我有一个PHP脚本来检查URL的可用性(基本上，当URL可以在浏览器中打开时，该脚本应该为给定的URL返回true，反之亦然(。我偶然发现了一个URL：https://thepiratebay.gd/.这个URL可以在浏览器中正确打开，但fsockopen((只是由于SSL握手错误而失败。在PHP中调试fsockopen((的选项不多，但在深入研究它的同时，我发现我也无法连接到https://thepiratebay.gd/使用控制台openssl客户端：
openssl s_client -connect thepiratebay.gd:443
CONNECTED(00000003)
39613:error:14077438:SSL routines:SSL23_GET_SERVER_HELLO:tlsv1 alert internal error:/SourceCache/OpenSSL098/OpenSSL098-50/src/ssl/s23_clnt.c:602:
使用web浏览器或curl，这个网站似乎可以很好地打开，但是，我找不到通过openssl连接到它的方法。显然，服务器使用TLS 1.2和ECDHE-ECDSA-AES128-GCM-SHA256密码，但即使我强制使用openssl，它仍然失败：
openssl s_client -cipher ECDHE-ECDSA-AES128-GCM-SHA256 -connect thepiratebay.gd:443 -tls1_2
CONNECTED(00000003)
140735195829088:error:14094438:SSL routines:SSL3_READ_BYTES:tlsv1 alert internal error:s3_pkt.c:1256:SSL alert number 80
140735195829088:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:596:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 0 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
Protocol : TLSv1.2
Cipher : 0000
Session-ID:
Session-ID-ctx:
Master-Key:
Key-Arg : None
PSK identity: None
PSK identity hint: None
SRP username: None
Start Time: 1432931347
Timeout : 7200 (sec)
Verify return code: 0 (ok)
---
我尝试过各种各样的openssl版本：0.9.8y、1.0.1g，以及最新的0.9.8zf和1.0.2a。我还尝试过在至少5台服务器上运行它(CentOS、Debian、OSX(，但没有成功。
其他网站似乎都处理得很好，这里有一个成功握手输出的例子：
openssl s_client -connect stackoverflow.com:443 -tls1
CONNECTED(00000003)
depth=1 /C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert SHA2 High Assurance Server CA
verify error:num=20:unable to get local issuer certificate
verify return:0
---
Certificate chain
0 s:/C=US/ST=NY/L=New York/O=Stack Exchange, Inc./CN=*.stackexchange.com
i:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert SHA2 High Assurance Server CA
1 s:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert SHA2 High Assurance Server CA
i:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert High Assurance EV Root CA
---
Server certificate
-----BEGIN CERTIFICATE-----
MIIGajCCBVKgAwIBAgIQCn1PE//Ffo4Be8tPBlsAZDANBgkqhkiG9w0BAQsFADBw
MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMRkwFwYDVQQLExB3
d3cuZGlnaWNlcnQuY29tMS8wLQYDVQQDEyZEaWdpQ2VydCBTSEEyIEhpZ2ggQXNz
dXJhbmNlIFNlcnZlciBDQTAeFw0xMzEwMjIxMjAwMDFaFw0xNjA3MDYxMjAwMDBa
MGoxCzAJBgNVBAYTAlVTMQswCQYDVQQIEwJOWTERMA8GA1UEBxMITmV3IFlvcmsx
<---skipped few lines--->
qOHCjaUIx7vKszN4cqbvyry/NdxYkPCC7S8Eks8NjSyppzRL79tU0Yr1MUhVEd6h
GjB2qDwvAGqyWmLz1Q/l82lZbXyBF26DVTJ3RFRUzzieyzKucaVgohI7HC2yyJ9Y
AsE7wvVK4odQI3fRjOsLRaXjFtpiaor0rERUxM4mg7jj05leRBkSazNjv2xvCL5/
Qqm5PN666tREQwvgvXZgg+ZlKWkFyOq6X3THstM6CC8DTGED0cb94WPQA4YTp9OQ
rS3+OedQN+Nlu80Sk8Y=
-----END CERTIFICATE-----
subject=/C=US/ST=NY/L=New York/O=Stack Exchange, Inc./CN=*.stackexchange.com
issuer=/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert SHA2 High Assurance Server CA
---
No client certificate CA names sent
---
SSL handshake has read 3956 bytes and written 426 bytes
---
New, TLSv1/SSLv3, Cipher is DHE-RSA-AES128-SHA
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
Protocol : TLSv1
Cipher : DHE-RSA-AES128-SHA
Session-ID: 2E38670F2CABEF3D65FAC67DB6D2E00DBACA4519E50B463D57FCFF8410640BF5
Session-ID-ctx:
Master-Key: 4C63E5502FF7DD36853048E775435A76CB1FDEB37104D6714B1C37D89482D8111B93574D2B3D7F38A1EEFF85D69F9F54
Key-Arg : None
TLS session ticket lifetime hint: 300 (seconds)
TLS session ticket:
0000 - 39 a8 c2 5f c5 15 04 b3-20 34 af fe 20 8e 4d 6c 9.._.... 4.. .Ml
0010 - 6e 63 f1 e3 45 fd 2a 2c-d9 3c 0d ac 11 ab c0 c9 nc..E.*,.<......
0020 - ce 51 19 89 13 49 53 a0-af 87 89 b0 5d e2 c5 92 .Q...IS.....]...
0030 - af e5 84 28 03 4e 1e 98-4c a7 03 d5 5f fc 15 69 ...(.N..L..._..i
0040 - 7c 83 d2 98 7d 42 50 31-30 00 d7 a8 3c 85 88 a7 |...}BP10...<...
0050 - cd c0 bb 45 c8 12 b1 c8-4b 76 3c 41 5e 47 04 b5 ...E....Kv<A^G..
0060 - 60 67 22 76 60 bb 44 f3-4b 3d 3d 99 af 0e dd 0d `g"v`.D.K==.....
0070 - 13 95 db 94 90 c2 0f 47-26 04 65 6b 71 b2 f8 1c .......G&.ekq...
0080 - 31 95 82 8b 00 38 59 08-1e 84 80 dc da 04 5c f0 1....8Y.......'.
0090 - ae cc 2b ac 55 0f 39 59-0b 39 7d c7 16 b9 60 ef ..+.U.9Y.9}...`.
Start Time: 1432930782
Timeout : 7200 (sec)
Verify return code: 0 (ok)
很难相信所有这些openssl版本都有相同的错误，所以我认为我做错了什么。
有人能建议如何使用openssl连接到这个特定的网站吗？
这两个组合不好：
-cipher ECDHE-ECDSA-AES128-GCM-SHA256
和：
error:/SourceCache/OpenSSL098/OpenSSL098-50/src/ssl/s23_clnt.c
OpenSSL 0.9.8没有完全的EC支持。并且它不支持TLS 1.1或1.2。要获得AEAD密码套件，您需要使用TLS 1.2。这意味着您需要OpenSSL 1.0.0或更高版本(IIRC(。
OpenSSL 1.0.1和1.0.2都有，所以最好使用这些版本。
openssl s_client -connect thepiratebay.gd:443 ...
您要查找的命令是：openssl s_client -connect thepiratebay.gd:443 -tls1_2 -servername thepiratebay.gd -CAfile XXX。-servername登记SNI。
当我访问该网站时，服务器已通过AddTrust External CA Root认证。当您访问该网站时，它已通过DigiCert High Assurance EV Root CA认证。当你再次访问该网站时，它得到了COMODO ECC认证机构的认证。
不同的CA和配置与负载均衡器后面的分布式站点通信，每个参与的web服务器的配置略有不同。
除了多个web服务器和配置之外，一些web服务器本身的配置也不正确。它们配置错误，因为它们没有发送构建验证路径所需的链。
链应包括(1(服务器证书；(2( 形成"根"链的次级CA或中间体。对于(2(，可能存在一种或多种中间体。
链应该而不是包含根。你必须有根，它必须是可信的。
使用web浏览器或curl，这个网站似乎可以很好地打开，然而，我无法找到通过openssl连接到它的方法。。。
这是因为由于web服务器配置错误，浏览器携带了数百个根CA和从属CA的列表：(该列表包括AddTrust External CA Root、DigiCert High Assurance EV Root CA和COMODO ECC Root Certificate Authority。
有人能建议如何使用openssl连接到这个特定的网站吗？
好的，对于OpenSSL命令，您应该使用-CAfile。通常，您只需使用类似openssl s_client -connect ... -CAfile DigiCertHighAssuranceEVRootCA.crt的东西(用于通过DigiCert High Assurance EV Root CA认证的服务器(。但这在这种情况下是行不通的。
您必须创建具有所需根CA和从属CA的单个文件。该文件应该是根CA和次级CA的串联，PEM格式是建立验证服务器证书的路径所需的。看起来它至少需要3到4个证书。
或者，您可以放弃构建自己的文件，而使用类似cacert.pem的东西。但使用CA动物园(我对它们的亲切称呼(也有一些风险。有关一些风险，请参阅cacert.pem对我的计算机是唯一的吗？。
从程序上讲，您可以在OpenSSL中使用SSL_CTX_load_verify_locations。连接的PEM文件通过CAfile传递。
我不确定你会在PHP中使用什么。
相关的，cacert.pem有155个根和子。他们中的大多数人不需要证明网站thepiratebay.gd:
$ cat cacert.pem | grep BEGIN | wc -l
155
因此，您希望将CAfile限制为仅用于认证网站所需的内容。
(comment(不确定这是正确的线程，但现在我想知道是否有一种方法可以通过编程跳过其中的一些检查，以减少假阴性的数量。。。
我可能不会放弃检查。既然你了解了正在发生的事情，那么使用这个系统应该比放弃它更容易
重申一下：
仅使用必要的根CA和从属CA
- 您构建它，连接PEM证书
- 创建文件
piratebay-certs.pem - 添加必要的CA
使用具有预定义的受信任根CA和从属CA 的CA Zoo
- 你下载它
cacert.pem
第三种选择是让网站修复其web服务器配置。但如果到目前为止还没有发生，它可能就不会发生。(这可能是一个设计决定——该网站可能使用多个CA来确保没有一个CA可以拒绝该网站。但这并不能解决不完整的链(。
更普遍的观察结果：
我有一个PHP脚本，它检查URL的可用性(基本上，当URL可以在浏览器中打开时，该脚本应该为给定的URL返回true，反之亦然
从piratebay.gd转移到检查随机URL，您可能不得不使用cacert.pem。这是因为随机抽取100万个网站可能会使用所有这些网站。
如果piratebay.gd仍然失败，那么找出cacert.pem缺少什么，然后：
cat cacert.pem > my-expanded-cacert.pem
cat missing-cert.pem >> my-expanded-cacert.pem
由于不同的原因，我收到了相同的错误消息：许多服务器正在使用SNI，这可能会产生此错误。
在我的案例中(一个使用boost_asio+openssl制作的c++客户端(，我使用以下代码修复了它：
char port[] = "https";
string host = "www.server.com"
boost::asio::ip::tcp::resolver::query query(host, port);
...
boost::asio::ssl::context ctx(boost::asio::ssl::context::tlsv12);
...
...
//the following line fix the issue
SSL_set_tlsext_host_name(socket_.native_handle(), host_.c_str());
另请参阅此SO答案。