HOST=gmail-pop.l.google.com
PORT=995

openssl s_client -servername $HOST -connect $HOST:$PORT < /dev/null 2>/dev/null | openssl x509 -outform pem

您可以使用next bash脚本获取并存储服务器根证书:

CERTS=$(echo -n | openssl s_client -connect $HOST_NAME:$PORT -showcerts | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p')
echo "$CERTS" | awk -v RS="-----BEGIN CERTIFICATE-----" 'NR > 1 { printf RS $0 > "'$SERVER_ROOT_CERTIFICATE'"; close("'$SERVER_ROOT_CERTIFICATE'") }'

只需覆盖所需的变量。

我是在这种情况下，从上述命令输出两个证书;所以现在我只提取了第二部分:服务器证书

对不起，命令太长了:

openssl s_client -servername token.actions.githubusercontent.com -showcerts -connect token.actions.githubusercontent.com:443 2>/dev/null </dev/null | awk '/BEGIN CERTIFICATE/ && c++,/END CERTIFICATE/' 

与SNI

如果远程服务器使用SNI(即在一个IP地址上共享多个SSL主机)，则需要发送正确的主机名以获得正确的证书。

openssl s_client -showcerts -servername www.example.com -connect www.example.com:443 </dev/null

没有SNI

如果远程服务器没有使用SNI，那么你可以跳过-servername parameter:

openssl s_client -showcerts -connect www.example.com:443 </dev/null

要查看站点证书的完整细节，您也可以使用以下命令链:

$ echo | \
    openssl s_client -servername www.example.com -connect www.example.com:443 2>/dev/null | \
    openssl x509 -text

我也有同样的挑战，然后我发现openssl不返回根ca。我已经专门为此目的构建了一个替代方案，这可能对其他开发人员有用，参见这里:GitHub -证书开锁器

使用

打印到控制台

crip print --url=https://stackoverflow.com/ --format=pem

导出到p12信任库

crip export pkcs12 --url=https://stackoverflow.com/

如果需要不同的输出，可以将pkcs12选项替换为pem或der。

如果你的服务器是电子邮件服务器(MS Exchange或Zimbra)，你可能需要添加starttls和smtp标志:

openssl s_client -starttls smtp -connect HOST_EMAIL:SECURE_PORT 2>/dev/null </dev/null | sed -ne '/- begin CERTIFICATE-/，/- end CERTIFICATE-/p' > CERTIFICATE_NAME.pem .pem

在那里,

HOST_EMAIL是服务器域，例如mail-server.com。 SECURE_PORT为通信端口，如587、465 CERTIFICATE_NAME输出的文件名(BASE 64/PEM格式)