http digest认证过程分析及例子(这个给出了提取函数)

2023-12-18 03:38

本文主要是介绍http digest认证过程分析及例子(这个给出了提取函数),希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

转载自:http digest认证过程分析及例子_希哈科技的博客-CSDN博客

http digest认证过程分析及例子

技术标签: http  digest  认证

验证过程:

     

 

     

步骤一、客户端向服务器申请数据                        
****************************Request******************************
GET /auth HTTP/1.1(\r\n)
Accept: */*(\r\n)
Host: 192.168.1.15(\r\n)
Content-Length: 0(\r\n)
(\r\n\r\n)
步骤二、服务器回复说需要验证,并发送了需要的数据(注意这里是Digest,决定了需要使用Digest认证方式,而不是Basic等),这些数据决定了客户端验证需要遵循的算法。
****************************Response******************************
HTTP/1.1 401 Unauthorized(\r\n)
Connection: Keep-Alive(\r\n)
Content-Length: 0(\r\n)
Date: Wed, 11 Sep 2013 09:35:54 GMT(\r\n)
WWW-Authenticate: Digestrealm="TestDigest",nonce="c7237893-4eca-478e-b016-548f7998933b",algorithm=MD5,qop="auth"(\r\n)

(\r\n\r\n)

步骤三、发送验证信息

步骤二数据包的分析:
    状态码401表示该客户端未被授权,需要客户端发送验证信息,注意这时候必须发送WWW-Authenticate头域,否则客户端不知道该依据什么规则来发送验证信息。依据http头域中WWW-Authenticate中的字段。根据“RFC 2617 - HTTP Authentication: Basic and Digest Access Authenti”该文档中,介绍了如何依据服务器返回的数据发送验证信息。
服务器通过规则计算出的结果与客户端发送的response进行比较,相等才认为是合法用户,于是服务器发送200 OK。
依据该文档:digest的计算如下(附录2,生成发送WWW-Authenticate的函数),即上文中说到的response,计算出来的digest通过response字段发送给服务器。
If "qop" is used, the digest is:
    H(H(A1):nonce:nc:cnonce:qop:H(A2))-----其中cnonce是有自己产生的随机字符串(本文后面附录(1)生成随机字符串函数),其他字符串依据下面规则得出
  where H is the hash function such as MD5; A1 and A2 will be given later.
 If "qop" is not used, the digest is:
     H(H(A1):nonce:H(A2))
 If the "algorithm" chosen is "MD5" or is unspecified:
     A1 = Username:realm:password
 If the "algorithm" chosen is "MD5-sess", then A1 is calculated only once – 
on the first request by the client following receipt of a WWW-Authenticate challenge from the server.
It uses the server nonce from that challenge, and the first client nonce:
     A1 = Username:realm:password:nouce:cnonce
 If "qop" is "auth" , then
     A2 = Method:URL
 If "qop" is "auth-int" for message integrity, then
     A2 = Method:URL:H(entity-body)
显然本例中Response如下计算:
H(H(A1):nonce:nc:cnonce:qop:H(A2))
A1 = unq(username-value) ":" unq(realm-value) ":" passwd
A2 = Method ":" digest-uri-value
其中H是MD5算法。
 ****************************Request******************************
GET /Auth HTTP/1.1
Accept: */*
Host: 192.168.1.15
Authorization: Digest username="LiPing",realm="TestDigest",qop="auth",algorithm="MD5",uri="/Auth",nonce="1f4b9851-bc18-4dee-91ad-683b5adee7ae",nc=00000001,cnonce="L0RGJ52PLai068jYU55G036655qZF6D7",response="9471d8765dc5c88a78829b2e2e6eb7dd"
 步骤四、服务器返回OK,否则继续返回401来告诉客户端需要验证
 ****************************Response******************************
HTTP/1.1 200 OK
Connection: Keep-Alive
Date: Thu, 12 Sep 2013 00:52:40 GMT

 关于该验证过程实现的双向验证机制,是通过服务器或是客户端产生的随机字符串,然后经过MD5算法来实现的。该文最后服务器没有返回Authorization头域,这个也可以的,只是不够规范。

附录:

(1)

 
  1. //函数功能:生成随机字符串

  2. //函数参数:生成随机字符串的长度

  3. //返回值:成功返回随机字符串

  4. char *createRandomNum(int N)

  5. {

  6. int flag;

  7. int k=0,j=0;

  8. char *random_str = (char*)malloc(N+1);

  9. random_str[0] = '\0';

  10. //1970到现在的时间sec作为种子

  11. unsigned int seed = (unsigned)time(NULL);

  12. srand(seed);

  13. for(j=0;j<N;j++)

  14. {

  15. unsigned int random_num = rand();

  16. flag = random_num%3;

  17. if(flag == 0)

  18. {

  19. random_str[k++]='0'+random_num%10;

  20. }

  21. else if(flag == 1)

  22. {

  23. random_str[k++]='a'+random_num%26;

  24. }

  25. else if(flag == 2)

  26. {

  27. random_str[k++]='A'+random_num%26;

  28. }

  29. srand(random_num);

  30. }

  31. random_str[k]='\0';

  32. return random_str;

  33. }

附录2

 
  1. //函数功能:获取子串

  2. //函数参数:source目标字符串;start_str开始字符串;end_chr结束字符

  3. //返回值:成功返回该子串,失败返回NULL

  4. char* GetTargetStr(const char*source,char*start_str,char end_chr)

  5. {

  6. char *p_start = NULL;

  7. char *p_end = NULL;

  8. p_start = strstr(source,start_str);

  9. p_start += strlen(start_str);

  10. p_end = strchr(p_start,end_chr);

  11. char *ret = NULL;

  12. if(p_end != NULL)

  13. {

  14. ret = (char*)malloc(p_end - p_start +1);

  15. ret[p_end - p_start] = '\0';

  16. memcpy(ret,p_start,p_end - p_start);

  17. }

  18. return ret;

  19. }

  20. //函数功能:获取WWW_Authenticate认证信息

  21. //函数参数:self通信句柄;HttpRsp服务器响应数据包;HttpRspSize数据包的尺寸;head_len头长度;user登陆用户名;pwd用户密码

  22. //返回值:成功返回OK,失败

  23. //备注:该函数中nc的值,这里客户端不保存服务器发送的nonce,所以每次都是00000001

  24. char *GetClientWWW_Authenticate(const char*response,long responseSize,int head_len\

  25. ,const char*user,const char*pwd)

  26. {

  27. char *realm = GetTargetStr(response,"realm=\"",'\"');

  28. char *nonce = GetTargetStr(response,"nonce=\"",'\"');

  29. char *algorithm = GetTargetStr(response,"algorithm=",',');

  30. char *qop = GetTargetStr(response,"qop=\"",'\"');

  31. assert(realm && nonce && algorithm && qop);

  32. //FIXME

  33. char *nc = "00000001";

  34. char *cnonce = createRandomNum(32);//需要生成随机字符串

  35. char A1[100] = {0};

  36. sprintf(A1,"%s:%s:%s",user,realm,pwd);

  37. char *md5_A1 = MD5_sign((unsigned char*)A1,strlen(A1));

  38. char A2[80] = {0};

  39. sprintf(A2,"GET:/Auth");

  40. char *md5_A2 = MD5_sign((unsigned char*)A2,strlen(A2));

  41. char contact[512] = {0};

  42. sprintf(contact,"%s:%s:%s:%s:%s:%s",md5_A1,nonce,nc,cnonce,qop,md5_A2);

  43. FREE_MALLOC(md5_A1);

  44. FREE_MALLOC(md5_A2);

  45. char *rsp = MD5_sign((unsigned char*)contact,strlen(contact));

  46. char WWW_Authenticate[256] = {0};

  47. char*format = "Digest username=\"%s\",realm=\"%s\",qop=\"%s\",algorithm=\"%s\",uri=\"/Auth\",nonce=\"%s\",nc=%s,cnonce=\"%s\",response=\"%s\"";

  48. sprintf(WWW_Authenticate,format,user,realm,qop,algorithm,nonce,nc,cnonce,rsp);

  49. FREE_MALLOC(realm);

  50. FREE_MALLOC(qop);

  51. FREE_MALLOC(algorithm);

  52. FREE_MALLOC(nonce);

  53. FREE_MALLOC(cnonce);

  54. FREE_MALLOC(rsp);

  55. return strdup(WWW_Authenticate);

  56. }

版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。

本文链接:http digest认证过程分析及例子_希哈科技的博客-CSDN博客

 

这篇关于http digest认证过程分析及例子(这个给出了提取函数)的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/506923

相关文章

浅析Spring Security认证过程

类图 为了方便理解Spring Security认证流程,特意画了如下的类图,包含相关的核心认证类 概述 核心验证器 AuthenticationManager 该对象提供了认证方法的入口,接收一个Authentiaton对象作为参数; public interface AuthenticationManager {Authentication authenticate(Authenti

作业提交过程之HDFSMapReduce

作业提交全过程详解 (1)作业提交 第1步:Client调用job.waitForCompletion方法,向整个集群提交MapReduce作业。 第2步:Client向RM申请一个作业id。 第3步:RM给Client返回该job资源的提交路径和作业id。 第4步:Client提交jar包、切片信息和配置文件到指定的资源提交路径。 第5步:Client提交完资源后,向RM申请运行MrAp

性能分析之MySQL索引实战案例

文章目录 一、前言二、准备三、MySQL索引优化四、MySQL 索引知识回顾五、总结 一、前言 在上一讲性能工具之 JProfiler 简单登录案例分析实战中已经发现SQL没有建立索引问题,本文将一起从代码层去分析为什么没有建立索引? 开源ERP项目地址:https://gitee.com/jishenghua/JSH_ERP 二、准备 打开IDEA找到登录请求资源路径位置

hdu1171(母函数或多重背包)

题意:把物品分成两份,使得价值最接近 可以用背包,或者是母函数来解,母函数(1 + x^v+x^2v+.....+x^num*v)(1 + x^v+x^2v+.....+x^num*v)(1 + x^v+x^2v+.....+x^num*v) 其中指数为价值,每一项的数目为(该物品数+1)个 代码如下: #include<iostream>#include<algorithm>

【机器学习】高斯过程的基本概念和应用领域以及在python中的实例

引言 高斯过程(Gaussian Process,简称GP)是一种概率模型,用于描述一组随机变量的联合概率分布,其中任何一个有限维度的子集都具有高斯分布 文章目录 引言一、高斯过程1.1 基本定义1.1.1 随机过程1.1.2 高斯分布 1.2 高斯过程的特性1.2.1 联合高斯性1.2.2 均值函数1.2.3 协方差函数(或核函数) 1.3 核函数1.4 高斯过程回归(Gauss

BUUCTF靶场[web][极客大挑战 2019]Http、[HCTF 2018]admin

目录   [web][极客大挑战 2019]Http 考点:Referer协议、UA协议、X-Forwarded-For协议 [web][HCTF 2018]admin 考点:弱密码字典爆破 四种方法:   [web][极客大挑战 2019]Http 考点:Referer协议、UA协议、X-Forwarded-For协议 访问环境 老规矩,我们先查看源代码

SWAP作物生长模型安装教程、数据制备、敏感性分析、气候变化影响、R模型敏感性分析与贝叶斯优化、Fortran源代码分析、气候数据降尺度与变化影响分析

查看原文>>>全流程SWAP农业模型数据制备、敏感性分析及气候变化影响实践技术应用 SWAP模型是由荷兰瓦赫宁根大学开发的先进农作物模型,它综合考虑了土壤-水分-大气以及植被间的相互作用;是一种描述作物生长过程的一种机理性作物生长模型。它不但运用Richard方程,使其能够精确的模拟土壤中水分的运动,而且耦合了WOFOST作物模型使作物的生长描述更为科学。 本文让更多的科研人员和农业工作者

MOLE 2.5 分析分子通道和孔隙

软件介绍 生物大分子通道和孔隙在生物学中发挥着重要作用,例如在分子识别和酶底物特异性方面。 我们介绍了一种名为 MOLE 2.5 的高级软件工具,该工具旨在分析分子通道和孔隙。 与其他可用软件工具的基准测试表明,MOLE 2.5 相比更快、更强大、功能更丰富。作为一项新功能,MOLE 2.5 可以估算已识别通道的物理化学性质。 软件下载 https://pan.quark.cn/s/57

衡石分析平台使用手册-单机安装及启动

单机安装及启动​ 本文讲述如何在单机环境下进行 HENGSHI SENSE 安装的操作过程。 在安装前请确认网络环境,如果是隔离环境,无法连接互联网时,请先按照 离线环境安装依赖的指导进行依赖包的安装,然后按照本文的指导继续操作。如果网络环境可以连接互联网,请直接按照本文的指导进行安装。 准备工作​ 请参考安装环境文档准备安装环境。 配置用户与安装目录。 在操作前请检查您是否有 sud

C++操作符重载实例(独立函数)

C++操作符重载实例,我们把坐标值CVector的加法进行重载,计算c3=c1+c2时,也就是计算x3=x1+x2,y3=y1+y2,今天我们以独立函数的方式重载操作符+(加号),以下是C++代码: c1802.cpp源代码: D:\YcjWork\CppTour>vim c1802.cpp #include <iostream>using namespace std;/*** 以独立函数