HTTP 403
| HTTP |
|---|
 |
| Методы запроса |
| Поля заголовка |
| Коды статуса ответа |
| Методы безопасного контроля доступа |
| Уязвимости безопасности |
HTTP 403 — это код состояния HTTP, означающий, что доступ к запрошенному ресурсу запрещен. Сервер понял запрос, но не выполнит его, если он корректен.
Технические характеристики
[ редактировать ]HTTP 403 предоставляет случай ошибки, отличный от HTTP 401; в то время как HTTP 401 возвращается, когда клиент не прошел аутентификацию, и подразумевает, что успешный ответ может быть возвращен после действительной аутентификации, HTTP 403 возвращается, когда клиенту не разрешен доступ к ресурсу, несмотря на предоставление аутентификации, например, недостаточные разрешения аутентифицированной учетной записи. . [а]
Ошибка 403: «Сервер понял запрос, но отказывается его авторизовать». (RFC 7231) [1]
Ошибка 401: «Запрос требует аутентификации пользователя. Ответ ДОЛЖЕН включать поле заголовка WWW-Authenticate (раздел 14.47), содержащее запрос, применимый к запрошенному ресурсу. Клиент МОЖЕТ повторить запрос с подходящим полем заголовка авторизации (раздел 14.8). Если запрос уже включал учетные данные авторизации, то ответ 401 указывает, что в авторизации для этих учетных данных было отказано». (РФК 2616) [2]
Веб- сервер Apache возвращает 403 Forbidden в ответ на запросы URL-адреса. [3] пути, которые соответствовали файловой системы каталогам , когда списки каталогов были отключены на сервере и нет директивы Directory Index, позволяющей указать существующий файл, который должен быть возвращен браузеру. Некоторые администраторы настраивают расширение прокси-сервера Mod для Apache, чтобы блокировать такие запросы, и это также возвращает 403 Forbidden. Microsoft IIS реагирует таким же образом, когда на этом сервере запрещается просмотр списков каталогов. В WebDAV ответ 403 Forbidden будет возвращен сервером, если клиент выдал запрос PROPFIND, но также не выдал требуемый заголовок Depth или не выдал бесконечный заголовок Depth. [3]
Причины
[ редактировать ]Код состояния 403 может возникнуть по следующим причинам: [4]
- Недостаточно разрешений. Наиболее распространенной причиной появления кода состояния 403 является отсутствие у пользователя необходимых разрешений для доступа к запрошенному ресурсу. Это может означать, что пользователь не вошел в систему, не предоставил действительные учетные данные или не принадлежит к соответствующей группе пользователей для доступа к ресурсу.
- Требуется аутентификация. В некоторых случаях серверу требуется аутентификация для доступа к определенным ресурсам. Если пользователь не предоставляет действительные учетные данные или если аутентификация не удалась, возвращается код состояния 403.
- Ограничения по IP. Сервер также может ограничить доступ к определенным IP-адресам или диапазонам IP-адресов. Если IP-адрес пользователя не включен в список разрешенных адресов, возвращается код состояния 403.
- Конфигурация сервера: Конфигурацию сервера можно настроить так, чтобы запретить доступ к определенным файлам, каталогам или областям веб-сайта. Это может быть связано с неправильной конфигурацией или намеренными ограничениями, наложенными администратором сервера.
- Заблокировано брандмауэром или программным обеспечением безопасности. Код состояния 403 может появиться, если брандмауэр или программное обеспечение безопасности блокируют доступ к ресурсу. Это может произойти из-за политик безопасности, обнаружения вредоносного ПО или других мер безопасности.
Примеры
[ редактировать ]Запрос клиента: [5]
GET /securedpage.php HTTP/1.1
Host: www.example.org
Ответ сервера: [5]
HTTP/1.1 403 Forbidden
Content-Type: text/html
<html>
<head><title>403 Forbidden</title></head>
<body>
<h1>Forbidden</h1>
<p>You don't have permission to access /securedpage.php on this server.</p>
</body>
</html>
Коды ошибок подстатуса для IIS
[ редактировать ]
Следующие нестандартные коды возвращаются службами Microsoft Internet Information Services и официально не признаются IANA . [6]
- 1 – Доступ к выполнению запрещен.
- 403.2 — Доступ на чтение запрещен.
- 403.3 — Доступ на запись запрещен
- 403.4 — требуется SSL
- 403.5 – требуется SSL 128
- 403.6 — IP-адрес отклонен.
- 403.7 — Требуется сертификат клиента
- 403.8 — Доступ к сайту запрещен.
- 403.9 – Слишком много пользователей
- 403.10 — Неверная конфигурация
- 403.11 — Смена пароля
- 403.12 – Mapper запрещен доступ
- 403.13 — Сертификат клиента отозван.
- 403.14 – Отказ в листинге каталога
- 403.15 — превышено количество клиентских лицензий
- 403.16 — Сертификат клиента ненадежен или недействителен.
- 403.17 — Срок действия сертификата клиента истек или еще не действителен.
- 403.18 — Невозможно выполнить запрос из этого пула приложений.
- 403.19 — Невозможно выполнить CGI для клиента в этом пуле приложений.
- 403.20 — Не удалось войти в систему с помощью паспорта.
- 403.21 — Доступ к источнику запрещен.
- 403.22 — Бесконечная глубина запрещена
- 403.502 – Слишком много запросов с одного IP-адреса клиента; Достигнут предел динамического ограничения IP-адресов
- 403.50 – Отклонено из-за ограничения IP-адреса.
См. также
[ редактировать ]
Примечания
[ редактировать ]- ^ См . коды ошибок #Substatus для IIS, чтобы узнать возможные причины, по которым веб-сервер может отказаться выполнять запрос.
Ссылки
[ редактировать ]- ^ Протокол передачи гипертекста (HTTP/1.1): семантика и содержание . IETF . сек. 6.5.3. дои : 10.17487/RFC7231 . РФК 7231 .
- ^ Нильсен, Хенрик; Могул, Джеффри; Масинтер, Ларри М.; Филдинг, Рой Т.; Геттис, Джим; Лич, Пол Дж.; Бернерс-Ли, Тим (июнь 1999 г.). «RFC 2616 — Протокол передачи гипертекста — HTTP/1.1» . Tools.ietf.org. дои : 10.17487/RFC2616 . Проверено 9 апреля 2018 г.
- ^ Jump up to: а б «HTTP-расширения для распределенной веб-авторизации и управления версиями (WebDAV)» . IETF . Июнь 2007. Архивировано из оригинала 3 марта 2016 года . Проверено 12 января 2016 г.
- ^ Код состояния HTTP 402 Как решить проблему с кодом состояния 403?
- ^ Jump up to: а б Пример «Запрос клиента» и «Ответ сервера» для кода состояния HTTP 403
- ^ ХайинЮ (23 февраля 2023 г.). «Обзор кода состояния HTTP — Информационные службы Интернета» . Learn.microsoft.com . Проверено 19 мая 2024 г.