Früher ging das mal mit hxxp://user:password@domino.domain.de, aber da hat MS mit Patches einen Riegel vorgeschoben.
Am saubersten ist es nun mit einem Post- Request: Man baut sich quasi die login- maske "in memory" und schickt die per post- request (z.B. mittels XMLHTTPRequest, Stichwort Ajax) an den Server.
Es besteht ausserdem immer die Möglichkeit, eine spezielle Login- Maske aufzurufen, die die Felder "username" und "Password" aus dem url- request ausliest und ausserdem den parameter "RedirectTo", und automatisch ein Submit durchführt direkt nach dem Aufruf...
Das ist aber insofern unschön, dass Du dann Benutzer und Kennwort nicht nur im Klartext im HTTP- Traffic hast, sondern auch in der URL- Historie für jeden mitlesbar...