如何扫描验证网站TLS版本？怎样编程实现公司端点域名批量扫描？

嘿，我来帮你搞定这两个问题——不管是单独验证某个网站的TLS版本，还是批量扫描公司所有端点域名，都有靠谱的办法：

一、扫描并验证网站的TLS版本 #

1. 命令行工具快速检测 #

• OpenSSL：这是最常用的命令行工具，直接连接目标网站就能测试特定TLS版本是否支持。比如要测试TLS 1.2：

  openssl s_client -connect example.com:443 -tls1_2
  

  把tls1_2换成tls1_3、tls1_1或者tls1，就能分别测试对应版本。如果连接成功返回证书信息，说明该版本可用；要是报错，就表示网站不支持这个版本。
• nmap：适合一次性查看网站支持的所有TLS版本和加密套件，命令如下：

  nmap --script ssl-enum-ciphers -p 443 example.com
  

  输出结果会清晰列出网站支持的TLS版本、加密套件强度等细节。

2. 在线手动验证 #

你提到的SSL Labs在线工具确实好用，它会给出非常详细的报告——包括TLS版本支持情况、证书合规性、安全评级等，但缺点是只能单个手动测试，没法批量操作。

二、自动扫描公司所有端点的解决方案 #

如果要批量处理公司的所有域名/端点，最推荐的方式是用代码调用SSL Labs的公开API，完全能实现自动化扫描。

SSL Labs API的实现步骤 #

SSL Labs提供了REST风格的API，流程很清晰：

1. 给目标域名发送扫描启动请求，拿到任务标识；
2. 定期轮询任务状态，直到扫描完成；
3. 获取并解析完整的扫描结果。

示例Python脚本 #

下面是一个简单的脚本，用来批量扫描多个域名：

import requests
import time

def init_scan(domain):
    # 启动扫描请求
    api_url = f"https://api.ssllabs.com/api/v3/analyze?host={domain}&startNew=on"
    resp = requests.get(api_url)
    return resp.json()

def fetch_scan_result(domain):
    # 轮询直到扫描完成
    api_url = f"https://api.ssllabs.com/api/v3/analyze?host={domain}"
    while True:
        resp = requests.get(api_url)
        result = resp.json()
        if result['status'] == 'READY':
            return result
        elif result['status'] == 'ERROR':
            raise Exception(f"扫描 {domain} 出错：{result.get('statusMessage', '未知错误')}")
        print(f"{domain} 扫描中，当前状态：{result['status']}")
        time.sleep(30)  # 每30秒查一次，避免请求太频繁

# 批量扫描示例
company_domains = ["your-domain-1.com", "your-domain-2.com", "api.your-company.com"]
for domain in company_domains:
    print(f"\n开始扫描 {domain}...")
    init_scan(domain)
    scan_result = fetch_scan_result(domain)
    # 提取支持的TLS版本
    supported_tls = set()
    for endpoint in scan_result['endpoints']:
        protocol = endpoint['details']['protocol']
        supported_tls.add(protocol)
    print(f"{domain} 支持的TLS版本：{', '.join(supported_tls)}")

注意事项 #

• API有请求频率限制，别一下子发太多请求，不然会被限流；
• 如果要扫描几十上百个域名，建议用异步框架（比如asyncio）来优化，但一定要控制请求速率；
• 扫描结果里还有超多有用信息，比如证书过期时间、是否存在Heartbleed这类漏洞，你可以根据需求提取对应的字段。

其他可选方案 #

要是不想自己写代码，也可以试试这些工具：

• testssl.sh：开源命令行工具，支持批量导入域名列表，输出详细的TLS/SSL安全报告；
• 企业级的话，Qualys也提供专门的批量扫描服务，但小规模需求用API完全足够。

内容的提问来源于stack exchange，提问作者rajquest