使用openssl从服务器获取证书

我正在尝试获得远程服务器的证书，然后可以将其添加到我的密钥存储库中并在Java应用程序中使用。

一位高级开发人员(他正在度假:)告诉我，我可以运行这个:

openssl s_client -connect host.host:9999

来获得一个原始证书，然后我可以复制和导出。我收到以下输出:

depth=1 /C=NZ/ST=Test State or Province/O=Organization Name/OU=Organizational Unit Name/CN=Test CA
verify error:num=19:self signed certificate in certificate chain
verify return:0
23177:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1086:SSL alert number 40
23177:error:140790E5:SSL routines:SSL23_WRITE:ssl handshake failure:s23_lib.c:188:

我也尝试过这个选项:

-showcerts

还有这个(在Debian上运行):

-CApath /etc/ssl/certs/

但是我得到了同样的错误。

这个消息来源说我可以使用CApath标志，但它似乎没有帮助。我尝试了多种途径，但都无济于事。

请告诉我哪里做错了。

当前回答

最简单的命令行包括PEM输出，将其添加到密钥库中，以及人类可读的输出，还支持SNI，如果您使用HTTP服务器，这很重要:

openssl s_client -servername example.com -connect example.com:443 \
    </dev/null 2>/dev/null | openssl x509 -text

-servername选项用于启用SNI支持，openssl x509 -text以人类可读的格式打印证书。

2016-02-16 20:26:02

其他回答

从远程服务器以PEM格式提取证书的一行程序，这次使用sed:

openssl s_client -connect www.google.com:443 2>/dev/null </dev/null |  sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p'

2018-09-28 10:46:18

您可以使用next bash脚本获取并存储服务器根证书:

CERTS=$(echo -n | openssl s_client -connect $HOST_NAME:$PORT -showcerts | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p')
echo "$CERTS" | awk -v RS="-----BEGIN CERTIFICATE-----" 'NR > 1 { printf RS $0 > "'$SERVER_ROOT_CERTIFICATE'"; close("'$SERVER_ROOT_CERTIFICATE'") }'

只需覆盖所需的变量。

2017-06-30 11:39:21

为了让像我这样尝试在访问AWS CloudFront时遵循这里的好建议但失败的人受益，诀窍是添加-servername domain.name…

来源:https://serverfault.com/a/780450/8972

2017-01-05 04:26:50

已经有了很好的答案。但是值得一提的是，最新的curl版本(>7.88.0)将为您简单地完成此操作…

curl https://example.com -w "%{certs}" -o /dev/null > cacert.pem

如果服务器使用自签名证书，则添加——insecure。并添加——head以避免响应体。

查看可用性和要求: cURL -w certs特性

2022-12-28 22:40:40

只打印证书链，而不打印服务器的证书:

# MYHOST=myhost.com
# MYPORT=443
# openssl s_client -connect ${MYHOST}:${MYPORT} -showcerts 2>/dev/null </dev/null | awk '/^.*'"${MYHOST}"'/,/-----END CERTIFICATE-----/{next;}/-----BEGIN/,/-----END CERTIFICATE-----/{print}'

在CentOS/RHEL 6/7上更新CA信任:

# update-ca-trust enable
# openssl s_client -connect ${MYHOST}:${MYPORT} -showcerts 2>/dev/null </dev/null | awk '/^.*'"${MYHOST}"'/,/-----END CERTIFICATE-----/{next;}/-----BEGIN/,/-----END CERTIFICATE-----/{print}' >/etc/pki/ca-trust/source/anchors/myca.cert
# update-ca-trust extract

关于CentOS/RHEL 5:

# openssl s_client -connect ${MYHOST}:${MYPORT} -showcerts 2>/dev/null </dev/null | awk '/^.*'"${MYHOST}"'/,/-----END CERTIFICATE-----/{next;}/-----BEGIN/,/-----END CERTIFICATE-----/{print}' >>/etc/pki/tls/certs/ca-bundle.crt

2018-04-24 15:14:21

使用openssl从服务器获取证书

推荐文章

最新文章

标签