与SNI

如果远程服务器使用SNI(即在一个IP地址上共享多个SSL主机)，则需要发送正确的主机名以获得正确的证书。

openssl s_client -showcerts -servername www.example.com -connect www.example.com:443 </dev/null

没有SNI

如果远程服务器没有使用SNI，那么你可以跳过-servername parameter:

openssl s_client -showcerts -connect www.example.com:443 </dev/null

要查看站点证书的完整细节，您也可以使用以下命令链:

$ echo | \
    openssl s_client -servername www.example.com -connect www.example.com:443 2>/dev/null | \
    openssl x509 -text

您可以使用next bash脚本获取并存储服务器根证书:

CERTS=$(echo -n | openssl s_client -connect $HOST_NAME:$PORT -showcerts | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p')
echo "$CERTS" | awk -v RS="-----BEGIN CERTIFICATE-----" 'NR > 1 { printf RS $0 > "'$SERVER_ROOT_CERTIFICATE'"; close("'$SERVER_ROOT_CERTIFICATE'") }'

只需覆盖所需的变量。

从远程服务器以PEM格式提取证书的一行程序，这次使用sed:

openssl s_client -connect www.google.com:443 2>/dev/null </dev/null |  sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p'

启动客户端:

openssl s_client -showcerts stackoverflow.com:443

通过停止STDIN (CTRL+D)或终止进程(CTRL+C)退出。

禁用输入，并在显示证书后强制客户端退出。

openssl s_client -showcerts stackoverflow.com:443 < /dev/null

事实证明这里有更多的复杂性:我需要提供更多的细节来启动它。我认为这与这是一个需要客户端身份验证的连接有关，而握手需要更多的信息才能继续到转储证书的阶段。

下面是我的工作命令:

openssl s_client -connect host:port -key our_private_key.pem -showcerts \
                 -cert our_server-signed_cert.pem

希望这对那些需要更多信息的人来说是一个正确的方向。

我也有同样的挑战，然后我发现openssl不返回根ca。我已经专门为此目的构建了一个替代方案，这可能对其他开发人员有用，参见这里:GitHub -证书开锁器

使用

打印到控制台

crip print --url=https://stackoverflow.com/ --format=pem

导出到p12信任库

crip export pkcs12 --url=https://stackoverflow.com/

如果需要不同的输出，可以将pkcs12选项替换为pem或der。