http头文件分析心得体会（推荐五篇）.docx

http头文件分析心得体会（推荐五篇）

第一篇：http头文件分析心得体会http头文件分析心得体会一、http简介HTTP即超文本传输协议(Hypertexttransferprotocol)。是一种详细规定了浏览器和万维网(“，结果称为HA2。3、对HA1、服务器密码随机数(nonce)、请求计数(nc)、客户端密码随机数(cnonce)、保护质量(qop)以及HA2的合并值计算MD5哈希值。结果即为客户端提供的response值。因为服务器拥有与客户端同样的信息，因此服务器可以进行同样的计算，以验证客户端提交的response值的正确性。在上面给出的例子中，结果是如下计算的。（MD5()表示用于计算MD5哈希值的函数；“”表示接下一行；引号并不参与计算）HA1=MD5(”Mufasa:[e-mail]:CircleOfLife“)=939e7578ed9e3c518a452acee763bce9HA2=MD5(”GET:/dir/index.html“)=39aff3a2bab6126f332b942af96d3366Response=MD5(”939e7578ed9e3c518a452acee763bce9:dcd98b7102dd2f0e8b11d0f600bfb0c093:00000001:0a4f113b:auth:39aff3a2bab6126f332b942af96d3366“)=6629fae49393a05397450978507c4ef1此时客户端可以提交一个新的请求，重复使用服务器密码随机数(nonce)（服务器仅在每次“401”响应后发行新的nonce），但是提供新的客户端密码随机数(cnonce)。在后续的请求中，十六进制请求计数器(nc)必须比前一次使用的时候要大，否则攻击者可以简单的使用同样的认证信息重放老的请求。由服务器来确保在每个发出的密码随机数nonce时，计数器是在增加的，并拒绝掉任何错误的请求。显然，改变HTTP方法和/或计数器数值都会导致不同的response值。服务器应当记住最近所生成的服务器密码随机数nonce的值。也可以在发行每一个密码随机数nonce后，记住过一段时间让它们过期。如果客户端使用了一个过期的值，服务器应该响应“401”状态号，并且在认证头中添加stale=TRUE，表明客户端应当使用新提供的服务器密码随机数nonce重发请求，而不必提示用户其它用户名和口令。服务器不需要保存任何过期的密码随机数，它可以简单的认为所有不认识的数值都是过期的。服务器也可以只允许每一个服务器密码随机数nonce使用一次，当然，这样就会迫使客户端在发送每个请求的时候重复认证过程。需要注意的是，在生成后立刻过期服务器密码随机数nonce是不行的，因为客户端将没有任何机会来使用这个nonce。语法：challenge=”Digest“digest-challengedigest-challenge=1#(realm|[domain]|nonce|[opaque]|[stale]|[algorithm]|[qop-options]|[auth-param])domain=”domain“”=“URI(1*SPURI)URI=absoluteURI|abs_pathnonce=”nonce“”=“nonce-valuenonce-value=quoted-stringopaque=”opaque“”=“quoted-stringstale=”stale“”=“(”true“|”false“)algorithm=”algorithm“”=“(”MD5“|”MD5-sess“|token)qop-options=”qop“”=“1#qop-valueqop-value=”auth“|”auth-int“|tokenrealm：让客户知道使用哪个用户名和密码的字符串。不同的领域可能密码不一样。至少告诉用户是什么主机做认证，他可能会提示用哪个用户名登录，类似一个Email。domain：一个URI列表，指示要保护的域。可能是一个列表。提示用户这些URI采用一样的认证。如果为空或忽略则为整个服务器。nonce：随机字符串，每次401都不一样。跟算法有关。算法类似Base64加密：time-stampH(time-stamp”:“ETag”:“private-key)。time-stamp为服务器时钟，ETag为请求的Etag头。private-key为服务器知道的一个值。opaque：服务器产生的由客户下去请求时原样返回。最好是Base64串或十六进制字符串。auth-param：为扩展用的，现阶段忽略。其他域请参考RFC2617。授权头语法：credentials=”Digest