Mise à jour octobre 2016

Il y a 4 ans, comme cette réponse est utilisée comme référence par beaucoup, et bien que j’ai beaucoup appris du sharepoint vue de la sécurité au cours de ces années, j’ai le sentiment de devoir clarifier certaines notes importantes.

La réponse d’origine est correcte mais non sûre pour certains environnements de production. En outre, j’aimerais expliquer certains problèmes que vous pourriez rencontrer lors de la configuration de votre environnement.

Si vous cherchez une solution rapide et que SECURITY IS NOT A MATTER, c’est-à-dire développement env, sautez et lisez la réponse originale à la place

De nombreux scénarios peuvent conduire à 403 Interdit :

---

A. Index de répertoire (à partir de mod_autoindex.c )

Lorsque vous accédez à un répertoire et qu’aucun fichier par défaut ne se trouve dans ce répertoire ET que les Options Indexes Apache n’est pas activé pour ce répertoire.

A.1. Exemple d’option DirectoryIndex

DirectoryIndex index.html default.php welcome.php

A.2. Options Indexes options

Si elle est définie, apache affichera le contenu du répertoire si aucun fichier par défaut n’a été trouvé (option above ci-dessus)

Si aucune des conditions ci-dessus n’est remplie

Vous recevrez un 403 Interdit

Recommandations

• Vous ne devez pas autoriser la liste de répertoires à moins que cela ne soit vraiment nécessaire.
• Restreignez l’index par défaut DirectoryIndex au minimum.
• Si vous souhaitez modifier, restreignez la modification au répertoire requirejs UNIQUEMENT, par exemple, utilisez des fichiers .htaccess ou placez votre modification dans la directive

---

B. deny,allow directives (Apache 2.2)

Mentionné par @Radu, @Simon A. Eugster dans les commentaires que vous demandez est refusé, sur liste noire ou en liste blanche par ces directives.

Je ne posterai pas une explication complète, mais je pense que certains exemples peuvent vous aider à comprendre, bref rappelez-vous cette règle:

SI ADAPTÉ PAR LES DEUX, LE DERNIER SERA GAGNER

Order allow,deny

Refuser gagnera s’il est associé aux deux directives (même si une directive allow est écrite après le deny dans la conf)

Order deny,allow

autoriser va gagner si elle est jumelée par les deux directives

Exemple 1

 Order allow,deny Allow from localhost mydomain.com 

Seul localhost et * .mydomain.com peuvent y accéder, tous les autres hôtes sont refusés

Exemple 2

 Order allow,deny Deny from evil.com Allow from safe.evil.com # <-- has no effect since this will be evaluated first 

Toutes les demandes sont refusées, la dernière ligne peut vous tromper, mais rappelez-vous que si elle correspond à la dernière règle gagnante (ici le refus est la dernière), même chose que la même:

 Order allow,deny Allow from safe.evil.com Deny from evil.com # <-- will override the previous one 

Exemple 4

 Order deny,allow Allow from site.com Deny from untrusted.site.com # <-- has no effect since this will be matched by the above `Allow` directive 

Les demandes sont acceptées de tous les hôtes

Exemple 4: typique pour les sites publics (autoriser sauf sur liste noire)

 Order allow,deny Allow from all Deny from hacker1.com Deny from hacker2.com 

Exemple 5: typique pour les sites intranet et sécurisés (refuser sauf liste blanche)

 Order deny,allow Deny from all Allow from mypc.localdomain Allow from managment.localdomain 

---

C. Directive Require (Apache 2.4)

Apache 2.4 utilise un nouveau module appelé mod_authz_host

Require all granted => Autoriser toutes les demandes

Require all denied => Refuser toutes les demandes

Require host safe.com => Seulement de safe.com sont autorisés

---

D. Autorisations de fichiers

Une chose que la plupart des gens font mal est la configuration des permissions de fichiers,

La règle d'or est

COMMENCE SANS AUTORISATION ET AJOUTE COMME TON BESOIN

Dans linux:

• Les répertoires doivent avoir l'autorisation Execute

• Les fichiers doivent avoir l'autorisation de Read

• OUI, vous avez raison NE PAS AJOUTER Execute autorisation pour les fichiers

par exemple, j'utilise ce script pour configurer les permissions de dossiers

 # setting permissions for /var/www/mysite.com # read permission ONLY for the owner chmod -R /var/www/mysite.com 400 # add execute for folders only find /var/www/mysite.com -type d -exec chmod -R u+x {} \; # allow file uploads chmod -R /var/www/mysite.com/public/uploads u+w # allow log writing to this folder chmod -R /var/www/mysite.com/logs/ 

J'ai posté ce code à titre d'exemple, la configuration peut varier dans d'autres situations

---

---

Réponse originale

J'ai rencontré le même problème, mais je l'ai résolu en définissant la directive options dans le paramètre global directory du fichier httpd.conf ou dans le bloc de répertoire spécifique de httpd-vhosts.conf :

 Options Indexes FollowSymLinks Includes ExecCGI 

Par défaut, vos parameters de répertoire global sont (httpd.conf line ~188) :

  Options FollowSymLinks AllowOverride All Order deny,allow Allow from all  

définir les options à: Options Indexes FollowSymLinks Includes ExecCGI

Enfin, cela devrait ressembler à:

  #Options FollowSymLinks Options Indexes FollowSymLinks Includes ExecCGI AllowOverride All Order deny,allow Allow from all  

Essayez également de modifier Order deny,allow Allow from all et Allow from all lignes par Require all granted .

annexe

Code source des index de répertoire (suppression du code pour des raisons de concision)

 if (allow_opts & OPT_INDEXES) { return index_directory(r, d); } else { const char *index_names = apr_table_get(r->notes, "dir-index-names"); ap_log_rerror(APLOG_MARK, APLOG_ERR, 0, r, APLOGNO(01276) "Cannot serve directory %s: No matching DirectoryIndex (%s) found, and " "server-generated directory index forbidden by " "Options directive", r->filename, index_names ? index_names : "none"); return HTTP_FORBIDDEN; } 

Je comprends que ce problème est résolu, mais il m’est arrivé de résoudre le même problème par moi-même.

La cause de

Interdit Vous n’avez pas la permission d’accéder / sur ce serveur

est en fait la configuration par défaut d’un répertoire apache dans httpd.conf .

 # # Each directory to which Apache has access can be configured with respect # to which services and features are allowed and/or disabled in that # directory (and its subdirectories). # # First, we configure the "default" to be a very ressortingctive set of # features. #  Options FollowSymLinks AllowOverride None Order deny,allow Deny from all # the cause of permission denied  

Changer simplement Deny from all pour Allow from all devrait résoudre le problème de permission.

Sinon, une meilleure approche consisterait à spécifier des permissions de répertoire individuelles sur la configuration de virtualhost.

  .... # Set access permission  Allow from all  ....  

À partir d’ Apache-2.4 , cependant, le contrôle d’access est effectué à l’aide du nouveau module mod_authz_host ( mise à niveau vers la version 2.4 à partir de la version 2.2 ). Par conséquent, la nouvelle directive Require doit être utilisée.

  .... # Set access permission  Require all granted  ....  

Un piège courant pour les répertoires hébergés en dehors de / var / www / est que l’utilisateur Apache n’a pas seulement besoin d’permissions pour le répertoire et les sous-répertoires où le site est hébergé. Apache requirejs des permissions sur tous les répertoires jusqu’à la racine du système de fichiers où le site est hébergé. Apache obtient automatiquement les permissions assignées à / var / www / quand il est installé, donc si votre répertoire hôte est directement en dessous, cela ne vous concerne pas. Edit: Daybreaker a signalé que son Apache était installé sans les permissions d’access correctes au répertoire par défaut.

Par exemple, vous avez une machine de développement et le répertoire de votre site est:

 /username/home/Dropbox/myamazingsite/ 

Vous pensez peut-être que vous pouvez vous en sortir avec:

 chgrp -R www-data /username/home/Dropbox/myamazingsite/ chmod -R 2750 /username/home/Dropbox/myamazingsite/ 

car cela donne les permissions Apache pour accéder au répertoire de votre site? Eh bien c’est correct mais ce n’est pas suffisant. Apache requirejs des permissions tout au long de l’arborescence des répertoires. Il vous faut donc:

 chgrp -R www-data /username/ chmod -R 2750 /username/ 

Evidemment, je ne recommanderais pas de donner access à Apache sur un serveur de production à une structure de répertoires complète sans parsingr les éléments de cette structure de répertoires. Pour la production, il est préférable de conserver le répertoire par défaut ou une autre structure de répertoire qui ne contient que des éléments Web.

Edit2: comme u / chimeraha l’a souligné, si vous n’êtes pas sûr de ce que vous faites avec les permissions, il serait préférable de déplacer le répertoire de votre site hors de votre répertoire personnel pour éviter de vous enfermer dans votre répertoire personnel.

Certains parameters de configuration ont été modifiés dans Apache 2.4. J’ai eu un problème similaire lors de la configuration d’une application Zend Framework 2 . Après quelques recherches, voici la solution:

Configuration incorrecte

  ServerName zf2-tutorial.localhost DocumentRoot /path/to/zf2-tutorial/public SetEnv APPLICATION_ENV "development"  DirectoryIndex index.php AllowOverride All Order allow,deny #<-- 2.2 config Allow from all #<-- 2.2 config   

Configuration correcte

  ServerName zf2-tutorial.localhost DocumentRoot /path/to/zf2-tutorial/public SetEnv APPLICATION_ENV "development"  DirectoryIndex index.php AllowOverride All Require all granted #<-- 2.4 New configuration   

Si vous envisagez de migrer d’Apache 2.2 vers la version 2.4, voici une bonne référence: http://httpd.apache.org/docs/2.4/upgrading.html

Avec Apache 2.2

 Order Deny,Allow Allow from all 

Avec Apache 2.4

 Require all granted 

De http://httpd.apache.org/docs/2.4/en/upgrading.html

Sur Ubuntu 14.04 utilisant Apache 2.4 , j’ai fait ce qui suit:

Ajoutez ce qui suit dans le fichier, apache2.conf (sous /etc/apache2 ):

  Options Indexes FollowSymLinks AllowOverride None Require all granted  

et rechargez le serveur:

 sudo service apache2 reload 

Edit: Cela fonctionne également sur OS X Yosemite avec Apache 2.4. La ligne essentielle est

Exiger tout accordé

Si vous utilisez un serveur WAMP, essayez ceci:

• Simple clic sur l’icône du serveur WAMP dans la barre des tâches

• Sélectionnez l’option mise en ligne

• Votre serveur redémarrera automatiquement

• Ensuite, essayez d’accéder à votre site local

J’ai résolu mon problème en ajoutant mon utilisateur à httpd.conf .

 # User/Group: The name (or #number) of the user/group to run httpd as. # It is usually good practice to create a dedicated user and group for # running httpd, as with most system services. # #User daemon User my_username Group daemon 

Cet article La création d’hôtes virtuels sur Apache 2.2 m’aide (point 9) à accéder au répertoire des hôtes virtuels supérieurs.

J’ajoute simplement ces lignes à mon fichier vhosts.conf:

  Order Deny,Allow Allow from all  

Si vous utilisez CentOS avec SELinux, essayez:

 sudo restorecon -r /var/www/html 

Voir plus: https://www.centos.org/forums/viewtopic.php?t=6834#p31548

J’avais la même erreur et je n’arrivais pas à comprendre le problème depuis longtemps. Si vous vous trouvez sur une dissortingbution Linux incluant SELinux, telle que CentOS , vous devez vous assurer que les permissions SELinux sont définies correctement pour les fichiers racine de votre document ou que vous obtenez cette erreur. Il s’agit d’un ensemble d’permissions complètement différent des permissions de système de fichiers standard.

J’ai utilisé le tutoriel Apache et SELinux , mais il semble y avoir beaucoup de choses une fois que vous savez quoi chercher.

Si vous utilisez MAMP Pro, corrigez le problème en cochant la case Indexes sous l’onglet Hosts – Extended .

Dans MAMP Pro v3.0.3, voici à quoi cela ressemble:

Il y a une autre façon de résoudre ce problème. Disons que vous voulez accéder au répertoire “subphp” qui existe dans /var/www/html/subphp , et que vous voulez y accéder en utilisant 127.0.0.1/subphp et vous recevez une erreur comme celle-ci:

Vous n’êtes pas autorisé à accéder à / subphp / sur ce serveur.

Modifiez ensuite les permissions de répertoire de «Aucun» à «fichiers d’access». Un utilisateur de ligne de commande peut utiliser la commande chmod pour modifier l’autorisation.

J’utilise Mac OS X, dans mon cas, j’oublie juste d’activer PHP dans Apache, tout ce que j’ai à faire est de décommenter une ligne de /etc/apache2/httpd.conf :

 LoadModule php5_module libexec/apache2/libphp5.so 

référez-vous à cet article pour plus de détails.

(Sous Windows et Apache 2.2.x)

L’erreur “Interdit” est également le résultat de ne pas avoir défini d’hôtes virtuels.

Comme noté par Julien, si vous avez l’intention d’utiliser virtual hosts.conf , allez dans le fichier httpd et décommentez la ligne suivante:

 #Include conf/extra/httpd-vhosts.conf 

Ajoutez ensuite vos définitions d’hôtes virtuels dans conf/extra/httpd-vhosts.conf et redémarrez Apache.

J’ai eu le même problème, mais en raison du fait que j’ai changé le chemin sur apache en un dossier en dehors de var / www, j’ai commencé à rencontrer des problèmes.

Je l’ai corrigé en créant un lien symbolique dans var / www / html> home / dev / project qui semblait faire l’affaire, sans avoir à modifier les permissions …

Je me suis heurté à ce problème, et ma solution était plutôt que www-data ne possédait pas les dossiers appropriés, et au lieu de cela je l’ai configuré pour que l’un des utilisateurs le possède. (J’essayais de faire un peu de fantaisie, mais des tromperies erronées pour que le ftp joue bien.)

Après avoir exécuté:

 chown -R www-data:www-data /var/www/html 

La machine a recommencé à servir des données. Vous pouvez voir qui possède actuellement le dossier au moyen de

 ls -l /var/www/html 

Cette solution ne permet pas de tous

Je veux juste changer mon répertoire public www, et y accéder depuis mon PC, et mobile connecté par Wifi. J’ai Ubuntu 16.04.

1. Donc, tout d’abord, j’ai modifié /etc/apache2/sites-enabled/000-default.conf et j’ai modifié la ligne DocumentRoot / var / www / html pour mon nouveau répertoire public DocumentRoot “/ media / data / XAMPP / htdocs”

2. Puis j’ai modifié /etc/apache2/apache2.conf, et j’ai mis les permissions pour localhost, et mon portable, cette fois j’ai utilisé l’adresse IP, je sais que ce n’est pas tout à fait sûr, mais ça va pour moi.

     Options FollowSymLinks AllowOverride None Order deny,allow Deny from all Allow from localhost 10.42.0.11  

  I changed Order Deny,Allow Deny From All in .htaccess to " Require all denied " and restarted apache but it did not help. 

Le chemin d’access pour apache2.conf dans ubuntu est /etc/apache2/apache.conf

Ensuite, j’ai ajouté les lignes suivantes dans apache2.conf, puis mon dossier fonctionne correctement

   Options Indexes FollowSymLinks AllowOverride All Require all granted  and run " Sudo service apache2 restart " 

J’ai eu le même problème pour un contrôleur spécifique uniquement – ce qui était vraiment bizarre. J’avais un dossier à la racine du dossier CI qui portait le même nom que le contrôleur auquel j’essayais d’accéder… À cause de cela, CI dirigeait la requête vers ce répertoire plutôt que vers le contrôleur lui-même.

Après avoir supprimé ce dossier (qui était là un peu par erreur), tout s’est bien passé.

Pour être plus clair, voici à quoi il ressemblait:

 /ci/controller/register.php /ci/register/ 

Je devais supprimer /ci/register/ .

Vérifiez exactement où vous mettez vos fichiers, ne les imbriquez pas dans le dossier Documents.

Par exemple, j’ai fait l’erreur de mettre mon code dans le dossier Documents car cela ne fonctionnera pas car Documents n’est explicitement disponible que pour vous et non APACHE. Essayez de le déplacer dans un répertoire et vous ne verrez peut-être pas ce problème.

Déplacer le dossier de:

/ Users / YOURUSERNAME / Documents / code

Pour ici: / Utilisateurs / YOURUSERNAME / code

Juste pour apporter une autre consortingbution que j’ai couru à ce problème aussi:

J’ai eu un VirtualHost configuré que je ne voulais pas. J’ai commenté la ligne où l’inclusion pour le vhost a eu lieu, et cela a fonctionné.

Vous pouvez changer le fichier youralias.conf comme ce code:

 Alias /Quiz/ "h:/MyServer/Quiz/"  Options Indexes FollowSymLinks AllowOverride all  Require local   Order Deny,Allow Deny from all Allow from localhost ::1 127.0.0.1   

Rappelez-vous que le fichier correct à configurer dans cette situation n’est pas httpd.conf dans l’alias phpMyAdmin, mais dans bin/apache/your_version/conf/httpd.conf .

Recherchez la ligne suivante:

 DocumentRoot "c:/wamp/www/" # # Each directory to which Apache has access can be configured with respect # to which services and features are allowed and/or disabled in that # directory (and its subdirectories). # # First, we configure the "default" to be a very ressortingctive set of # features. #  Options FollowSymLinks AllowOverride None Order deny,allow Allow from all  

Assurez-vous qu’il est réglé sur Allow from all …

Si ce n’est pas le cas, phpMyAdmin pourrait même fonctionner, mais pas votre racine et les autres dossiers sous-jacents. Aussi, rappelez-vous de redémarrer WAMP puis de mettre en ligne …

Cela a résolu mon mal de tête.

J’ai eu ce problème lors de l’utilisation de SSHFS pour monter les fichiers dans mon invité VirtualBox à partir de mon système de fichiers local avant d’exécuter une génération de docker. En fin de compte, le “correctif” consistait à copier tous les fichiers sur l’instance de VirtualBox plutôt que de créer à partir du assembly SSHFS, puis d’exécuter la construction à partir de là.

Méthode de travail (sauf s’il n’y a pas d’autre problème)

Par défaut, Apache ne restreint pas l’access depuis IPv4 (adresse IP externe commune)

Ce qui est restreint sont les commandes données dans ‘ httpd.conf ‘.

Remplace tout

  AllowOverride none Require all denied  

avec

  AllowOverride none # Require all denied  

éliminant ainsi toute ressortingction donnée à Apache .

Remplacez Require local par Require all granted pour le répertoire C: / wamp / www / .

  Options Indexes FollowSymLinks AllowOverride all Require all granted # Require local  

Essayez ceci et n’ajoutez rien Order allow,deny et autres:

 AddHandler cgi-script .cgi .py ScriptAlias /cgi-bin/ /usr/lib/cgi-bin/  AllowOverride None Options +ExecCGI -MultiViews +SymLinksIfOwnerMatch Require all granted Allow from all  

 sudo a2enmod cgi sudo service apache2 restart 

Après avoir modifié les fichiers de configuration, n’oubliez pas de Restart All Services .

J’ai perdu trois heures de mon temps là-dessus.

C’est assez ridicule, mais j’ai le 403 Forbidden lorsque le fichier que j’essayais de télécharger n’était pas sur le système de fichiers. L’erreur Apache n’est pas très précise dans ce cas, et tout a fonctionné après avoir simplement placé le fichier là où il devait être.

Nous avons activé modsec, vérifiez le journal des erreurs du site pour un ID modsec, puis entrez un emplacement pour le fichier dans le vhost (ou .htaccess je suppose):

    SecRuleRemoveById XXXXXXX