Question

我在我的网络应用程序中使用以下过滤器来启用NTLM身份验证。

我收到了Windows浏览器身份验证提示。它工作正常。除了以下事实 - 我无法判断身份验证是成功还是失败!!! * 两种情况都没有错误。 *在每种情况下用户名（正确或否则），打印工作站等。

package com.test;
import java.io.IOException;
import java.io.PrintStream;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import jcifs.ntlmssp.Type3Message;
import com.sun.xml.internal.ws.util.StringUtils;
import sun.misc.BASE64Decoder;
import sun.misc.BASE64Encoder;
public class NTLMUserFilter implements Filter {
    private FilterConfig filterConfig = null;
    private String userDomain = null;
    public void init(FilterConfig filterConfig) throws ServletException {
        this.filterConfig = filterConfig;
    }
    public void doFilter(ServletRequest req, ServletResponse res,
            FilterChain chain) {
        HttpServletRequest request = (HttpServletRequest) req;
        HttpServletResponse response = (HttpServletResponse) res;

        String username = null;
        //first, get the user agent
        String useragent = request.getHeader("user-agent");
        //if you're using IE, you can continue
        if ((useragent.indexOf("MSIE") > -1)){
            //Always do the ntlm check (for IE POST back)
            try{
                String auth = request.getHeader("Authorization");
                if (auth == null)
                {
                  response.setHeader("WWW-Authenticate", "NTLM");
                  response.setStatus(response.SC_UNAUTHORIZED);
                  response.setContentLength(0) ;
                  response.flushBuffer();
                  return;
                }
                if (auth.startsWith("NTLM "))
                {
                  byte[] msg = new sun.misc.BASE64Decoder().decodeBuffer(auth.substring(5));
                  int off = 0, length, offset;
                  if (msg[8] == 1)
                  {
                    byte z = 0;
                    byte[] msg1 = {(byte)'N', (byte)'T', (byte)'L', (byte)'M', (byte)'S', (byte)'S', (byte)'P', z,(byte)2, z, z, z, z, z, z, z,(byte)40, z, z, z, (byte)1, (byte)130, z, z,z, (byte)2, (byte)2, (byte)2, z, z, z, z, z, z, z, z, z, z, z, z};
                    response.setHeader("WWW-Authenticate", "NTLM " + new sun.misc.BASE64Encoder().encodeBuffer(msg1));
                    response.setStatus(response.SC_UNAUTHORIZED);
                    response.setContentLength(0) ;
                    response.flushBuffer();
                    return;
                  }
                  else if (msg[8] == 3)
                  {
                      //Did Authentication Succeed? All this is always printed.

                      Type3Message type3 = new Type3Message(msg);

                      System.out.println("osUser: " + type3.getUser());
                      System.out.println("osRemoteHost: + " + type3.getWorkstation());
                      System.out.println("osDomain: " + type3.getDomain());

                  }
                }
            }catch(Exception e){
                System.out.println(e) ;
            }
            //System.out.println("Suc);


            }

        try {
            chain.doFilter(req, res);
        } catch (IOException e) {
            System.out.println(e);
        } catch (ServletException e) {
            System.out.println(e);
        }
    }
public void destroy()
   {
     this.filterConfig = null;
   }
}

web.xml很简单：

<filter>
    <filter-name>ntlmFilter</filter-name>
    <filter-class>
        com.test.NTLMUserFilter
    </filter-class>
</filter>

<!-- Filter mapping configuration   -->

<filter-mapping>
    <filter-name>ntlmFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

Answer 1

正如Edward所说，只是从类型3（响应）NTLM消息中提取名称并没有说明生成它的客户是否有权这样做。

NTLM与Kerberos不同，其中有一个签名令牌，服务可以自行验证;你必须每次都与域控制器建立连接，询问它是否合法。实现MSRPC连接以检查NTLM令牌真的很难。

在过去，您可以使用jcifs.smb.SmbSession在JCIFS中执行此操作，而jcifs.http.NtlmHttpFilter可以为您执行此操作。但是，这仅适用于NTLMv1，这是旧的，不安全的，并且越来越不可能用于任何事情。（我相信上面链接的'ntlm-java'也只是NTLMv1。）

尝试ntlmv2auth项目。

NTLM-over-HTTP足以令人痛苦，通常最好使用任何其他可用的身份验证方法。

Answer 2

您收到了Type 3消息，但除了打印详细信息外，您没有对其进行任何操作。您需要在此时验证客户的响应，并发送200（如果授权）或401（如果没有。）

但是，您传递的Type 1消息由静态字节组成，并且 - 虽然它会诱使客户端发回响应 - 但大多数都是无意义的。自己实现完整的NTLM身份验证堆栈并非不可能，但您拥有的代码将无法正常工作。

您可以调查NTLM Solution for Java，或者（假设您在Windows上）可以使用JNI调用必要的身份验证功能，例如AcceptSecurityContext。

Web应用程序中的NTLM身份验证（java）

2 个答案: