇NTLM 或 Kerberos兩種驗證方式。
如果客戶端不認識Negotiate頭，只能選擇NTLM頭，就只能使用NTLM驗證方式。
現(xiàn)在IE使用的版本一般都在5.0以上，所以現(xiàn)在可以認為IE客戶端都能識別Negotiate 頭。
所以本文只考慮IE接受Negotiate頭，分別使用NTLM 或 Kerberos兩種驗證的情況。
1、 NTLM驗證過程
1.1.
客戶端選擇
NTLM
方式
如果IE選擇了NTLM驗證，IE就會在發(fā)送到IIS的請求中加入一個Authorization: Negotiate頭，內(nèi)容為：
Authorization: Negotiate NTLMSSPXXXXXXXXXXXXXXXXX
藍色部分在實際中是經(jīng)過base64編碼的，其中“NTLMSSP”表示是NTLM驗證的請求，后面的“XXXXXXXX”部分是二進制的數(shù)據(jù)，告訴服務(wù)器，客戶端現(xiàn)在選擇了NTLM驗證，請服務(wù)器發(fā)送質(zhì)詢碼給客戶端。
1.2.
服務(wù)端返回質(zhì)詢碼
服務(wù)器在返回?zé)o授權(quán)訪問的http回應(yīng)的頭部加入Authorization: Negotiate頭，內(nèi)容為：
Authorization: Negotiate NTLMSSPXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
服務(wù)器返回的“XXXXXXXX”部分中含有一個八字節(jié)的質(zhì)詢碼。
1.3.
客戶端加密質(zhì)詢碼再次發(fā)送請求
客戶端使用客戶端帳號的密碼派生出來的8字節(jié)DESkey使用DES算法加密收到的質(zhì)詢碼。連同客戶端帳號的用戶名發(fā)送到服務(wù)端，形式還是這樣：
Authorization: Negotiate NTLMSSPXXXXXXXXXXXXXXXXX
這里的“XXXXXXX”部分包含了加密后的質(zhì)詢碼和客戶端用戶名，用戶名在其中以明碼形式存在。
1.4.
服務(wù)端驗證客戶端用戶和密碼
服務(wù)端收到用戶名后，先查驗本機是否有這個用戶，如果沒有直接返回沒有授權(quán)的http回應(yīng)。
如果有這個用戶，就用這個用戶的密碼派生出來的8字節(jié)DESkey使用DES算法加密發(fā)給客戶端的那個8字節(jié)的質(zhì)詢碼，然后跟收到客戶端發(fā)送來的加密后的質(zhì)詢碼比較，如果不相同，表示客戶端輸入密碼不正確看，返回沒有授權(quán)的http回應(yīng)；如果相同，就表示客戶端輸入這個用戶的密碼正確，驗證通過，返回客戶端請求的資源。
2、 Kerberos驗證過程
2.1.
客戶端選擇
Kerberos
驗證
如果客戶端選擇了Kerberos驗證，客戶端直接在請求頭中加入Authorization: Negotiate頭，內(nèi)容為：
Authorization: Negotiate XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
其中“XXXXXXXXXX”包含了客戶端登錄用戶的身份驗證票（登錄時域中的票據(jù)服務(wù)器發(fā)放的標識此登錄用戶身份的票據(jù)，其中不包含用戶的密碼）。
2.2.
服務(wù)端驗證身份驗證票
服務(wù)器驗證用戶驗證票，如果有效的票據(jù)，服務(wù)端能據(jù)此獲得用戶的用戶名，并驗證用戶的有效性。驗證通過后，服務(wù)端返回客戶端請求的資源。
但是客戶端IE何時選擇NTLM 、合適選擇Kerberos呢？下面通過一系列的測試來找出答案。
分服務(wù)器和客戶端在域不在域兩種情況測試。
3、 客戶端和服務(wù)器都不在域中
測試環(huán)境為服務(wù)器和客戶端機器在同一個局域網(wǎng)中，但是都不在域中?？蛻舳薎E請求服務(wù)端IIS的一個頁面default.aspx。
IIS服務(wù)端設(shè)置：
l 不啟用匿名訪問
l 只啟用集成windows身份驗證
這個環(huán)境下又分為下面幾種情況：
3.1.
客戶端用
ip
地址訪問服務(wù)
3.1.1. 客戶端IE申請頁面
客戶端IE瀏覽器的地址欄上輸入要訪問的URL，就會向服務(wù)端發(fā)送一個GET請求：
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: 192.168.1.13:81
Connection: Keep-Alive
3.1.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)
服務(wù)端設(shè)置了禁用匿名訪問，只允許windows驗證，所以服務(wù)端返回了無授權(quán)回應(yīng)：
HTTP/1.1 401 Unauthorized
返回的http頭中還包括的:
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
這兩個頭表示服務(wù)端只接受集成windows驗證方式
HTTP/1.1 401 Unauthorized
Content-Length: 1327
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
X-Powered-By: ASP.NET
Date: Sun, 11 Nov 2007 12:28:29 GMT
3.1.3. 客戶端選擇NTLM驗證，要求輸入用戶名密碼，請求質(zhì)詢碼
客戶端通過Authorization: Negotiate NTLMSSPXXXX 頭告訴服務(wù)器，客戶端要求NTLM驗證，請求服務(wù)端發(fā)送質(zhì)詢碼。
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: 192.168.1.13:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAFAs4OAAAAD3==
3.1.4. 服務(wù)器返回質(zhì)詢碼
服務(wù)端收到客戶端的請求，發(fā)送一個八字節(jié)的質(zhì)詢碼。
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAAEgASADgAAAAFgoqii7rzphzu6mEAAAAAAAAAAFwAXABKAAAABQLODgAAAA9CAEkAWgBUAEEATABLAFIAMgACABIAQgBJAFoAVABBAEwASwBSADIAAQASAEIASQBaAFQAQQBMAEsAUgAyAAQAEgBiAGkAegB0AGEAbABrAFIAMgADABIAYgBpAHoAdABhAGwAawBSADIAAAAAAA==
X-Powered-By: ASP.NET
Date: Sun, 11 Nov 2007 12:29:44 GMT
3.1.5. 客戶端發(fā)送使用前面輸入賬戶的密碼加密后的質(zhì)詢碼
客戶端IE收到質(zhì)詢碼后，使用根據(jù)一定的規(guī)則從登錄用戶密碼派生出的8字節(jié)的key對質(zhì)詢碼進行DES加密，加密后的質(zhì)詢碼和用戶名明碼連同頁面請求一起發(fā)送到服務(wù)端。
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: 192.168.1.13:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAADAAAAGAAYAI4AAAAYABgApgAAABgAGABIAAAAGgAaAGAAAAAUABQAegAAAAAAAAC+AAAABYKIogUCzg4AAAAPMQA5ADIALgAxADYAOAAuADEALgAxADMAYQBkAG0AaQBuAGkAcwB0AHIAYQB0AG8AcgBXAEkATgAyADAAMAAzAC0AUABDAL0amMkkEMWLAAAAAAAAAAAAAAAAAAAAAFND1Boc0kthz0TBnfxn3z4W9/NILU1CtW==
3.1.6. 服務(wù)端驗證通過，返回資源
服務(wù)端收到用戶名和加密后的質(zhì)詢碼后，根據(jù)用戶名查找服務(wù)器上此用戶的密碼，按照客戶端同樣的方法加密質(zhì)詢碼，然后跟收到客戶端返回的質(zhì)詢碼，如果一致，則說明用戶名和密碼都一致，驗證通過，返回客戶端IE請求資源。如果不對，再次返回?zé)o授權(quán)http回應(yīng)。
HTTP/1.1 200 OK
Date: Sun, 11 Nov 2007 12:29:44 GMT
Server: Microsoft-IIS/6.0
X-Powered-By: ASP.NET
X-AspNet-Version: 2.0.50727
Cache-Control: private
Content-Type: text/html; charset=utf-8
Content-Length: 522
<br />
<br />.Untitled Page<br />
<br />
3.2.
客戶端用機器名訪問服務(wù)器，登錄用戶名
/
口令跟服務(wù)器不匹配
這種情況，客戶端用服務(wù)器名訪問服務(wù)器，但是客戶端登錄系統(tǒng)的用戶跟服務(wù)器上的用戶名和密碼不匹配，也就是要么服務(wù)器上沒這個用戶，要么就是服務(wù)器這個用戶的密碼跟客戶端這個用戶的密碼不一樣。
3.2.1. 客戶端IE申請頁面
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
3.2.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)
服務(wù)端不允許匿名訪問，服務(wù)端返回需要集成驗證的的http頭。
HTTP/1.1 401 Unauthorized
Content-Length: 1327
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:38:36 GMT
3.2.3. 客戶端選擇NTLM驗證，請求質(zhì)詢碼
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAFAs4OAAAADw==
3.2.4. 服務(wù)器返回質(zhì)詢碼
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAAEgASADgAAAAFgoqikemftrQx0qUAAAAAAAAAAFwAXABKAAAABQLODgAAAA9CAEkAWgBUAEEATABLAFIAMgACABIAQgBJAFoAVABBAEwASwBSADIAAQASAEIASQBaAFQAQQBMAEsAUgAyAAQAEgBiAGkAegB0AGEAbABrAFIAMgADABIAYgBpAHoAdABhAGwAawBSADIAAAAAAA==
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:38:36 GMT
3.2.5. 客戶端發(fā)送用登陸本機的賬戶加密后的質(zhì)詢碼
客戶端IE首先用本機登錄用戶的密碼派生的key加密質(zhì)詢碼，然后連同用戶名一起發(fā)送到服務(wù)端驗證。
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAADAAAAGAAYAIoAAAAYABgAogAAABQAFABIAAAAGgAaAFwAAAAUABQAdgAAAAAAAAC6AAAABYKIogUCzg4AAAAPVwBJAE4AMgAwADAAMwAtAFAAQwBBAGQAbQBpAG4AaQBzAHQAcgBhAHQAbwByAFcASQBOADIAMAAwADMALQBQAEMAwo4jxECJeUwAAAAAAAAAAAAAAAAAAAAA2/kscwhI0mmAC6W4OmsZjbrRyrS2NGUX
3.2.6. 服務(wù)端返回?zé)o授權(quán)回應(yīng)
客戶端本機登錄的用戶名和密碼跟服務(wù)器端沒有匹配的，所以驗證在服務(wù)端沒有通過，服務(wù)端返回?zé)o授權(quán)的回應(yīng)。
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:38:36 GMT
3.2.7. 客戶端及選選擇NTLM驗證，要求輸入用戶名和口令，再次請求質(zhì)詢碼
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAFAs4OAAAADw==
3.2.8. 服務(wù)端返回質(zhì)詢碼
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAAEgASADgAAAAFgoqi3GHiM9qD6TUAAAAAAAAAAFwAXABKAAAABQLODgAAAA9CAEkAWgBUAEEATABLAFIAMgACABIAQgBJAFoAVABBAEwASwBSADIAAQASAEIASQBaAFQAQQBMAEsAUgAyAAQAEgBiAGkAegB0AGEAbABrAFIAMgADABIAYgBpAHoAdABhAGwAawBSADIAAAAAAA==
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:38:45 GMT
3.2.9. 客戶端發(fā)送使用前面輸入賬戶的密碼加密后的質(zhì)詢碼
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAADAAAAGAAYAIgAAAAYABgAoAAAABIAEgBIAAAAGgAaAFoAAAAUABQAdAAAAAAAAAC4AAAABYKIogUCzg4AAAAPQgBJAFoAVABBAEwASwBSADIAYQBkAG0AaQBuAGkAcwB0AHIAYQB0AG8AcgBXAEkATgAyADAAMAAzAC0AUABDAKeYMtcyzwKJAAAAAAAAAAAAAAAAAAAAAExqwTipbr+IzohNdmnopPU1B9pp7QBplA==
3.2.10. 服務(wù)端驗證通過，返回資源
HTTP/1.1 200 OK
Date: Wed, 14 Nov 2007 12:38:45 GMT
Server: Microsoft-IIS/6.0
X-Powered-By: ASP.NET
X-AspNet-Version: 2.0.50727
Cache-Control: private
Content-Type: text/html; charset=utf-8
Content-Length: 522
<br />
<br />.Untitled Page<br />
<br />
3.3.
客戶端用機器名訪問服務(wù)器
，登錄用戶名
/
口令跟服務(wù)器匹配
這種情況，客戶端用服務(wù)器名訪問服務(wù)器，而且客戶端登錄系統(tǒng)的用戶正好在服務(wù)器上有個同名同密碼的用戶。
3.3.1. 客戶端IE申請頁面
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
3.3.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)
同樣，服務(wù)端不允許匿名訪問，服務(wù)端返回需要集成驗證的的http頭。
HTTP/1.1 401 Unauthorized
Content-Length: 1327
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:35:41 GMT
3.3.3. 客戶端選擇NTLM驗證，請求質(zhì)詢碼
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAFAs4OAAAADw==
3.3.4. 服務(wù)器返回質(zhì)詢碼
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAAEgASADgAAAAFgoqiSWLtzjLMElAAAAAAAAAAAFwAXABKAAAABQLODgAAAA9CAEkAWgBUAEEATABLAFIAMgACABIAQgBJAFoAVABBAEwASwBSADIAAQASAEIASQBaAFQAQQBMAEsAUgAyAAQAEgBiAGkAegB0AGEAbABrAFIAMgADABIAYgBpAHoAdABhAGwAawBSADIAAAAAAA==
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:35:41 GMT
當前1/2頁
12下一頁
文章題目：IIS各種身份驗證詳細測試第1/2頁
當前網(wǎng)址：http://m.fisionsoft.com.cn/article/ccssggd.html
1、 匿名訪問... 3
2、 集成windows身份驗證... 3
2.1. NTLM驗證... 3
2.2. Kerberos驗證... 3
3、 基本身份驗證... 4
二、 匿名訪問.... 4
三、 Windows集成驗證.... 5
1、 NTLM驗證過程... 5
1.1. 客戶端選擇NTLM方式... 5
1.2. 服務(wù)端返回質(zhì)詢碼... 5
1.3. 客戶端加密質(zhì)詢碼再次發(fā)送請求... 5
1.4. 服務(wù)端驗證客戶端用戶和密碼... 5
2、 Kerberos驗證過程... 6
2.1. 客戶端選擇Kerberos驗證... 6
2.2. 服務(wù)端驗證身份驗證票... 6
3、 客戶端和服務(wù)器都不在域中... 6
3.1. 客戶端用ip地址訪問服務(wù)... 6
3.1.1. 客戶端IE申請頁面... 6
3.1.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 6
3.1.3. 客戶端選擇NTLM驗證，要求輸入用戶名密碼，請求質(zhì)詢碼... 7
3.1.4. 服務(wù)器返回質(zhì)詢碼... 7
3.1.5. 客戶端發(fā)送使用前面輸入賬戶的密碼加密后的質(zhì)詢碼... 7
3.1.6. 服務(wù)端驗證通過，返回資源... 8
3.2. 客戶端用機器名訪問服務(wù)器，登錄用戶名/口令跟服務(wù)器不匹配... 9
3.2.1. 客戶端IE申請頁面... 9
3.2.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 9
3.2.3. 客戶端選擇NTLM驗證，請求質(zhì)詢碼... 9
3.2.4. 服務(wù)器返回質(zhì)詢碼... 9
3.2.5. 客戶端發(fā)送用登陸本機的賬戶加密后的質(zhì)詢碼... 10
3.2.6. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 10
3.2.7. 客戶端及選選擇NTLM驗證，要求輸入用戶名和口令，再次請求質(zhì)詢碼... 10
3.2.8. 服務(wù)端返回質(zhì)詢碼... 11
3.2.9. 客戶端發(fā)送使用前面輸入賬戶的密碼加密后的質(zhì)詢碼... 11
3.2.10. 服務(wù)端驗證通過，返回資源... 11
3.3. 客戶端用機器名訪問服務(wù)器，登錄用戶名/口令跟服務(wù)器匹配... 12
3.3.1. 客戶端IE申請頁面... 12
3.3.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 12
3.3.3. 客戶端選擇NTLM驗證，請求質(zhì)詢碼... 12
3.3.4. 服務(wù)器返回質(zhì)詢碼... 13
3.3.5. 客戶端發(fā)送用登陸本機的賬戶加密后的質(zhì)詢碼... 13
3.3.6. 服務(wù)端驗證通過，返回資源... 13
4、 客戶端和服務(wù)器都在同一域中... 14
4.1. 客戶端用機ip訪問服務(wù)器... 14
4.1.1. 客戶端IE申請頁面... 14
4.1.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 14
4.1.3. 客戶端選擇NTLM驗證，要求輸入用戶名密碼，請求質(zhì)詢碼... 15
4.1.4. 服務(wù)器返回質(zhì)詢碼... 15
4.1.5. 客戶端發(fā)送使用前面輸入賬戶的密碼加密后的質(zhì)詢碼... 15
4.1.6. 服務(wù)端驗證通過，返回資源... 16
4.2. 客戶端用機器名訪問服務(wù)器，客戶端用戶以域賬戶登錄... 16
4.2.1. 客戶端IE申請頁面... 16
4.2.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 16
4.2.3. 客戶端選擇Kerberos驗證，發(fā)送驗證票到服務(wù)端... 17
4.2.4. 服務(wù)端驗證通過，返回資源... 17
4.3. 客戶端用機器名訪問服務(wù)器，客戶端用戶以客戶端本地用戶登錄，用戶名/口令跟服務(wù)器賬戶不匹配 18
4.3.1. 客戶端IE申請頁面... 18
4.3.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 18
4.3.3. 客戶端選擇NTLM驗證，請求質(zhì)詢碼... 19
4.3.4. 服務(wù)器返回質(zhì)詢碼... 19
4.3.5. 客戶端發(fā)送用登陸本機的賬戶加密后的質(zhì)詢碼... 19
4.3.6. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 20
4.3.7. 客戶端及選選擇NTLM驗證，要求輸入用戶名和口令，再次請求質(zhì)詢碼... 20
4.3.8. 服務(wù)端返回質(zhì)詢碼... 20
4.3.9. 客戶端發(fā)送使用前面輸入賬戶的密碼加密后的質(zhì)詢碼... 20
4.3.10. 服務(wù)端驗證通過，返回資源... 21
4.4. 客戶端用機器名訪問服務(wù)器，客戶端用戶以客戶端本地用戶登錄，用戶名/口令跟服務(wù)器賬戶匹配 21
4.4.1. 客戶端IE申請頁面... 21
4.4.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)... 22
4.4.3. 客戶端選擇NTLM驗證，請求質(zhì)詢碼... 22
4.4.4. 服務(wù)器返回質(zhì)詢碼... 22
4.4.5. 客戶端發(fā)送用登陸本機的賬戶加密后的質(zhì)詢碼... 22
4.4.6. 服務(wù)端驗證通過，返回資源... 23
5、 集成驗證總結(jié)... 23
5.1. 客戶端以ip地址訪問服務(wù)器... 23
5.2. 服務(wù)器在域，客戶端以域帳號登陸... 24
5.3. 其他情況IE都選擇采用NTLM驗證方式。... 24
四、 基本身份驗證.... 24
1、 客戶端IE申請頁面... 24
2、 服務(wù)端返回?zé)o授權(quán)回應(yīng)，并告知客戶端要求基本身份驗證... 24
3、 客戶端彈出對話框要求輸入用戶名和密碼... 25
4、 服務(wù)端驗證通過，返回資源... 25
一、 IIS的身份驗證概述
IIS具有身份驗證功能，可以有以下幾種驗證方式：
1、 匿名訪問
這種方式不驗證訪問用戶的身份，客戶端不需要提供任何身份驗證的憑據(jù)，服務(wù)端把這樣的訪問作為匿名的訪問，并把這樣的訪問用戶都映射到一個服務(wù)端的賬戶，一般為IUSER_MACHINE這個用戶，可以修改映射到的用戶：
2、 集成windows身份驗證
這種驗證方式里面也分為兩種情況
2.1.
NTLM
驗證
這種驗證方式需要把用戶的用戶名和密碼傳送到服務(wù)端，服務(wù)端驗證用戶名和密碼是否和服務(wù)器的此用戶的密碼一致。用戶名用明碼傳送，但是密碼經(jīng)過處理后派生出一個8字節(jié)的key加密質(zhì)詢碼后傳送。
2.2.
Kerberos
驗證
這種驗證方式只把客戶端訪問IIS的驗證票發(fā)送到IIS服務(wù)器，IIS收到這個票據(jù)就能確定客戶端的身份，不需要傳送用戶的密碼。需要kerberos驗證的用戶一定是域用戶。
每一個登錄用戶在登錄被驗證后都會被域中的驗證服務(wù)器生成一個票據(jù)授權(quán)票（TGT）作為這個用戶訪問其他服務(wù)所要驗證票的憑證（這是為了實現(xiàn)一次登錄就能訪問域中所有需要驗證的資源的所謂單點登錄SSO功能），而訪問IIS服務(wù)器的驗證票是通過此用戶的票據(jù)授權(quán)票（TGT）向IIS獲取的。之后此客戶訪問此IIS都使用這個驗證票。同樣訪問其他需要驗證的服務(wù)也是憑這個TGT獲取該服務(wù)的驗證票。
下面是kerberos比較詳細的原理。
Kerberos原理介紹：
工作站端運行著一個票據(jù)授權(quán)的服務(wù)，叫Kinit，專門用做工作站同認證服務(wù)器Kerberos間的身份認證的服務(wù)。
1. 用戶開始登錄，輸入用戶名，驗證服務(wù)器收到用戶名，在用戶數(shù)據(jù)庫中查找這個用戶，結(jié)果發(fā)現(xiàn)了這個用戶。
2. 驗證服務(wù)器生成一個驗證服務(wù)器跟這個登錄用戶之間共享的一個會話口令（Session key），這個口令只有驗證服務(wù)器跟這個登錄用戶之間使用，用來做相互驗證對方使用。同時驗證服務(wù)器給這個登錄用戶生成一個票據(jù)授權(quán)票(ticket-granting ticket)，工作站以后就可以憑這個票據(jù)授權(quán)票來向驗證服務(wù)器請求其他的票據(jù)，而不用再次驗證自己的身份了。驗證服務(wù)器把{ Session key ＋ ticket-granting ticket }用登錄用戶的口令加密后發(fā)回到工作站。
3. 工作站用自己的口令解密驗證服務(wù)器返回的數(shù)據(jù)包，如果解密正確則驗證成功。解密后能夠獲得登錄用戶與驗證服務(wù)器共享的Session key和一張ticket-granting ticket。
到此，登錄用戶沒有在網(wǎng)絡(luò)上發(fā)送口令，通過驗證服務(wù)器使用用戶口令加密驗證授權(quán)票的方法驗證了用戶，用戶跟驗證服務(wù)器之間建立了關(guān)系，在工作站上也保存來相應(yīng)的身份證明，以后要是用網(wǎng)絡(luò)中的其他服務(wù)，可以通過這個身份證明向驗證服務(wù)器申請相應(yīng)服務(wù)器的服務(wù)票，來獲得相應(yīng)服務(wù)身份驗證。
4. 如果用戶第一次訪問IIS服務(wù)器，工作站的kinit查看本機上沒有訪問IIS服務(wù)器的驗證票，于是kinit會向驗證服務(wù)器發(fā)出請求，請求訪問IIS服務(wù)的驗證票。Kinit先要生成一個驗證器，驗證器是這樣的：{用戶名：工作站地址}用跟驗證服務(wù)器間的Session key加密。Kinit將驗證器、票據(jù)授權(quán)票、你的名字、你的工作站地址、IIS服務(wù)名字發(fā)送的驗證服務(wù)器，驗證服務(wù)器驗證驗證授權(quán)票真實有效，然后用跟你共享的Session key解開驗證器，獲取其中的用戶名和地址，與發(fā)送這個請求的用戶和地址比較，如果相符，說明驗證通過，這個請求合法。
5. 驗證服務(wù)器先生成這個用戶跟IIS服務(wù)器之間的Session key會話口令，之后根據(jù)用戶請求生成IIS服務(wù)器的驗證票，是這個樣子的：｛會話口令：用戶名：用戶機器地址：服務(wù)名：有效期：時間戳｝，這個驗證票用IIS服務(wù)器的密碼（驗證服務(wù)器知道所有授權(quán)服務(wù)的密碼）進行加密形成最終的驗證票。最后，驗證服務(wù)器{會話口令＋加好密的驗證票}用用戶口令加密后發(fā)送給用戶。
6. 工作站收到驗證服務(wù)器返回的數(shù)據(jù)包，用自己的口令解密，獲得跟IIS服務(wù)器的Session key和IIS服務(wù)器的驗證票。
7. 工作站kinit同樣要生成一個驗證器，驗證器是這樣的：{用戶名：工作站地址}用跟IIS服務(wù)器間的Session key加密。將驗證器和IIS驗證票一起發(fā)送到IIS服務(wù)器。
8. IIS服務(wù)器先用自己的服務(wù)器密碼解開IIS驗證票，如果解密成功，說明此驗證票真實有效，然后查看此驗證票是否在有效期內(nèi)，在有效期內(nèi)，用驗證票中帶的會話口令去解密驗證器，獲得其中的用戶名和工作站地址，如果跟驗證票中的用戶名和地址相符則說明發(fā)送此驗證票的用戶就是驗證票的所有者，從而驗證本次請求有效。
3、 基本身份驗證
這種驗證方式完全是把用戶名和明文用明文（經(jīng)過base64編碼，但是base64編碼不是加密的，經(jīng)過轉(zhuǎn)換就能轉(zhuǎn)換成原始的明文）傳送到服務(wù)端驗證。服務(wù)器直接驗證服務(wù)器本地是否用用戶跟客戶端提供的用戶名和密碼相匹配的，如果有則通過驗證。
二、 匿名訪問
服務(wù)端IIS設(shè)置了允許匿名訪問后，在收到客戶端的資源請求后，不需要經(jīng)過身份驗證，直接把請求的資源返回給客戶端。
GET /iisstart.htm HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
If-Modified-Since: Fri, 21 Feb 2003 12:15:52 GMT
If-None-Match: "0ce1f9a2d9c21:d87"
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; InfoPath.1; .NET CLR 2.0.50727; MAXTHON 2.0)
Host: 192.168.100.5
Connection: Keep-Alive
HTTP/1.1 200 OK
Content-Length: 1193
Content-Type: text/html
Last-Modified: Fri, 21 Feb 2003 12:15:52 GMT
Accept-Ranges: bytes
ETag: "0ce1f9a2d9c21:d8b"
Server: Microsoft-IIS/6.0
MicrosoftOfficeWebServer: 5.0_Pub
X-Powered-By: ASP.NET
Date: Mon, 12 Nov 2007 07:29:40 GMT
三、 Windows集成驗證
集成 Windows 身份驗證可以使用 NTLM 或 Kerberos V5 身份驗證，當 Internet Explorer 試圖設(shè)為集成驗證的IIS的資源時，IIS 發(fā)送兩個 WWW 身份驗證頭，Negotiate 和 NTLM。
客戶端IE認識Negotiate頭，將選擇Negotiate頭，之后IE可以選擇NTLM 或 Kerberos兩種驗證方式。
如果客戶端不認識Negotiate頭，只能選擇NTLM頭，就只能使用NTLM驗證方式。
現(xiàn)在IE使用的版本一般都在5.0以上，所以現(xiàn)在可以認為IE客戶端都能識別Negotiate 頭。
所以本文只考慮IE接受Negotiate頭，分別使用NTLM 或 Kerberos兩種驗證的情況。
1、 NTLM驗證過程
1.1.
客戶端選擇
NTLM
方式
如果IE選擇了NTLM驗證，IE就會在發(fā)送到IIS的請求中加入一個Authorization: Negotiate頭，內(nèi)容為：
Authorization: Negotiate NTLMSSPXXXXXXXXXXXXXXXXX
藍色部分在實際中是經(jīng)過base64編碼的，其中“NTLMSSP”表示是NTLM驗證的請求，后面的“XXXXXXXX”部分是二進制的數(shù)據(jù)，告訴服務(wù)器，客戶端現(xiàn)在選擇了NTLM驗證，請服務(wù)器發(fā)送質(zhì)詢碼給客戶端。
1.2.
服務(wù)端返回質(zhì)詢碼
服務(wù)器在返回?zé)o授權(quán)訪問的http回應(yīng)的頭部加入Authorization: Negotiate頭，內(nèi)容為：
Authorization: Negotiate NTLMSSPXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
服務(wù)器返回的“XXXXXXXX”部分中含有一個八字節(jié)的質(zhì)詢碼。
1.3.
客戶端加密質(zhì)詢碼再次發(fā)送請求
客戶端使用客戶端帳號的密碼派生出來的8字節(jié)DESkey使用DES算法加密收到的質(zhì)詢碼。連同客戶端帳號的用戶名發(fā)送到服務(wù)端，形式還是這樣：
Authorization: Negotiate NTLMSSPXXXXXXXXXXXXXXXXX
這里的“XXXXXXX”部分包含了加密后的質(zhì)詢碼和客戶端用戶名，用戶名在其中以明碼形式存在。
1.4.
服務(wù)端驗證客戶端用戶和密碼
服務(wù)端收到用戶名后，先查驗本機是否有這個用戶，如果沒有直接返回沒有授權(quán)的http回應(yīng)。
如果有這個用戶，就用這個用戶的密碼派生出來的8字節(jié)DESkey使用DES算法加密發(fā)給客戶端的那個8字節(jié)的質(zhì)詢碼，然后跟收到客戶端發(fā)送來的加密后的質(zhì)詢碼比較，如果不相同，表示客戶端輸入密碼不正確看，返回沒有授權(quán)的http回應(yīng)；如果相同，就表示客戶端輸入這個用戶的密碼正確，驗證通過，返回客戶端請求的資源。
2、 Kerberos驗證過程
2.1.
客戶端選擇
Kerberos
驗證
如果客戶端選擇了Kerberos驗證，客戶端直接在請求頭中加入Authorization: Negotiate頭，內(nèi)容為：
Authorization: Negotiate XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
其中“XXXXXXXXXX”包含了客戶端登錄用戶的身份驗證票（登錄時域中的票據(jù)服務(wù)器發(fā)放的標識此登錄用戶身份的票據(jù)，其中不包含用戶的密碼）。
2.2.
服務(wù)端驗證身份驗證票
服務(wù)器驗證用戶驗證票，如果有效的票據(jù)，服務(wù)端能據(jù)此獲得用戶的用戶名，并驗證用戶的有效性。驗證通過后，服務(wù)端返回客戶端請求的資源。
但是客戶端IE何時選擇NTLM 、合適選擇Kerberos呢？下面通過一系列的測試來找出答案。
分服務(wù)器和客戶端在域不在域兩種情況測試。
3、 客戶端和服務(wù)器都不在域中
測試環(huán)境為服務(wù)器和客戶端機器在同一個局域網(wǎng)中，但是都不在域中?？蛻舳薎E請求服務(wù)端IIS的一個頁面default.aspx。
IIS服務(wù)端設(shè)置：
l 不啟用匿名訪問
l 只啟用集成windows身份驗證
這個環(huán)境下又分為下面幾種情況：
3.1.
客戶端用
ip
地址訪問服務(wù)
3.1.1. 客戶端IE申請頁面
客戶端IE瀏覽器的地址欄上輸入要訪問的URL，就會向服務(wù)端發(fā)送一個GET請求：
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: 192.168.1.13:81
Connection: Keep-Alive
3.1.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)
服務(wù)端設(shè)置了禁用匿名訪問，只允許windows驗證，所以服務(wù)端返回了無授權(quán)回應(yīng)：
HTTP/1.1 401 Unauthorized
返回的http頭中還包括的:
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
這兩個頭表示服務(wù)端只接受集成windows驗證方式
HTTP/1.1 401 Unauthorized
Content-Length: 1327
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
X-Powered-By: ASP.NET
Date: Sun, 11 Nov 2007 12:28:29 GMT
3.1.3. 客戶端選擇NTLM驗證，要求輸入用戶名密碼，請求質(zhì)詢碼
客戶端通過Authorization: Negotiate NTLMSSPXXXX 頭告訴服務(wù)器，客戶端要求NTLM驗證，請求服務(wù)端發(fā)送質(zhì)詢碼。
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: 192.168.1.13:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAFAs4OAAAAD3==
3.1.4. 服務(wù)器返回質(zhì)詢碼
服務(wù)端收到客戶端的請求，發(fā)送一個八字節(jié)的質(zhì)詢碼。
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAAEgASADgAAAAFgoqii7rzphzu6mEAAAAAAAAAAFwAXABKAAAABQLODgAAAA9CAEkAWgBUAEEATABLAFIAMgACABIAQgBJAFoAVABBAEwASwBSADIAAQASAEIASQBaAFQAQQBMAEsAUgAyAAQAEgBiAGkAegB0AGEAbABrAFIAMgADABIAYgBpAHoAdABhAGwAawBSADIAAAAAAA==
X-Powered-By: ASP.NET
Date: Sun, 11 Nov 2007 12:29:44 GMT
3.1.5. 客戶端發(fā)送使用前面輸入賬戶的密碼加密后的質(zhì)詢碼
客戶端IE收到質(zhì)詢碼后，使用根據(jù)一定的規(guī)則從登錄用戶密碼派生出的8字節(jié)的key對質(zhì)詢碼進行DES加密，加密后的質(zhì)詢碼和用戶名明碼連同頁面請求一起發(fā)送到服務(wù)端。
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: 192.168.1.13:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAADAAAAGAAYAI4AAAAYABgApgAAABgAGABIAAAAGgAaAGAAAAAUABQAegAAAAAAAAC+AAAABYKIogUCzg4AAAAPMQA5ADIALgAxADYAOAAuADEALgAxADMAYQBkAG0AaQBuAGkAcwB0AHIAYQB0AG8AcgBXAEkATgAyADAAMAAzAC0AUABDAL0amMkkEMWLAAAAAAAAAAAAAAAAAAAAAFND1Boc0kthz0TBnfxn3z4W9/NILU1CtW==
3.1.6. 服務(wù)端驗證通過，返回資源
服務(wù)端收到用戶名和加密后的質(zhì)詢碼后，根據(jù)用戶名查找服務(wù)器上此用戶的密碼，按照客戶端同樣的方法加密質(zhì)詢碼，然后跟收到客戶端返回的質(zhì)詢碼，如果一致，則說明用戶名和密碼都一致，驗證通過，返回客戶端IE請求資源。如果不對，再次返回?zé)o授權(quán)http回應(yīng)。
HTTP/1.1 200 OK
Date: Sun, 11 Nov 2007 12:29:44 GMT
Server: Microsoft-IIS/6.0
X-Powered-By: ASP.NET
X-AspNet-Version: 2.0.50727
Cache-Control: private
Content-Type: text/html; charset=utf-8
Content-Length: 522
3.2.
客戶端用機器名訪問服務(wù)器，登錄用戶名
/
口令跟服務(wù)器不匹配
這種情況，客戶端用服務(wù)器名訪問服務(wù)器，但是客戶端登錄系統(tǒng)的用戶跟服務(wù)器上的用戶名和密碼不匹配，也就是要么服務(wù)器上沒這個用戶，要么就是服務(wù)器這個用戶的密碼跟客戶端這個用戶的密碼不一樣。
3.2.1. 客戶端IE申請頁面
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
3.2.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)
服務(wù)端不允許匿名訪問，服務(wù)端返回需要集成驗證的的http頭。
HTTP/1.1 401 Unauthorized
Content-Length: 1327
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:38:36 GMT
3.2.3. 客戶端選擇NTLM驗證，請求質(zhì)詢碼
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAFAs4OAAAADw==
3.2.4. 服務(wù)器返回質(zhì)詢碼
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAAEgASADgAAAAFgoqikemftrQx0qUAAAAAAAAAAFwAXABKAAAABQLODgAAAA9CAEkAWgBUAEEATABLAFIAMgACABIAQgBJAFoAVABBAEwASwBSADIAAQASAEIASQBaAFQAQQBMAEsAUgAyAAQAEgBiAGkAegB0AGEAbABrAFIAMgADABIAYgBpAHoAdABhAGwAawBSADIAAAAAAA==
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:38:36 GMT
3.2.5. 客戶端發(fā)送用登陸本機的賬戶加密后的質(zhì)詢碼
客戶端IE首先用本機登錄用戶的密碼派生的key加密質(zhì)詢碼，然后連同用戶名一起發(fā)送到服務(wù)端驗證。
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAADAAAAGAAYAIoAAAAYABgAogAAABQAFABIAAAAGgAaAFwAAAAUABQAdgAAAAAAAAC6AAAABYKIogUCzg4AAAAPVwBJAE4AMgAwADAAMwAtAFAAQwBBAGQAbQBpAG4AaQBzAHQAcgBhAHQAbwByAFcASQBOADIAMAAwADMALQBQAEMAwo4jxECJeUwAAAAAAAAAAAAAAAAAAAAA2/kscwhI0mmAC6W4OmsZjbrRyrS2NGUX
3.2.6. 服務(wù)端返回?zé)o授權(quán)回應(yīng)
客戶端本機登錄的用戶名和密碼跟服務(wù)器端沒有匹配的，所以驗證在服務(wù)端沒有通過，服務(wù)端返回?zé)o授權(quán)的回應(yīng)。
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:38:36 GMT
3.2.7. 客戶端及選選擇NTLM驗證，要求輸入用戶名和口令，再次請求質(zhì)詢碼
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAFAs4OAAAADw==
3.2.8. 服務(wù)端返回質(zhì)詢碼
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAAEgASADgAAAAFgoqi3GHiM9qD6TUAAAAAAAAAAFwAXABKAAAABQLODgAAAA9CAEkAWgBUAEEATABLAFIAMgACABIAQgBJAFoAVABBAEwASwBSADIAAQASAEIASQBaAFQAQQBMAEsAUgAyAAQAEgBiAGkAegB0AGEAbABrAFIAMgADABIAYgBpAHoAdABhAGwAawBSADIAAAAAAA==
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:38:45 GMT
3.2.9. 客戶端發(fā)送使用前面輸入賬戶的密碼加密后的質(zhì)詢碼
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAADAAAAGAAYAIgAAAAYABgAoAAAABIAEgBIAAAAGgAaAFoAAAAUABQAdAAAAAAAAAC4AAAABYKIogUCzg4AAAAPQgBJAFoAVABBAEwASwBSADIAYQBkAG0AaQBuAGkAcwB0AHIAYQB0AG8AcgBXAEkATgAyADAAMAAzAC0AUABDAKeYMtcyzwKJAAAAAAAAAAAAAAAAAAAAAExqwTipbr+IzohNdmnopPU1B9pp7QBplA==
3.2.10. 服務(wù)端驗證通過，返回資源
HTTP/1.1 200 OK
Date: Wed, 14 Nov 2007 12:38:45 GMT
Server: Microsoft-IIS/6.0
X-Powered-By: ASP.NET
X-AspNet-Version: 2.0.50727
Cache-Control: private
Content-Type: text/html; charset=utf-8
Content-Length: 522
3.3.
客戶端用機器名訪問服務(wù)器
，登錄用戶名
/
口令跟服務(wù)器匹配
這種情況，客戶端用服務(wù)器名訪問服務(wù)器，而且客戶端登錄系統(tǒng)的用戶正好在服務(wù)器上有個同名同密碼的用戶。
3.3.1. 客戶端IE申請頁面
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
3.3.2. 服務(wù)端返回?zé)o授權(quán)回應(yīng)
同樣，服務(wù)端不允許匿名訪問，服務(wù)端返回需要集成驗證的的http頭。
HTTP/1.1 401 Unauthorized
Content-Length: 1327
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:35:41 GMT
3.3.3. 客戶端選擇NTLM驗證，請求質(zhì)詢碼
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAFAs4OAAAADw==
3.3.4. 服務(wù)器返回質(zhì)詢碼
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAAEgASADgAAAAFgoqiSWLtzjLMElAAAAAAAAAAAFwAXABKAAAABQLODgAAAA9CAEkAWgBUAEEATABLAFIAMgACABIAQgBJAFoAVABBAEwASwBSADIAAQASAEIASQBaAFQAQQBMAEsAUgAyAAQAEgBiAGkAegB0AGEAbABrAFIAMgADABIAYgBpAHoAdABhAGwAawBSADIAAAAAAA==
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:35:41 GMT
當前1/2頁
12下一頁
創(chuàng)新互聯(lián)專注于孟州企業(yè)網(wǎng)站建設(shè),成都響應(yīng)式網(wǎng)站建設(shè)公司,商城網(wǎng)站制作。孟州網(wǎng)站建設(shè)公司,為孟州等地區(qū)提供建站服務(wù)。全流程按需開發(fā)網(wǎng)站，專業(yè)設(shè)計，全程項目跟蹤，創(chuàng)新互聯(lián)專業(yè)和態(tài)度為您提供的服務(wù)
文章題目：IIS各種身份驗證詳細測試第1/2頁
當前網(wǎng)址：http://m.fisionsoft.com.cn/article/ccssggd.html
