PowerShell 5.1: Invoke-WebRequest: ป้องกันการดําเนินการสคริปต์จากเนื้อหาเว็บ

สําหรับการดึงข้อมูลเนื้อหา ไม่จําเป็นต้องดําเนินการใดๆ หากการใช้คําสั่ง Invoke-WebRequest โดยทั่วไปของคุณคือการดึงข้อมูลเนื้อหา (เช่น การดาวน์โหลดไฟล์หรือการอ่านข้อความคงที่) และคุณไม่ได้พึ่งพาการโต้ตอบของไซต์ขั้นสูงหรือการแยกวิเคราะห์ HTML DOM ลักษณะการทํางานเริ่มต้นใหม่มีความปลอดภัยมากขึ้น สคริปต์ที่ฝังอยู่ในเนื้อหาเว็บจะไม่ทํางานโดยไม่ได้รับอนุญาตจากคุณ และนี่คือการกําหนดค่าที่แนะนําสําหรับสถานการณ์ส่วนใหญ่ 

สําหรับการใช้งานแบบโต้ตอบ เพียงตอบกลับ No ไปยังพร้อมท์ความปลอดภัยใหม่ (หรือกด Enter เพื่อยอมรับค่าเริ่มต้น) และเรียกใช้คําสั่งของคุณอีกครั้งด้วยพารามิเตอร์ -UseBasicParsing เพื่อเรียกใช้เนื้อหาอย่างปลอดภัย วิธีนี้จะหลีกเลี่ยงการดําเนินการโค้ดสคริปต์ใดๆ ในหน้าที่ดึงข้อมูล ถ้าคุณดึงข้อมูลเนื้อหาเว็บแบบโต้ตอบบ่อยๆ ให้พิจารณาใช้พารามิเตอร์ -UseBasicParsing ตามค่าเริ่มต้นในคําสั่งของคุณเพื่อข้ามพร้อมท์ทั้งหมดและรับรองความปลอดภัยสูงสุด 

สําหรับสคริปต์อัตโนมัติหรืองานที่กําหนดเวลาไว้ ให้อัปเดตเพื่อรวมพารามิเตอร์ -UseBasicParsing ในการเรียก Invoke-WebRequest การดําเนินการนี้จะเลือกลักษณะการทํางานที่ปลอดภัยไว้ล่วงหน้าเพื่อไม่ให้พร้อมท์ปรากฏขึ้น และสคริปต์ของคุณยังคงทํางานต่อไปโดยไม่มีการขัดจังหวะ เมื่อทําเช่นนี้ คุณจึงมั่นใจได้ว่าระบบอัตโนมัติของคุณจะทํางานได้อย่างราบรื่นหลังจากการอัปเดตในขณะที่ยังคงใช้ประโยชน์จากความปลอดภัยที่ได้รับการปรับปรุง

• สําหรับสคริปต์ที่เรียกใช้ด้วยตัวเลือก -NoProfile: ถ้าสคริปต์มีการเกิดขึ้นหลายครั้งของการเรียก Invoke-WebRequest ให้ประกาศ $PSDefaultParameterValues['Invoke-WebRequest:UseBasicParsing'] = $true ที่ด้านบนของสคริปต์

• เมื่อใช้ Invoke-WebRequest กับพารามิเตอร์ -UseBasicParsing การแยกวิเคราะห์ Full Document Object Model (DOM) โดยใช้คอมโพเนนต์ของ Internet Explorer (HTMLDocument Interface (mshtml)) ไม่สามารถทําได้

สําหรับสคริปต์หรือระบบอัตโนมัติที่จัดการกับเนื้อหาเว็บที่ไม่น่าเชื่อถือหรือสาธารณะ และต้องใช้การประมวลผลโครงสร้างหรือฟอร์ม HTML ให้พิจารณา ปรับโครงสร้าง ใหม่หรืออัปเดตเพื่อความปลอดภัยในระยะยาว แทนที่จะพึ่งพา PowerShell เพื่อแยกวิเคราะห์และเรียกใช้สคริปต์เว็บเพจที่อาจเป็นอันตรายคุณสามารถ: 

• ใช้วิธีหรือไลบรารีการแยกวิเคราะห์แบบอื่น (ตัวอย่างเช่น ถือว่าเนื้อหาเว็บเพจเป็นข้อความธรรมดาหรือ XML โดยใช้ regex หรือไลบรารีการแยกวิเคราะห์ XML/HTML ที่ไม่ได้ดําเนินการสคริปต์)

• ปรับปรุงวิธีการโต้ตอบเว็บของคุณให้ทันสมัย ซึ่งอาจใช้ PowerShell Core เวอร์ชันที่ใหม่กว่า (เวอร์ชัน 7.x หรือใหม่กว่า) ซึ่งไม่ได้ขึ้นอยู่กับโปรแกรมของ Internet Explorer และหลีกเลี่ยงการเรียกใช้สคริปต์ หรือโดยใช้เครื่องมือการขูดเว็บเฉพาะที่จัดการเนื้อหาได้อย่างปลอดภัยมากขึ้น จํากัดการพึ่งพาคุณลักษณะเฉพาะของ Internet Explorer เนื่องจาก Internet Explorer ไม่ได้รับการสนับสนุน วางแผนที่จะเขียนส่วนต่างๆ ของสคริปต์ของคุณใหม่โดยขึ้นอยู่กับฟีเจอร์เหล่านั้น เพื่อให้สามารถทํางานในสภาพแวดล้อมที่มีการจัดการเนื้อหาเว็บได้อย่างปลอดภัย

  • Invoke-WebRequest ใน PowerShell Core (เวอร์ชัน 7.x หรือใหม่กว่า) ไม่รองรับการแยกวิเคราะห์ DOM โดยใช้คอมโพเนนต์ของ Internet Explorer การแยกวิเคราะห์เริ่มต้นจะเรียกเนื้อหาได้อย่างปลอดภัยโดยไม่มีการดําเนินการสคริปต์

• เป้าหมายของการปรับโครงสร้างใหม่คือการบรรลุฟังก์ชันการทํางานที่คุณต้องการโดยไม่ต้องเผชิญกับความเสี่ยงด้านความปลอดภัย จึงโอบกอดค่าเริ่มต้นที่ปลอดภัยยิ่งขึ้นที่นําเสนอโดยการเปลี่ยนแปลงนี้

ถ้าคุณมีความต้องการเฉพาะในการใช้ความสามารถในการแยกวิเคราะห์ HTML แบบเต็มของคําสั่ง Invoke-WebRequest (เช่น การโต้ตอบกับเขตข้อมูลฟอร์มหรือการขูดข้อมูลที่มีโครงสร้าง) และคุณเชื่อถือแหล่งที่มาของเนื้อหาเว็บ คุณยังคงสามารถดําเนินการต่อกับลักษณะการทํางานของการแยกวิเคราะห์แบบดั้งเดิมได้ทีละกรณี ในเซสชันแบบโต้ตอบ นี่หมายความว่าการเลือก ใช่ ที่พร้อมท์การยืนยันเพื่ออนุญาตให้การดําเนินการดําเนินการต่อ คุณจะได้รับการแจ้งเตือนเกี่ยวกับความเสี่ยงด้านความปลอดภัยทุกครั้งที่คุณทําเช่นนั้น การดําเนินการโดยไม่มีพารามิเตอร์ -UseBasicParsing ควรถูกจํากัดตามสถานการณ์ที่คุณเชื่อถือเนื้อหาเว็บอย่างเต็มรูปแบบ (ตัวอย่างเช่น แอปพลิเคชันบนเว็บภายในภายใต้การควบคุมของคุณหรือเว็บไซต์ที่ปลอดภัยที่รู้จัก) 

สําหรับกรณีส่วนใหญ่ สคริปต์ที่ดาวน์โหลดไฟล์หรือดึงข้อมูลเนื้อหาเว็บเป็นข้อความจะยังคงทํางานได้ เมื่อต้องการหลีกเลี่ยงพร้อมท์ ให้เพิ่มพารามิเตอร์ -UseBasicParsing

 สคริปต์ที่ใช้การแยกวิเคราะห์ HTML ขั้นสูง (เช่น ฟอร์มหรือ DOM) อาจค้างหรือแสดงผลข้อมูลดิบแทนวัตถุที่มีโครงสร้าง คุณจะต้องสลับไปยังการแยกวิเคราะห์พื้นฐานหรือปรับเปลี่ยนสคริปต์ของคุณเพื่อจัดการเนื้อหาที่แตกต่างกัน 

ใช้พารามิเตอร์ -UseBasicParsing กับคําสั่ง Invoke-WebRequest ในสคริปต์ PowerShell เสมอเพื่อให้แน่ใจว่าการดําเนินการที่ปลอดภัยและไม่โต้ตอบ  

ได้ สคริปต์ที่ขึ้นอยู่กับการแยกวิเคราะห์แบบดั้งเดิมต้องได้รับการอัปเดตเพื่อเข้าร่วมหรือปรับแฟกเตอร์ใหม่

การเปลี่ยนแปลงใน PowerShell สามารถใช้ได้กับทั้งการอัปเดตมาตรฐานและการอัปเดต Hotpatch ซึ่งส่งผลให้เกิดการเปลี่ยนแปลงลักษณะการทํางานแบบเดียวกัน

ได้ PowerShell 7 ใช้การแยกวิเคราะห์ที่ปลอดภัยอยู่แล้วตามค่าเริ่มต้น

ติดต่อเจ้าของโมดูลสําหรับแผนการสนับสนุน ใช้การเลือกรับเนื้อหาที่เชื่อถือได้เป็นการชั่วคราวขณะโยกย้าย

เมื่อต้องการเตรียมพร้อมและตรวจสอบความถูกต้องของการเปลี่ยนแปลงนี้ เราขอแนะนําให้คุณ: 

• ระบุสคริปต์โดยใช้ฟีเจอร์ DOM

• ทดสอบการทํางานอัตโนมัติด้วยค่าเริ่มต้นใหม่

• จํากัดการเข้าร่วมแบบดั้งเดิมกับแหล่งที่เชื่อถือได้

• วางแผนการปรับแฟกเตอร์สําหรับเนื้อหาที่ไม่น่าเชื่อถือ