0

Как организовать NTLM авторизацию в домене через PHP, при этом не спрашивая у пользователя его данные.

8
  • Абсолютно с вами не согласен, это умеет делать ASP.NET на IIS, также это умеет делать Sharepoint. С этим точно работают браузеры IE и FF, возможно работает Opera. На похожем принципе работают шлюзы во многих корпоративных сетях (хотя возможно на несколько отличающемся способе). Более того технология точнее называется NTLM over HTTP. Я бы не спрашивал не зная что это возможно в принципе. Единственное что мне пока не удалось находится в моем вопросе. 28 янв 2011 в 11:44
  • 2
    Хм, да, был не прав… Копнул сейчас поглубже в Майкрософтовские описания. Сейчас практически все браузеры поддерживают эту фишку. Только тут ситуация вот какая: авторизация-то происходит на уровне протокола HTTP, стало быть, ею занимается веб-сервер, а не Ваш PHP-скрипт. Так что это, видимо, вопрос по настройка веб-сервера.
    – kirelagin
    28 янв 2011 в 12:08
  • Не согласен. В ASP.NET можно реализовать авторизацию своими руками т.е. в поверх веб-сервера. Кроме того авторизация через куки, например, тоже задействует протокол HTTP, но обычно же не веб-сервер лезет в базу за проверкой а PHP скрипт. 28 янв 2011 в 13:22
  • Скорее всего, это связано с тем, что IIS делегирует проверку подлинности выбранному скрипту. Если Вы это будете использовать только с IIS, то проблем никаких не будет. Но если попытаться эту же штуку развернуть под Апачем, можно нарваться на неприятности.
    – kirelagin
    28 янв 2011 в 13:54
  • 1
    Там вообще нет ответа :). Это тот же автор вопроса просто приводит ссылки на соответствующие модули от Апача, чтобы, если кто-то возьмётся за разработку, им было проще.
    – kirelagin
    28 янв 2011 в 14:28

2 ответа 2

0

nginx не поддерживает авторизацию в AD. Вот есть фичреквест, но он, вроде как, заглох…

Соответственно, Вам надо делегировать авторизацию своему скрипту. Вот здесь учат, как это сделать. Остаётся только подключиться из пхп-скрипта к серверу AD, например, так или любой ldap-библиотечкой.

3
  • Не нашел как делегировать авторизацию скрипту. 28 янв 2011 в 15:26
  • Ох, только, боюсь, тут Вы опять упрётесь в невозможность авторизовать человека, теперь уже на уровне пхп… Поскольку Вам же надо будет этим php-скриптом произвести http-авторизацию (чтобы браузер догадался отправить AD-credentials). А эту http-авторизацию опять должен произвести веб-сервер! В таком случае Вас спасёт только поднятие отдельного веб-сервера (например, Апача) специально для проведения этой авторизации.
    – kirelagin
    28 янв 2011 в 15:37
0

А есть вот так? О_о

$headers = apache_request_headers();     // получаем все заголовки клиента
if (!isset($headers['Authorization'])) { // если заголовка авторизации нет
  header('HTTP/1.1 401 Unauthorized');   // требуем от клиента авторизации
  header('WWW-Authenticate: NTLM');      // тип требуемой авторизации - NTLM
  exit;                                  // завершаем выполнение скрипта
}
// заголовок авторизации от клиента пришёл
if (substr($headers['Authorization'],0,5) == 'NTLM ') { // проверяем, что это NTLM-аутентификация

  $chain = base64_decode(substr($headers['Authorization'],5)); // получаем декодированное значение
  switch (ord($chain{8})) { // смотрим номер этапа процесса идентификации
    case 3: // этап 5 - приём сообщения type-3
      foreach (array('LM_resp','NT_resp','domain','user','host') as $k=>$v) {
        extract(unpack('vlength/voffset',substr($chain,$k*8+14,4)));
        $val = substr($chain,$offset,$length);
        echo "$v: ".($k<2 ? hex_dump($val) : iconv('UTF-16LE','CP1251',$val))."<br>\r\n";
      }
      exit;
    case 1: // этап 3 (тут было == 0xB2, я исправил на 130). 178 -> B2 или 130 -> 82
        // 0x82 возвращают мозилла и опера при обычном вводе руками, а 0xB2 возвращает IE при параметре "исользовать текущие логин и пароль"
      if (ord($chain{13}) == 0x82||ord($chain{13}) == 0xB2) { // проверяем признак NTLM 0x82 по смещению 13 в сообщении type-1:
        $chain = "NTLMSSP\x00".// протокол
                 "\x02" /* номер этапа */ ."\x00\x00\x00\x00\x00\x00\x00".
                 "\x28\x00" /* общая длина сообщения */ ."\x00\x00".
                 "\x01\x82" /* признак */ ."\x00\x00".
                 "\x00\x02\x02\x02\x00\x00\x00\x00". // nonce
                 "\x00\x00\x00\x00\x00\x00\x00\x00";
        header('HTTP/1.1 401 Unauthorized');
        header('WWW-Authenticate: NTLM '.base64_encode($chain)); // отправляем сообщение type-2
        exit;
      }
  }
}

function hex_dump($str){ // вспомогательная функция, возвращает шестнадцатеричный дамп строки
  return substr(preg_replace('#.#se','sprintf("%02x ",ord("$0"))',$str),0,-1);
}
?>

Ваш интернет-обозреватель или используемый прокси-сервер несовместим с NTLM, используйте IE... Спасибо

3
  • если честно там порой забавно, например пока отлаживал этот скрипт на какой то фазе мелькало даже имя моей рабочей группы workgroup в выводе на экран, но в итоге (домена то у меня нету) дает пустую строку, далее имя и имя компьютера как положено 27 апр 2012 в 23:57
  • фурс антон спасибо. php код рабочий, спас много моего времени. Главное оно корректно работает с русскими фамилия из домена 25 мая 2015 в 9:15
  • фурс антон спасибо. Представленный код реально помог.
    – sahaline
    7 апр 2016 в 12:18

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.