Powershell v3 Invoke-WebRequest HTTPS 错误答案

【问题标题】：Powershell v3 Invoke-WebRequest HTTPS errorPowershell v3 Invoke-WebRequest HTTPS 错误
【发布时间】：2012-07-26 16:07:02
【问题描述】：

使用 Powershell v3 的 Invoke-WebRequest 和 Invoke-RestMethod 我已成功使用 POST 方法将 json 文件发布到 https 网站。

我使用的命令是

 $cert=New-Object System.Security.Cryptography.X509Certificates.X509Certificate2("cert.crt")
 Invoke-WebRequest -Uri https://IPADDRESS/resource -Credential $cred -certificate $cert -Body $json -ContentType application/json -Method POST

但是，当我尝试使用 GET 方法时：

 Invoke-WebRequest -Uri https://IPADDRESS/resource -Credential $cred -certificate $cert -Method GET

返回如下错误

 Invoke-RestMethod : The underlying connection was closed: An unexpected error occurred on a send.
 At line:8 char:11
 + $output = Invoke-RestMethod -Uri https://IPADDRESS/resource -Credential $cred
 +           ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo          : InvalidOperation: (System.Net.HttpWebRequest:HttpWebRequest)      [Invoke-RestMethod], WebException
+ FullyQualifiedErrorId : WebCmdletWebResponseException,Microsoft.PowerShell.Commands.InvokeRestMethodCommand

我尝试使用以下代码忽略 SSL 证书，但我不确定它是否真的在做任何事情。

 [System.Net.ServicePointManager]::ServerCertificateValidationCallback = {$true}

有人可以就这里可能出现的问题以及如何解决问题提供一些指导吗？

谢谢

【问题讨论】：

那么你用的是哪一个？ Invoke-RestMethod 或 Invoke-WebRequest?
调用-WebRequest。我使用它，因为它返回请求/响应标头，这与 Invoke-RestMethod 不同。但是我尝试过 Invoke-RestMethod，它也采用相同的参数。
对于它的价值，ServerValidationCallback 几乎可以肯定是一个红鲱鱼，因为当你遇到 SSL 验证问题时应该得到的错误应该说：Invoke-WebRequest : The underlying connection was closed: Could not establish trust relationship for the SSL/TLS secure channel. 你可以尝试探索 $Error[ 0].Exception.InnerException 了解更多信息...

标签： .net rest powershell https

【解决方案1】：

这个变通办法对我有用： http://connect.microsoft.com/PowerShell/feedback/details/419466/new-webserviceproxy-needs-force-parameter-to-ignore-ssl-errors

基本上，在您的 PowerShell 脚本中：

add-type @"
    using System.Net;
    using System.Security.Cryptography.X509Certificates;
    public class TrustAllCertsPolicy : ICertificatePolicy {
        public bool CheckValidationResult(
            ServicePoint srvPoint, X509Certificate certificate,
            WebRequest request, int certificateProblem) {
            return true;
        }
    }
"@
[System.Net.ServicePointManager]::CertificatePolicy = New-Object TrustAllCertsPolicy

$result = Invoke-WebRequest -Uri "https://IpAddress/resource"

【讨论】：

注意，这个答案是正确的；但是，关于另一个答案（stackoverflow.com/a/25163476/68432）的观点也是有效的。如果您事先已完成“[System.Net.ServicePointManager]::ServerCertificateValidationCallback = {$true}”，则此解决方案将不起作用。
您需要根据下面的 Arthur Strutzenberg 回答添加类型条件检查，否则您将收到错误提示该类型已存在
在生产中使用它是否存在安全风险？
5 年后，这仍然是 PowerShell 5.1（完整的 .NET Framework）的解决方案。对于 PowerShell Core，现在有一个 -SkipCertificateCheck。
@Amjad 在生产中使用它确实存在安全风险 - 如果有人将您的呼叫重定向到恶意替代端点（可能就像在调用它的机器上编辑主机文件一样简单），那么您的呼叫无论将所有信息发送给攻击者，都会进行

【解决方案2】：

Lee 的回答很好，但我也遇到了 Web 服务器支持的协议的问题。
在还添加以下行之后，我可以通过 https 请求。正如这个答案中指出的https://stackoverflow.com/a/36266735

$AllProtocols = [System.Net.SecurityProtocolType]'Ssl3,Tls,Tls11,Tls12'
[System.Net.ServicePointManager]::SecurityProtocol = $AllProtocols

我使用 Lee 的代码的完整解决方案。

add-type @"
using System.Net;
using System.Security.Cryptography.X509Certificates;
public class TrustAllCertsPolicy : ICertificatePolicy {
    public bool CheckValidationResult(
        ServicePoint srvPoint, X509Certificate certificate,
        WebRequest request, int certificateProblem) {
        return true;
    }
}
"@
$AllProtocols = [System.Net.SecurityProtocolType]'Ssl3,Tls,Tls11,Tls12'
[System.Net.ServicePointManager]::SecurityProtocol = $AllProtocols
[System.Net.ServicePointManager]::CertificatePolicy = New-Object TrustAllCertsPolicy

【讨论】：

您是否找到了更好的解决方案，因为如果您有 40 个脚本，那么您必须将其添加到每个脚本中？似乎没有任何意义。顺便说一句，谢谢你的回答
李的回答对我不起作用。我必须添加你引用的位并且它工作了！
谢谢谢谢谢谢你给我看SecurityProtocol全局静态属性。天哪，我刚刚在检查证书、信任、网络、路由、权限和其他东西上浪费了几天时间，试图在通过 https 访问一台特定服务器时解决模糊的endpoint does not respond 错误（所有其他都可以），只是因为那该死的 powershell 5.1 默认为 SSL3，TLS，它只是 BLOCKS GODDAMN TLS11 和 TLS12 BY DEFAULT 天哪，我多么讨厌这个废话，我应该用 C#/Ruby/ 编写那个脚本C++，或者其他不是 powershell 的东西
@quetzalcoatl，如何更改默认值？你和 AndOs 帮了我很多，这就足够了： $AllProtocols = [System.Net.SecurityProtocolType]'Ssl3,Tls,Tls11,Tls12' 然后 [System.Net.ServicePointManager]::SecurityProtocol = $AllProtocols
@StanTastic：我认为永久更改默认值是不可能的。我认为它在 ServicePointManager 源代码中是硬编码的。不过我从来没有检查过，所以也许有什么办法。

【解决方案3】：

纯powershell 的替代实现（没有Add-Type 的c# 源）：

#requires -Version 5
#requires -PSEdition Desktop

class TrustAllCertsPolicy : System.Net.ICertificatePolicy {
    [bool] CheckValidationResult([System.Net.ServicePoint] $a,
                                 [System.Security.Cryptography.X509Certificates.X509Certificate] $b,
                                 [System.Net.WebRequest] $c,
                                 [int] $d) {
        return $true
    }
}
[System.Net.ServicePointManager]::CertificatePolicy = [TrustAllCertsPolicy]::new()

【讨论】：

【解决方案4】：

您是否尝试过使用System.Net.WebClient？

$url = 'https://IPADDRESS/resource'
$wc = New-Object System.Net.WebClient
$wc.Credentials = New-Object System.Net.NetworkCredential("username","password")
$wc.DownloadString($url)

【讨论】：

Sunny，我在使用该代码时收到以下信息：使用“1”参数调用“DownloadString”的异常：“远程服务器返回错误：（406）不可接受。”在 line:4 char:1 + $wc.DownloadString($url) + ~~~~~~~~~~~~~~~~~~~~~~~~~~~ + CategoryInfo : NotSpecified: (:) [ ], MethodInvocationException + FullyQualifiedErrorId : WebException
基于 REST 服务的 API 文档，im using 406 表示“请求中包含的接受标头不允许 XML 或 JSON 响应”
如果不允许 XML / JSON 响应，则允许哪些响应类型？
这是您正在使用的自定义 Web 服务吗？ REST API 是否有任何公开可用的文档？
这是一个名为 EM7 的票务系统，我不相信他们有公共文档。该服务确实接受 JSON/XML 响应（如果我使用 cURL 就可以正常工作）我相信错误表明 System.Net.WebClient 不是？

【解决方案5】：

Invoke-WebRequest "DomainName" -SkipCertificateCheck

您可以使用 -SkipCertificateCheck 参数将其作为单行命令来实现（此参数仅在 CORE PSEDITION 上支持）

【讨论】：

这个参数救了我。我在 Azure 中使用了 invoke-WebRequest，它不支持“Add-Type”，只有这个可以工作。非常感谢！

【解决方案6】：

以下工作对我有用（并使用最新的非弃用方式与 SSL 证书/回调功能进行交互），并且不会尝试在同一个 powershell 会话中多次加载相同的代码：

if (-not ([System.Management.Automation.PSTypeName]'ServerCertificateValidationCallback').Type)
{
$certCallback=@"
    using System;
    using System.Net;
    using System.Net.Security;
    using System.Security.Cryptography.X509Certificates;
    public class ServerCertificateValidationCallback
    {
        public static void Ignore()
        {
            if(ServicePointManager.ServerCertificateValidationCallback ==null)
            {
                ServicePointManager.ServerCertificateValidationCallback += 
                    delegate
                    (
                        Object obj, 
                        X509Certificate certificate, 
                        X509Chain chain, 
                        SslPolicyErrors errors
                    )
                    {
                        return true;
                    };
            }
        }
    }
"@
    Add-Type $certCallback
 }
[ServerCertificateValidationCallback]::Ignore();

本文改编自以下文章 https://d-fens.ch/2013/12/20/nobrainer-ssl-connection-error-when-using-powershell/

【讨论】：

【解决方案7】：

发现当我使用这个回调函数忽略SSL证书[System.Net.ServicePointManager]::ServerCertificateValidationCallback = {$true}

我总是收到错误消息Invoke-WebRequest : The underlying connection was closed: An unexpected error occurred on a send.，这听起来像是您得到的结果。

我发现了这个forum post，它引导我进入下面的函数。我在其他代码的范围内运行了一次，它对我有用。

function Ignore-SSLCertificates
{
    $Provider = New-Object Microsoft.CSharp.CSharpCodeProvider
    $Compiler = $Provider.CreateCompiler()
    $Params = New-Object System.CodeDom.Compiler.CompilerParameters
    $Params.GenerateExecutable = $false
    $Params.GenerateInMemory = $true
    $Params.IncludeDebugInformation = $false
    $Params.ReferencedAssemblies.Add("System.DLL") > $null
    $TASource=@'
        namespace Local.ToolkitExtensions.Net.CertificatePolicy
        {
            public class TrustAll : System.Net.ICertificatePolicy
            {
                public bool CheckValidationResult(System.Net.ServicePoint sp,System.Security.Cryptography.X509Certificates.X509Certificate cert, System.Net.WebRequest req, int problem)
                {
                    return true;
                }
            }
        }
'@ 
    $TAResults=$Provider.CompileAssemblyFromSource($Params,$TASource)
    $TAAssembly=$TAResults.CompiledAssembly
    ## We create an instance of TrustAll and attach it to the ServicePointManager
    $TrustAll = $TAAssembly.CreateInstance("Local.ToolkitExtensions.Net.CertificatePolicy.TrustAll")
    [System.Net.ServicePointManager]::CertificatePolicy = $TrustAll
}

【讨论】：

【解决方案8】：

我尝试搜索有关 EM7 OpenSource REST API 的文档。到目前为止没有运气。

http://blog.sciencelogic.com/sciencelogic-em7-the-next-generation/05/2011

关于开源 REST API 的讨论很多，但没有指向实际 API 或任何文档的链接。也许是我不耐烦了。

这里有一些你可以尝试的东西

$a = Invoke-RestMethod -Uri https://IPADDRESS/resource -Credential $cred -certificate $cert 
$a.Results | ConvertFrom-Json

试试这个看看你是否可以过滤掉你从 API 获取的列

$a.Results | ft

或者，你也可以试试这个

$b = Invoke-WebRequest -Uri https://IPADDRESS/resource -Credential $cred -certificate $cert 
$b.Content | ConvertFrom-Json

卷曲样式标题

$b.Headers

我使用 twitter JSON api 测试了 IRM / IWR。

$a = Invoke-RestMethod http://search.twitter.com/search.json?q=PowerShell

希望这会有所帮助。

【讨论】：

感谢您的所有帮助。但是，第一个命令 $a = Invoke-RestMethod (...) 是当前对我不起作用的命令。适用于 HTTP 站点，但是当您引入 EM7 的 HTTPS 时，它会返回所描述的错误。这适用于 Invoke-RestMethod 和 Invoke-WebRequest。我正在使用 Invoke-Command cmdlet 并运行 curl。

【解决方案9】：

这些注册表设置会影响 .NET Framework 4+，因此也会影响 PowerShell。设置它们并重新启动任何 PowerShell 会话以使用最新的 TLS，无需重新启动。

Set-ItemProperty -Path 'HKLM:\SOFTWARE\Wow6432Node\Microsoft\.NetFramework\v4.0.30319' -Name 'SchUseStrongCrypto' -Value '1' -Type DWord
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NetFramework\v4.0.30319' -Name 'SchUseStrongCrypto' -Value '1' -Type DWord

见https://docs.microsoft.com/en-us/dotnet/framework/network-programming/tls#schusestrongcrypto

【讨论】：

对于看到此答案的其他人，我们的经验是，此注册表补丁实际上确实需要重新启动才能保证正常运行。当试图确保运行 .NET 应用程序的 Windows 机器之间的 TLS 1.2 连接时，通过网络跟踪显示 SSL 3 与此注册表值一起使用，但在重新启动之前；仅在重新启动后才调用 TLS 1.2。

【解决方案10】：

运行此命令

New-SelfSignedCertificate -certstorelocation cert:\localmachine\my -dnsname {your-site-hostname}

在powershell中使用管理员权限，这将在个人目录中生成所有证书

要摆脱隐私错误，选择这些证书，右键单击 → 复制。并粘贴到受信任的根证书颁发机构/证书中。
最后一步是在 IIS 中选择正确的绑定。转到 IIS 网站，选择 Bindings，选择 SNI 复选框并为每个网站设置单独的证书。

确保网站主机名和证书 dns-name 应完全匹配

【讨论】：

【解决方案11】：

如果您以管理员身份运行，该错误应该会消失

【讨论】：