IIS 各種身份驗證詳細測試第1/2頁
2024-08-29 03:15:51
供稿：網友
一、 IIS的身份驗證概述.... 3
1、 匿名訪問... 3
2、 集成windows身份驗證... 3
2.1. NTLM驗證... 3
2.2. Kerberos驗證... 3
3、 基本身份驗證... 4
二、 匿名訪問.... 4
三、 Windows集成驗證.... 5
1、 NTLM驗證過程... 5
1.1. 客戶端選擇NTLM方式... 5
1.2. 服務端返回質詢碼... 5
1.3. 客戶端加密質詢碼再次發送請求... 5
1.4. 服務端驗證客戶端用戶和密碼... 5
2、 Kerberos驗證過程... 6
2.1. 客戶端選擇Kerberos驗證... 6
2.2. 服務端驗證身份驗證票... 6
3、 客戶端和服務器都不在域中... 6
3.1. 客戶端用ip地址訪問服務... 6
3.1.1. 客戶端IE申請頁面... 6
3.1.2. 服務端返回無授權回應... 6
3.1.3. 客戶端選擇NTLM驗證，要求輸入用戶名密碼，請求質詢碼... 7
3.1.4. 服務器返回質詢碼... 7
3.1.5. 客戶端發送使用前面輸入賬戶的密碼加密后的質詢碼... 7
3.1.6. 服務端驗證通過，返回資源... 8
3.2. 客戶端用機器名訪問服務器，登錄用戶名/口令跟服務器不匹配... 9
3.2.1. 客戶端IE申請頁面... 9
3.2.2. 服務端返回無授權回應... 9
3.2.3. 客戶端選擇NTLM驗證，請求質詢碼... 9
3.2.4. 服務器返回質詢碼... 9
3.2.5. 客戶端發送用登陸本機的賬戶加密后的質詢碼... 10
3.2.6. 服務端返回無授權回應... 10
3.2.7. 客戶端及選選擇NTLM驗證，要求輸入用戶名和口令，再次請求質詢碼... 10
3.2.8. 服務端返回質詢碼... 11
3.2.9. 客戶端發送使用前面輸入賬戶的密碼加密后的質詢碼... 11
3.2.10. 服務端驗證通過，返回資源... 11
3.3. 客戶端用機器名訪問服務器，登錄用戶名/口令跟服務器匹配... 12
3.3.1. 客戶端IE申請頁面... 12
3.3.2. 服務端返回無授權回應... 12
3.3.3. 客戶端選擇NTLM驗證，請求質詢碼... 12
3.3.4. 服務器返回質詢碼... 13
3.3.5. 客戶端發送用登陸本機的賬戶加密后的質詢碼... 13
3.3.6. 服務端驗證通過，返回資源... 13
4、 客戶端和服務器都在同一域中... 14
4.1. 客戶端用機ip訪問服務器... 14
4.1.1. 客戶端IE申請頁面... 14
4.1.2. 服務端返回無授權回應... 14
4.1.3. 客戶端選擇NTLM驗證，要求輸入用戶名密碼，請求質詢碼... 15
4.1.4. 服務器返回質詢碼... 15
4.1.5. 客戶端發送使用前面輸入賬戶的密碼加密后的質詢碼... 15
4.1.6. 服務端驗證通過，返回資源... 16
4.2. 客戶端用機器名訪問服務器，客戶端用戶以域賬戶登錄... 16
4.2.1. 客戶端IE申請頁面... 16
4.2.2. 服務端返回無授權回應... 16
4.2.3. 客戶端選擇Kerberos驗證，發送驗證票到服務端... 17
4.2.4. 服務端驗證通過，返回資源... 17
4.3. 客戶端用機器名訪問服務器，客戶端用戶以客戶端本地用戶登錄，用戶名/口令跟服務器賬戶不匹配 18
4.3.1. 客戶端IE申請頁面... 18
4.3.2. 服務端返回無授權回應... 18
4.3.3. 客戶端選擇NTLM驗證，請求質詢碼... 19
4.3.4. 服務器返回質詢碼... 19
4.3.5. 客戶端發送用登陸本機的賬戶加密后的質詢碼... 19
4.3.6. 服務端返回無授權回應... 20
4.3.7. 客戶端及選選擇NTLM驗證，要求輸入用戶名和口令，再次請求質詢碼... 20
4.3.8. 服務端返回質詢碼... 20
4.3.9. 客戶端發送使用前面輸入賬戶的密碼加密后的質詢碼... 20
4.3.10. 服務端驗證通過，返回資源... 21
4.4. 客戶端用機器名訪問服務器，客戶端用戶以客戶端本地用戶登錄，用戶名/口令跟服務器賬戶匹配 21
4.4.1. 客戶端IE申請頁面... 21
4.4.2. 服務端返回無授權回應... 22
4.4.3. 客戶端選擇NTLM驗證，請求質詢碼... 22
4.4.4. 服務器返回質詢碼... 22
4.4.5. 客戶端發送用登陸本機的賬戶加密后的質詢碼... 22
4.4.6. 服務端驗證通過，返回資源... 23
5、 集成驗證總結... 23
5.1. 客戶端以ip地址訪問服務器... 23
5.2. 服務器在域，客戶端以域帳號登陸... 24
5.3. 其他情況IE都選擇采用NTLM驗證方式。... 24
四、 基本身份驗證.... 24
1、 客戶端IE申請頁面... 24
2、 服務端返回無授權回應，并告知客戶端要求基本身份驗證... 24
3、 客戶端彈出對話框要求輸入用戶名和密碼... 25
4、 服務端驗證通過，返回資源... 25
一、 IIS的身份驗證概述
IIS具有身份驗證功能，可以有以下幾種驗證方式：
1、 匿名訪問
這種方式不驗證訪問用戶的身份，客戶端不需要提供任何身份驗證的憑據，服務端把這樣的訪問作為匿名的訪問，并把這樣的訪問用戶都映射到一個服務端的賬戶，一般為IUSER_MACHINE這個用戶，可以修改映射到的用戶：
2、 集成windows身份驗證
這種驗證方式里面也分為兩種情況
2.1.
NTLM
驗證
這種驗證方式需要把用戶的用戶名和密碼傳送到服務端，服務端驗證用戶名和密碼是否和服務器的此用戶的密碼一致。用戶名用明碼傳送，但是密碼經過處理后派生出一個8字節的key加密質詢碼后傳送。
2.2.
Kerberos
驗證
這種驗證方式只把客戶端訪問IIS的驗證票發送到IIS服務器，IIS收到這個票據就能確定客戶端的身份，不需要傳送用戶的密碼。需要kerberos驗證的用戶一定是域用戶。
每一個登錄用戶在登錄被驗證后都會被域中的驗證服務器生成一個票據授權票（TGT）作為這個用戶訪問其他服務所要驗證票的憑證（這是為了實現一次登錄就能訪問域中所有需要驗證的資源的所謂單點登錄SSO功能），而訪問IIS服務器的驗證票是通過此用戶的票據授權票（TGT）向IIS獲取的。之后此客戶訪問此IIS都使用這個驗證票。同樣訪問其他需要驗證的服務也是憑這個TGT獲取該服務的驗證票。
下面是kerberos比較詳細的原理。
Kerberos原理介紹：
工作站端運行著一個票據授權的服務，叫Kinit，專門用做工作站同認證服務器Kerberos間的身份認證的服務。
1. 用戶開始登錄，輸入用戶名，驗證服務器收到用戶名，在用戶數據庫中查找這個用戶，結果發現了這個用戶。
2. 驗證服務器生成一個驗證服務器跟這個登錄用戶之間共享的一個會話口令（Session key），這個口令只有驗證服務器跟這個登錄用戶之間使用，用來做相互驗證對方使用。同時驗證服務器給這個登錄用戶生成一個票據授權票(ticket-granting ticket)，工作站以后就可以憑這個票據授權票來向驗證服務器請求其他的票據，而不用再次驗證自己的身份了。驗證服務器把{ Session key ＋ ticket-granting ticket }用登錄用戶的口令加密后發回到工作站。
3. 工作站用自己的口令解密驗證服務器返回的數據包，如果解密正確則驗證成功。解密后能夠獲得登錄用戶與驗證服務器共享的Session key和一張ticket-granting ticket。
到此，登錄用戶沒有在網絡上發送口令，通過驗證服務器使用用戶口令加密驗證授權票的方法驗證了用戶，用戶跟驗證服務器之間建立了關系，在工作站上也保存來相應的身份證明，以后要是用網絡中的其他服務，可以通過這個身份證明向驗證服務器申請相應服務器的服務票，來獲得相應服務身份驗證。
4. 如果用戶第一次訪問IIS服務器，工作站的kinit查看本機上沒有訪問IIS服務器的驗證票，于是kinit會向驗證服務器發出請求，請求訪問IIS服務的驗證票。Kinit先要生成一個驗證器，驗證器是這樣的：{用戶名：工作站地址}用跟驗證服務器間的Session key加密。Kinit將驗證器、票據授權票、你的名字、你的工作站地址、IIS服務名字發送的驗證服務器，驗證服務器驗證驗證授權票真實有效，然后用跟你共享的Session key解開驗證器，獲取其中的用戶名和地址，與發送這個請求的用戶和地址比較，如果相符，說明驗證通過，這個請求合法。
5. 驗證服務器先生成這個用戶跟IIS服務器之間的Session key會話口令，之后根據用戶請求生成IIS服務器的驗證票，是這個樣子的：｛會話口令：用戶名：用戶機器地址：服務名：有效期：時間戳｝，這個驗證票用IIS服務器的密碼（驗證服務器知道所有授權服務的密碼）進行加密形成最終的驗證票。最后，驗證服務器{會話口令＋加好密的驗證票}用用戶口令加密后發送給用戶。
6. 工作站收到驗證服務器返回的數據包，用自己的口令解密，獲得跟IIS服務器的Session key和IIS服務器的驗證票。
7. 工作站kinit同樣要生成一個驗證器，驗證器是這樣的：{用戶名：工作站地址}用跟IIS服務器間的Session key加密。將驗證器和IIS驗證票一起發送到IIS服務器。
8. IIS服務器先用自己的服務器密碼解開IIS驗證票，如果解密成功，說明此驗證票真實有效，然后查看此驗證票是否在有效期內，在有效期內，用驗證票中帶的會話口令去解密驗證器，獲得其中的用戶名和工作站地址，如果跟驗證票中的用戶名和地址相符則說明發送此驗證票的用戶就是驗證票的所有者，從而驗證本次請求有效。
3、 基本身份驗證
這種驗證方式完全是把用戶名和明文用明文（經過base64編碼，但是base64編碼不是加密的，經過轉換就能轉換成原始的明文）傳送到服務端驗證。服務器直接驗證服務器本地是否用用戶跟客戶端提供的用戶名和密碼相匹配的，如果有則通過驗證。
二、 匿名訪問
服務端IIS設置了允許匿名訪問后，在收到客戶端的資源請求后，不需要經過身份驗證，直接把請求的資源返回給客戶端。
GET /iisstart.htm HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
If-Modified-Since: Fri, 21 Feb 2003 12:15:52 GMT
If-None-Match: "0ce1f9a2d9c21:d87"
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; InfoPath.1; .NET CLR 2.0.50727; MAXTHON 2.0)
Host: 192.168.100.5
Connection: Keep-Alive
HTTP/1.1 200 OK
Content-Length: 1193
Content-Type: text/html
Last-Modified: Fri, 21 Feb 2003 12:15:52 GMT
Accept-Ranges: bytes
ETag: "0ce1f9a2d9c21:d8b"
Server: Microsoft-IIS/6.0
MicrosoftOfficeWebServer: 5.0_Pub
X-Powered-By: ASP.NET
Date: Mon, 12 Nov 2007 07:29:40 GMT
三、 Windows集成驗證
集成 Windows 身份驗證可以使用 NTLM 或 Kerberos V5 身份驗證，當 Internet Explorer 試圖設為集成驗證的IIS的資源時，IIS 發送兩個 WWW 身份驗證頭，Negotiate 和 NTLM。
客戶端IE認識Negotiate頭，將選擇Negotiate頭，之后IE可以選擇NTLM 或 Kerberos兩種驗證方式。
如果客戶端不認識Negotiate頭，只能選擇NTLM頭，就只能使用NTLM驗證方式。
現在IE使用的版本一般都在5.0以上，所以現在可以認為IE客戶端都能識別Negotiate 頭。
所以本文只考慮IE接受Negotiate頭，分別使用NTLM 或 Kerberos兩種驗證的情況。
1、 NTLM驗證過程
1.1.
客戶端選擇
NTLM
方式
如果IE選擇了NTLM驗證，IE就會在發送到IIS的請求中加入一個Authorization: Negotiate頭，內容為：
Authorization: Negotiate NTLMSSPXXXXXXXXXXXXXXXXX
藍色部分在實際中是經過base64編碼的，其中“NTLMSSP”表示是NTLM驗證的請求，后面的“XXXXXXXX”部分是二進制的數據，告訴服務器，客戶端現在選擇了NTLM驗證，請服務器發送質詢碼給客戶端。
1.2.
服務端返回質詢碼
服務器在返回無授權訪問的http回應的頭部加入Authorization: Negotiate頭，內容為：
Authorization: Negotiate NTLMSSPXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
服務器返回的“XXXXXXXX”部分中含有一個八字節的質詢碼。
1.3.
客戶端加密質詢碼再次發送請求
客戶端使用客戶端帳號的密碼派生出來的8字節DESkey使用DES算法加密收到的質詢碼。連同客戶端帳號的用戶名發送到服務端，形式還是這樣：
Authorization: Negotiate NTLMSSPXXXXXXXXXXXXXXXXX
這里的“XXXXXXX”部分包含了加密后的質詢碼和客戶端用戶名，用戶名在其中以明碼形式存在。
1.4.
服務端驗證客戶端用戶和密碼
服務端收到用戶名后，先查驗本機是否有這個用戶，如果沒有直接返回沒有授權的http回應。
如果有這個用戶，就用這個用戶的密碼派生出來的8字節DESkey使用DES算法加密發給客戶端的那個8字節的質詢碼，然后跟收到客戶端發送來的加密后的質詢碼比較，如果不相同，表示客戶端輸入密碼不正確看，返回沒有授權的http回應；如果相同，就表示客戶端輸入這個用戶的密碼正確，驗證通過，返回客戶端請求的資源。
2、 Kerberos驗證過程
2.1.
客戶端選擇
Kerberos
驗證
如果客戶端選擇了Kerberos驗證，客戶端直接在請求頭中加入Authorization: Negotiate頭，內容為：
Authorization: Negotiate XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
其中“XXXXXXXXXX”包含了客戶端登錄用戶的身份驗證票（登錄時域中的票據服務器發放的標識此登錄用戶身份的票據，其中不包含用戶的密碼）。
2.2.
服務端驗證身份驗證票
服務器驗證用戶驗證票，如果有效的票據，服務端能據此獲得用戶的用戶名，并驗證用戶的有效性。驗證通過后，服務端返回客戶端請求的資源。
但是客戶端IE何時選擇NTLM 、合適選擇Kerberos呢？下面通過一系列的測試來找出答案。
分服務器和客戶端在域不在域兩種情況測試。
3、 客戶端和服務器都不在域中
測試環境為服務器和客戶端機器在同一個局域網中，但是都不在域中?？蛻舳薎E請求服務端IIS的一個頁面default.aspx。
IIS服務端設置：
l 不啟用匿名訪問
l 只啟用集成windows身份驗證
這個環境下又分為下面幾種情況：
3.1.
客戶端用
ip
地址訪問服務
3.1.1. 客戶端IE申請頁面
客戶端IE瀏覽器的地址欄上輸入要訪問的URL，就會向服務端發送一個GET請求：
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: 192.168.1.13:81
Connection: Keep-Alive
3.1.2. 服務端返回無授權回應
服務端設置了禁用匿名訪問，只允許windows驗證，所以服務端返回了無授權回應：
HTTP/1.1 401 Unauthorized
返回的http頭中還包括的:
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
這兩個頭表示服務端只接受集成windows驗證方式
HTTP/1.1 401 Unauthorized
Content-Length: 1327
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
X-Powered-By: ASP.NET
Date: Sun, 11 Nov 2007 12:28:29 GMT
3.1.3. 客戶端選擇NTLM驗證，要求輸入用戶名密碼，請求質詢碼
客戶端通過Authorization: Negotiate NTLMSSPXXXX 頭告訴服務器，客戶端要求NTLM驗證，請求服務端發送質詢碼。
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: 192.168.1.13:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAFAs4OAAAAD3==
3.1.4. 服務器返回質詢碼
服務端收到客戶端的請求，發送一個八字節的質詢碼。
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAAEgASADgAAAAFgoqii7rzphzu6mEAAAAAAAAAAFwAXABKAAAABQLODgAAAA9CAEkAWgBUAEEATABLAFIAMgACABIAQgBJAFoAVABBAEwASwBSADIAAQASAEIASQBaAFQAQQBMAEsAUgAyAAQAEgBiAGkAegB0AGEAbABrAFIAMgADABIAYgBpAHoAdABhAGwAawBSADIAAAAAAA==
X-Powered-By: ASP.NET
Date: Sun, 11 Nov 2007 12:29:44 GMT
3.1.5. 客戶端發送使用前面輸入賬戶的密碼加密后的質詢碼
客戶端IE收到質詢碼后，使用根據一定的規則從登錄用戶密碼派生出的8字節的key對質詢碼進行DES加密，加密后的質詢碼和用戶名明碼連同頁面請求一起發送到服務端。
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: 192.168.1.13:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAADAAAAGAAYAI4AAAAYABgApgAAABgAGABIAAAAGgAaAGAAAAAUABQAegAAAAAAAAC+AAAABYKIogUCzg4AAAAPMQA5ADIALgAxADYAOAAuADEALgAxADMAYQBkAG0AaQBuAGkAcwB0AHIAYQB0AG8AcgBXAEkATgAyADAAMAAzAC0AUABDAL0amMkkEMWLAAAAAAAAAAAAAAAAAAAAAFND1Boc0kthz0TBnfxn3z4W9/NILU1CtW==
3.1.6. 服務端驗證通過，返回資源
服務端收到用戶名和加密后的質詢碼后，根據用戶名查找服務器上此用戶的密碼，按照客戶端同樣的方法加密質詢碼，然后跟收到客戶端返回的質詢碼，如果一致，則說明用戶名和密碼都一致，驗證通過，返回客戶端IE請求資源。如果不對，再次返回無授權http回應。
HTTP/1.1 200 OK
Date: Sun, 11 Nov 2007 12:29:44 GMT
Server: Microsoft-IIS/6.0
X-Powered-By: ASP.NET
X-AspNet-Version: 2.0.50727
Cache-Control: private
Content-Type: text/html; charset=utf-8
Content-Length: 522
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" >
<head><title>
.Untitled Page
</title></head>
<body>
<form method="post" action="default.aspx">
<div>
<input type="hidden" value="/wEPDwUJNzgzNDMwNTMzZGTcefU2sz1MLsbXiZdUEXomIyZ20Q==" />
</div>
<div>
This is a simple page!</div>
</form>
</body>
</html>
3.2.
客戶端用機器名訪問服務器，登錄用戶名
/
口令跟服務器不匹配
這種情況，客戶端用服務器名訪問服務器，但是客戶端登錄系統的用戶跟服務器上的用戶名和密碼不匹配，也就是要么服務器上沒這個用戶，要么就是服務器這個用戶的密碼跟客戶端這個用戶的密碼不一樣。
3.2.1. 客戶端IE申請頁面
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
3.2.2. 服務端返回無授權回應
服務端不允許匿名訪問，服務端返回需要集成驗證的的http頭。
HTTP/1.1 401 Unauthorized
Content-Length: 1327
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:38:36 GMT
3.2.3. 客戶端選擇NTLM驗證，請求質詢碼
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAFAs4OAAAADw==
3.2.4. 服務器返回質詢碼
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAAEgASADgAAAAFgoqikemftrQx0qUAAAAAAAAAAFwAXABKAAAABQLODgAAAA9CAEkAWgBUAEEATABLAFIAMgACABIAQgBJAFoAVABBAEwASwBSADIAAQASAEIASQBaAFQAQQBMAEsAUgAyAAQAEgBiAGkAegB0AGEAbABrAFIAMgADABIAYgBpAHoAdABhAGwAawBSADIAAAAAAA==
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:38:36 GMT
3.2.5. 客戶端發送用登陸本機的賬戶加密后的質詢碼
客戶端IE首先用本機登錄用戶的密碼派生的key加密質詢碼，然后連同用戶名一起發送到服務端驗證。
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAADAAAAGAAYAIoAAAAYABgAogAAABQAFABIAAAAGgAaAFwAAAAUABQAdgAAAAAAAAC6AAAABYKIogUCzg4AAAAPVwBJAE4AMgAwADAAMwAtAFAAQwBBAGQAbQBpAG4AaQBzAHQAcgBhAHQAbwByAFcASQBOADIAMAAwADMALQBQAEMAwo4jxECJeUwAAAAAAAAAAAAAAAAAAAAA2/kscwhI0mmAC6W4OmsZjbrRyrS2NGUX
3.2.6. 服務端返回無授權回應
客戶端本機登錄的用戶名和密碼跟服務器端沒有匹配的，所以驗證在服務端沒有通過，服務端返回無授權的回應。
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:38:36 GMT
3.2.7. 客戶端及選選擇NTLM驗證，要求輸入用戶名和口令，再次請求質詢碼
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAFAs4OAAAADw==
3.2.8. 服務端返回質詢碼
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAAEgASADgAAAAFgoqi3GHiM9qD6TUAAAAAAAAAAFwAXABKAAAABQLODgAAAA9CAEkAWgBUAEEATABLAFIAMgACABIAQgBJAFoAVABBAEwASwBSADIAAQASAEIASQBaAFQAQQBMAEsAUgAyAAQAEgBiAGkAegB0AGEAbABrAFIAMgADABIAYgBpAHoAdABhAGwAawBSADIAAAAAAA==
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:38:45 GMT
3.2.9. 客戶端發送使用前面輸入賬戶的密碼加密后的質詢碼
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAADAAAAGAAYAIgAAAAYABgAoAAAABIAEgBIAAAAGgAaAFoAAAAUABQAdAAAAAAAAAC4AAAABYKIogUCzg4AAAAPQgBJAFoAVABBAEwASwBSADIAYQBkAG0AaQBuAGkAcwB0AHIAYQB0AG8AcgBXAEkATgAyADAAMAAzAC0AUABDAKeYMtcyzwKJAAAAAAAAAAAAAAAAAAAAAExqwTipbr+IzohNdmnopPU1B9pp7QBplA==
3.2.10. 服務端驗證通過，返回資源
HTTP/1.1 200 OK
Date: Wed, 14 Nov 2007 12:38:45 GMT
Server: Microsoft-IIS/6.0
X-Powered-By: ASP.NET
X-AspNet-Version: 2.0.50727
Cache-Control: private
Content-Type: text/html; charset=utf-8
Content-Length: 522
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" >
<head><title>
.Untitled Page
</title></head>
<body>
<form method="post" action="default.aspx">
<div>
<input type="hidden" value="/wEPDwUJNzgzNDMwNTMzZGTcefU2sz1MLsbXiZdUEXomIyZ20Q==" />
</div>
<div>
This is a simple page!</div>
</form>
</body>
</html>
3.3.
客戶端用機器名訪問服務器
，登錄用戶名
/
口令跟服務器匹配
這種情況，客戶端用服務器名訪問服務器，而且客戶端登錄系統的用戶正好在服務器上有個同名同密碼的用戶。
3.3.1. 客戶端IE申請頁面
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
3.3.2. 服務端返回無授權回應
同樣，服務端不允許匿名訪問，服務端返回需要集成驗證的的http頭。
HTTP/1.1 401 Unauthorized
Content-Length: 1327
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:35:41 GMT
3.3.3. 客戶端選擇NTLM驗證，請求質詢碼
GET /wstest/default.aspx HTTP/1.1
Accept: */*
Accept-Language: zh-cn
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; InfoPath.1; MAXTHON 2.0)
Host: biztalkr2:81
Connection: Keep-Alive
Authorization: Negotiate TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAFAs4OAAAADw==
3.3.4. 服務器返回質詢碼
HTTP/1.1 401 Unauthorized
Content-Length: 1251
Content-Type: text/html
Server: Microsoft-IIS/6.0
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAAEgASADgAAAAFgoqiSWLtzjLMElAAAAAAAAAAAFwAXABKAAAABQLODgAAAA9CAEkAWgBUAEEATABLAFIAMgACABIAQgBJAFoAVABBAEwASwBSADIAAQASAEIASQBaAFQAQQBMAEsAUgAyAAQAEgBiAGkAegB0AGEAbABrAFIAMgADABIAYgBpAHoAdABhAGwAawBSADIAAAAAAA==
X-Powered-By: ASP.NET
Date: Wed, 14 Nov 2007 12:35:41 GMT
