PowerShell 5.1: Invoke-WebRequest: Impedir la ejecución de scripts del contenido web

Para capturar contenido, no es necesario realizar ninguna acción si el uso típico del comando Invoke-WebRequest es capturar contenido (como descargar archivos o leer texto estático) y no se basa en la interacción avanzada del sitio o el análisis HTML DOM. El nuevo comportamiento predeterminado es más seguro (los scripts incrustados en el contenido web no se ejecutarán sin su permiso) y esta es la configuración recomendada para la mayoría de los escenarios. 

Para uso interactivo, simplemente responda No al nuevo aviso de seguridad (o presione Entrar para aceptar el valor predeterminado) y vuelva a ejecutar el comando con el parámetro -UseBasicParsing para recuperar el contenido de forma segura. Esto evitará la ejecución de cualquier código de script en la página capturada. Si suele capturar contenido web de forma interactiva, considere la posibilidad de usar el parámetro -UseBasicParsing de forma predeterminada en los comandos para omitir el mensaje por completo y garantizar la máxima seguridad. 

Para scripts automatizados o tareas programadas, actualícelos para que incluyan el parámetro -UseBasicParsing en las llamadasInvoke-WebRequest. Esto preselecciona el comportamiento seguro para que no aparezca el mensaje y el script siga ejecutándose sin interrupción. Al hacerlo, te asegurarás de que la automatización se ejecute sin problemas después de la actualización, a la vez que aprovechas la seguridad mejorada.

• Para los scripts que se ejecutan con la opción -NoProfile: si el script tiene muchas repeticiones de las llamadas Invoke-WebRequest, declare $PSDefaultParameterValues['Invoke-WebRequest:UseBasicParsing'] = $true en la parte superior del script.

• Cuando Invoke-WebRequest se usa con el parámetro -UseBasicParsing , no es posible analizar el modelo de objetos de documento completo (DOM) mediante componentes de Internet Explorer (interfaz HTMLDocument (mshtml)).

Para scripts o automatización que tratan con contenido web público o no de confianza y requieren el procesamiento de estructuras o formularios HTML, considere la posibilidad de refactorizarlos o actualizarlos para mayor seguridad a largo plazo. En lugar de confiar en PowerShell para analizar y ejecutar scripts de páginas web potencialmente peligrosos, puede: 

• Use métodos o bibliotecas de análisis alternativos (por ejemplo, trate el contenido de la página web como texto sin formato o XML, con bibliotecas de análisis regex o XML/HTML que no ejecuten scripts).

• Modernice su enfoque de las interacciones web, tal vez mediante el uso de PowerShell Core más reciente (versión 7.x o posterior), que no depende del motor de Internet Explorer y evita ejecutar scripts o mediante herramientas de recorte web especializadas que controlan el contenido de forma más segura. Limite la dependencia de características específicas de Internet Explorer, ya que Internet Explorer está en desuso. Planee reescribir partes de los scripts que dependen de esas características para que puedan trabajar en un entorno donde el contenido web se administre de forma segura.

  • Invoke-WebRequest en PowerShell Core (versión 7.x o posterior) no admite el análisis DOM con componentes de Internet Explorer. Su análisis predeterminado recuperará de forma segura el contenido sin la ejecución del script.

• El objetivo con la refactorización es lograr su funcionalidad necesaria sin exponerse a riesgos de seguridad, adoptando así los valores predeterminados más seguros introducidos por este cambio.

Si tiene una necesidad específica de usar las capacidades de análisis HTML completas del comando Invoke-WebRequest (como interactuar con campos de formulario o eliminar datos estructurados) y confía en el origen del contenido web, puede continuar con el comportamiento de análisis heredado caso por caso. En las sesiones interactivas, simplemente significa seleccionar Sí en el aviso de confirmación para permitir que la operación continúe. Recibirás un recordatorio del riesgo de seguridad cada vez que lo hagas. El procedimiento sin el parámetro -UseBasicParsing debe limitarse a escenarios en los que confíe plenamente en el contenido web (por ejemplo, aplicaciones web internas bajo su control o sitios web seguros conocidos). 

En la mayoría de los casos, los scripts que descargan archivos o capturan contenido web como texto seguirán funcionando. Para evitar el aviso, agregue el parámetro -UseBasicParsing.

 Los scripts que usan análisis html avanzado (como formularios o DOM) pueden bloquearse o generar datos sin procesar en lugar de objetos estructurados; tendrá que cambiar al análisis básico o modificar el script para controlar el contenido de forma diferente. 

Use siempre el parámetro -UseBasicParsing con el comando Invoke-WebRequest en scripts de PowerShell para garantizar una ejecución segura y no interactiva.  

Sí. Los scripts según el análisis heredado deben actualizarse para participar o refactorizar.

El cambio en PowerShell se aplica tanto a las actualizaciones estándar como a las actualizaciones de hotpatch, lo que produce el mismo cambio de comportamiento.

Sí. PowerShell 7 ya usa el análisis seguro de forma predeterminada.

Ponte en contacto con los propietarios del módulo para obtener planes de soporte técnico. Use la opción de participar temporalmente para el contenido de confianza durante la migración.

Para preparar y validar este cambio, le recomendamos que: 

• Identifique scripts con las características dom.

• Pruebe la automatización con el nuevo valor predeterminado.

• Limitar la opción heredada a los orígenes de confianza.

• Planear la refactorización del contenido que no es de confianza.