使用 wget、curl 时 SSL 连接失败，但使用 firefox 和 lynx 时成功

我在通过自动脚本访问该网站时遇到问题：

如果我从浏览器（chrome、firefox、甚至 lynx 都可以工作）查看，一切都可以。 我如果尝试从 PHP (fsockopen)、wget 或 curl 加载它，它会抱怨：

警告：stream_socket_enable_crypto()：SSL 操作失败，代码为 1。OpenSSL 错误消息：错误：140943FC：SSL 例程：SSL3_READ_BYTES：sslv3 警报坏记录 mac

openssl 检查也失败：

openssl s_client -connect mydtac.dtac.co.th:443 3074164412：错误：140770FC：SSL例程：SSL23_GET_SERVER_HELLO：未知协议：s23_clnt.c：787：

我尝试过不同的系统（debian），包括稳定版和测试版，wget 的问题无处不在。

我已经对连接进行了 TCP 转储，工作方法和失败方法尝试初始化 ssl 连接的方式似乎不同：

失败的请求和响应：

T 192.168.1.42:60748 -> 202.91.21.208:443 [美联社] .....,...(..j...3O.....N[U.iv.).5'...P..2.......0.,.( .$.........k.j.9.8.....2...*.&.......=.5.../.+.'.#[电子邮件受保护] /cdn-cgi/l/email-protection.).%...... .<. ......># T 202.91.21.208:443 -> 192.168.1.42:60748 [美联社] ……（

工作请求和响应：

T 192.168.1.42:60751 -> 202.91.21.208:443 [美联社] ....2...axg....;..|vYV....oS#..WD=u.zp..R./w .....................3.2.E.9.8...../.A.5.........B........ .mydtac.dtac.co.th...... .................#..3t.........
# T 202.91.21.208:443 -> 192.168.1.42:60751 [美联社] ....:...6..T ..(..ok.q..A....F?....k.>V....U..T.......^x.c................. ..0...0..................a..L.Gd....0....H........0f1.0...U....US1 .0...U....DigiCert Inc1.0...U....www.digicert.com1%0#..U....DigiCert 高保证 CA-30...120912000000Z..150917120000Z0 ..1.0...U...TH1.0。 ..U....曼谷1.0...U....Pathumwan1(0&..U....DTAC Internet Service Co., Ltd.1#0!..U....企业服务支持1 .0...U.....dtac.co.th0..” 0...*[电子邮件受保护] /cdn-cgi/l/email-protection.....|...F...LgP.{J....b+.....:....".._.b.{c.....h... n.2.J...h..|lJ.=..^..i@6..^.Fgg.!s....U|..'[电子邮件受保护] /cdn-cgi/l/email-protection.>.... 3=cc.W......0U.......Jvlr....J.hb...p.+...d.}..A.. .;R..U.HN.\.#r%.%..F..X..;..Y&.......y....IUy>.....NU.-..$..i..I.P....... ...\c........N0..J0...U.#..0...P.s..)...... ..y.H..0...U.......-f.....U.Y.9;.....T0#..U....0...*.dtac.co.th..dtac.co.th0...U...........0...U .%..0...+.........+.......0a..U...Z0X0*.(.&.$http://crl3.digicert.com/ca3-g22.crl0*.(.&.$http://crl4.digicert.com/ca3-g22.crl0.....U. ....0. ..0......H...l..0...0:..+.........http://www.digicert.com/ssl-cps-repository.htm0..d..+.......0..V...R.A.n.y http://www.digicert.com/ssl-cps-repository.htm0..d..+.......0..V...R.A.n.y。 。使用。 。的。 。这。 .C.e. r.t.i.f.i.c.a.t.e. .c.o.n.s.t.i.t.u.t.e.s. 。验收。 。的。 。这。 .D.i.g.i.C.e.r.t. .C.P./.C.P.S. 。和。 。这。 .R.e.l.y.i.n. G。 。派对。 。协议。 。哪个。 。限制。 。责任。 。和。 。是。 .in.n.c.o.r.p.o.r.a.t.e.d. 。在此处。 。经过。 .r.e.f.e.r.e.n.c.e..0{..+........o0m0$..+.....0

我花了两天时间试图找到解决方法，但被困在这里。 任何建议将不胜感激。

我知道这是网站管理员应该调查的事情，但这不是一个选择，因为 99% 的人访问这些页面没有任何问题，他们肯定不会做任何事情......

openssl s_client -connect mydtac.dtac.co.th:443 3074164412：错误：140770FC：SSL例程：SSL23_GET_SERVER_HELLO：未知 协议：s23_clnt.c：787：

您需要使用 SSLv3 或 TLS 1.0。您无法发送ClientHello使用 TLS 1.1 或 1.2。

首先，TLS 1.0（不用担心自签名证书警告 - 我没有使用CAfile选项）：

$ /usr/local/ssl/darwin/bin/openssl s_client -tls1 -connect mydtac.dtac.co.th:443
CONNECTED(00000003)
depth=2 C = US, O = DigiCert Inc, OU = www.digicert.com, CN = DigiCert High Assurance EV Root CA
verify error:num=19:self signed certificate in certificate chain
verify return:0
---
Certificate chain
 0 s:/C=TH/ST=Bangkok/L=Pathumwan/O=DTAC Internet Service Co., Ltd./OU=Enterprise Service Support/CN=*.dtac.co.th
   i:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert High Assurance CA-3
 1 s:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert High Assurance CA-3
   i:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert High Assurance EV Root CA
 2 s:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert High Assurance EV Root CA
   i:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert High Assurance EV Root CA
...

接下来是 TLS 1.2：

$ /usr/local/ssl/darwin/bin/openssl s_client -tls1_2 -connect mydtac.dtac.co.th:443
CONNECTED(00000003)
140735152734684:error:1408F10B:SSL routines:SSL3_GET_RECORD:wrong version number:s3_pkt.c:337:
...

相关的是，该服务器处于较低级别且配置不当。如果可能的话，你应该避免它：

$ openssl s_client -ssl3 -connect mydtac.dtac.co.th:443
CONNECTED(00000003)
...
New, TLSv1/SSLv3, Cipher is RC4-MD5
Server public key is 2048 bit
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : SSLv3
    Cipher    : RC4-MD5
    Session-ID: 1C04C221FDD0501832FFD8904790A34

从 SSL 扫描来看，我推测它是一个较旧的 IIS 服务器：

$ sslscan --no-failed mydtac.dtac.co.th
                   _
           ___ ___| |___  ___ __ _ _ __
          / __/ __| / __|/ __/ _` | '_ \
          \__ \__ \ \__ \ (_| (_| | | | |
          |___/___/_|___/\___\__,_|_| |_|

                  Version 1.8.2
             http://www.titania.co.uk
        Copyright Ian Ventura-Whiting 2009

Testing SSL server mydtac.dtac.co.th on port 443

  Supported Server Cipher(s):
    Accepted  SSLv3  128 bits  ADH-RC4-MD5
    Accepted  SSLv3  128 bits  RC4-SHA
    Accepted  SSLv3  128 bits  RC4-MD5
    Accepted  SSLv3  40 bits   EXP-ADH-RC4-MD5
    Accepted  SSLv3  40 bits   EXP-RC4-MD5
    Accepted  TLSv1  256 bits  AES256-SHA
    Accepted  TLSv1  128 bits  AES128-SHA
    Accepted  TLSv1  128 bits  ADH-RC4-MD5
    Accepted  TLSv1  128 bits  RC4-SHA
    Accepted  TLSv1  128 bits  RC4-MD5
    Accepted  TLSv1  112 bits  EDH-RSA-DES-CBC3-SHA
    Accepted  TLSv1  112 bits  ADH-DES-CBC3-SHA
    Accepted  TLSv1  112 bits  DES-CBC3-SHA
    Accepted  TLSv1  56 bits   EDH-RSA-DES-CBC-SHA
    Accepted  TLSv1  56 bits   ADH-DES-CBC-SHA
    Accepted  TLSv1  56 bits   DES-CBC-SHA
    Accepted  TLSv1  40 bits   EXP-EDH-RSA-DES-CBC-SHA
    Accepted  TLSv1  40 bits   EXP-ADH-DES-CBC-SHA
    Accepted  TLSv1  40 bits   EXP-DES-CBC-SHA
    Accepted  TLSv1  40 bits   EXP-ADH-RC4-MD5
    Accepted  TLSv1  40 bits   EXP-RC4-MD5

  Prefered Server Cipher(s):
    SSLv3  128 bits  RC4-MD5
    TLSv1  128 bits  RC4-MD5