TIdHTTPServer i windows auth

Uradi test, na jednom od klijenata gde radi taj ASP program, obrisi browser history za taj sajt, cookies, local storage, ponovo se ulogoj i snimi sta je ovaj poslao.
Onda iz tvog klijenta posalji isti sadrzaj i vidi sta se desava.

Potpis

Do not be a help vampire (http://slash7.com/pages/vampires), use the google.

How to ask questions the smart way:
http://www.catb.org/~esr/faqs/smart-questions.html
http://solair.eunet.rs/~fangor...stions/smart-questions.sr.html

@tkaranovic
To nije tajna, imam indy http server za neku moju web aplikaciju (koristim trenutno username/passw za login) a asp.net aplikacija koja vidim da radi to sto bih zeleo je neka sasvim druga prica u istoj mrezi. Radi nesto sasvim drugo na drugom serveru, ali u istoj domain grupi


@savkic
Mislim da se nismo razumeli, ja ne pravim klijenta nego server. Klijenti ce biti razni browseri. Ta ASP.NET aplikacija mi je posluzila iskljucivo kao dokaz da to sto zelim moze da se izvede na neki nacin.

To možeš da iskoristiš kao privremeno bolje rešenje od trenutnog, ali ne bih rekao da je bezbednije da propustaš ljude samo što neko prilazi serveru sa istog računara.
Kad ti se korisnik prvi put konektuje očitaj mu IP adresu i daj mu trajnu dozvolu za tu adresu, tako da može da se loguje uvek bez šifre sve dok ne promeni adresu. Znajući naše korisnike to se dešava jednom u 2 godine ili dok ne nestane struje.
A za ovo nebih znao. Liči mi na ovo kao što forum provaljuje koji je operativni sistem u pitanju ili nešto slično. Moguće je da server brosweru šalje neki js kod koji po kome on očitava podatke na računaru pa vraća serveru, ako je to protokolarno dozvoljeno zbog bezbednosni sistema.

Pa vidi sta ona salje, sto je posebno bitno ako nema kookija ili bilo cega drugog, npr aplikacija prvi put pristupa serveru.

U svakom slucaju ti na serveru i na osnovu IP adrese klijenta odnosno naziva tog racuna mozes videti username:

query user /server:IPKlijenta

Potpis

Do not be a help vampire (http://slash7.com/pages/vampires), use the google.

How to ask questions the smart way:
http://www.catb.org/~esr/faqs/smart-questions.html
http://solair.eunet.rs/~fangor...stions/smart-questions.sr.html

Moze izgleda i:
wmic /node:IPAdresa COMPUTERSYSTEM GET USERNAME

Potpis

Do not be a help vampire (http://slash7.com/pages/vampires), use the google.

How to ask questions the smart way:
http://www.catb.org/~esr/faqs/smart-questions.html
http://solair.eunet.rs/~fangor...stions/smart-questions.sr.html

@Milan Milosevic
Ne dajem dozvolu na osnovu racunara nego na osnovu korisnika koji se ulogovao na racunar


@savkic
TO!

query user /server:IPKlijenta

Vrati mi logovanog korisnika. Samo sto nisam siguran da li vrati bas trenutno logovanog jer mi za neke racunare vrati po 2 usera, a mislim da nam je to onemoguceno. Imam sad od cega da krenem dalje.

Hvala!


p.s.
Ako neko nadje neko elegantno delphi resenje neka napise :) Ako nema, mogu startovati dos komandu iz delphi-a i parsirati rezultat (create pipe, create process...) ali bilo bi lepse ako ima nesto za "query" komandu. "wmic" nam je "access denied"

Ja ti svakako ne bih preporucio tako nesto, nije bezbedno gledati samo ip adresu.

query user koristi neki Windows API, ali nemam pojma kako saznati koji.

Potpis

Do not be a help vampire (http://slash7.com/pages/vampires), use the google.

How to ask questions the smart way:
http://www.catb.org/~esr/faqs/smart-questions.html
http://solair.eunet.rs/~fangor...stions/smart-questions.sr.html

Sa iskustvom bekend programera... ovo je suplje k'o svajcarski sir ako ces to da koristis za auth :D

Potpis

THE ONLY EASY DAY WAS YESTERDAY

Zbog čega? Korisnici nemaju pravo fiksiranja ip adrese da bi mogli nekome da ukradu, sve mora preko DHCP. Aplikacija nije vidljiva s interneta, samo u lokalu.
Ako korisniku tražim da se jednom uloguje sa windows umesto aplikativnim userom, pa mi drugi put dolazi sa istim tokenom sa istim windows username-om, šta može da se desi? Ne mogu baš za mašinu da se vežem jer je kod nas normalno da isti comp koristi više korisnika, svako sa svojim nalogom.

OK, ako i nije bezbedno, ostaje pitanje kako to radi ASP na bezbedan način?

Nisi bio pre pisao da je u lokalu!

Ta WEB aplikacija koja radi je isto ulokalu ili moze preko interneta danse vidi?

Isključivo lokal.


Našao sam ovo, možda je to rešenje. Nisam ranije koristio...

Nema mi ni smisla da radi preko interneta, mora comp da bude nakačen na domen.

Nema potrebe za Internetom samo sam pitao.

POgledaj:

net user

odnosno:

https://docs.microsoft.com/en-...access/nf-lmaccess-netuserenum

Izgleda da je NTLM, i da mi je promaklo nešto u headeru koji se šalje ka ASP aplikaciji koja radi.

Ovde se vidi jednostavno kako ide protokol.

Na OnCommandGet, ako browser nije prosledio ništa za auth, ja mu vratim 401:



i on sam odmah pravi drugi get request gde mi šalje u headeru "Authorization: NTLM TlRMTVNTUAABAAAAB7IIog........". Delphi mi tad uđe u OnParseAuthentication pre nego što uđe u OnCommandGet i dalje ide komunikacija kako već ide, tako kako je opisano u linku.

Ostaje mi onda onaj deo sa proverom na domenu ali sad bar znam kako funkcioniše, pa kad bude vremena... rešiću jednom :)

Lepo da si ipak napisao zasto NTLM da i mi imamo ovde povratnu informaciju :)