mod_ssl源码分析一

最新推荐文章于 2023-05-15 16:52:03 发布

zzhongcy

最新推荐文章于 2023-05-15 16:52:03 发布

阅读量2.2k

点赞数

分类专栏： SSL 文章标签： ssl

SSL 专栏收录该内容

28 篇文章 3 订阅

订阅专栏

apache（httpd-2.2.14） mod_ssl源码分析一

前几天读了张中庆老师的《Apache源代码全景分析》让我受益匪浅，因为公司最近要分析Apache源代码中的mod_ssl部分，但是这本书中这部分介绍的非常少，在此的基础上我开始了mod_ssl的探索：
要分析mod_ssl，首先要分析的openssl在通信中的位置，那就是位于TCP以上，http（应用层以下），它是对应用层数据的加密过程，其中用到了比如RSA，sha1等加密算法，知道了它的位置，那么在apache服务器端它处于什么位置上呢？我们从挂钩入手。

挂钩的概念：从大的方面来看，Apache对HTTP的请求可以分为连接、处理和断开连接三个阶段；从小的方面而言，每个阶段又可以分为更多的子阶段。比如对HTTP的请求，我们可以进一步划分为客户身份验证、客户权限认证、请求校验等阶段，每一个阶段调用相应的函数进行处理。在Apache中，这些子阶段可以用术语“挂钩（HOOK）”来描述。
下面我们来看看mod_ssl的挂钩函数：

static void ssl_register_hooks(apr_pool_t *p)
{
/* ssl_hook_ReadReq needs to use the BrowserMatch settings so must
* run after mod_setenvif's post_read_request hook. */
static const char *pre_prr[] = { "mod_setenvif.c", NULL };
----------------------------------------------------过滤器-----------------------------------------------------
ssl_io_filter_register(p);
----------------------------------------------------过滤器-----------------------------------------------------

----------------------------------------------------挂钩函数-----------------------------------------------------
ap_hook_pre_connection(ssl_hook_pre_connection,NULL,NULL, APR_HOOK_MIDDLE);
ap_hook_test_config   (ssl_hook_ConfigTest,    NULL,NULL, APR_HOOK_MIDDLE);
ap_hook_post_config   (ssl_init_Module,        NULL,NULL, APR_HOOK_MIDDLE);
ap_hook_http_scheme   (ssl_hook_http_scheme,   NULL,NULL, APR_HOOK_MIDDLE);
ap_hook_default_port (ssl_hook_default_port, NULL,NULL, APR_HOOK_MIDDLE);
ap_hook_pre_config    (ssl_hook_pre_config,    NULL,NULL, APR_HOOK_MIDDLE);
ap_hook_child_init    (ssl_init_Child,         NULL,NULL, APR_HOOK_MIDDLE);
ap_hook_check_user_id (ssl_hook_UserCheck,     NULL,NULL, APR_HOOK_FIRST);
ap_hook_fixups        (ssl_hook_Fixup,         NULL,NULL, APR_HOOK_MIDDLE);
ap_hook_access_checker(ssl_hook_Access,        NULL,NULL, APR_HOOK_MIDDLE);
ap_hook_auth_checker (ssl_hook_Auth,          NULL,NULL, APR_HOOK_MIDDLE);
ap_hook_post_read_request(ssl_hook_ReadReq, pre_prr,NULL, APR_HOOK_MIDDLE);
ap_hook_insert_filter (ssl_hook_Insert_Filter, NULL,NULL, APR_HOOK_MIDDLE);
----------------------------------------------------挂钩函数-----------------------------------------------------
/*    ap_hook_handler       (ssl_hook_Upgrade,       NULL,NULL, APR_HOOK_MIDDLE); */
ssl_var_register(p);
APR_REGISTER_OPTIONAL_FN(ssl_proxy_enable);
APR_REGISTER_OPTIONAL_FN(ssl_engine_disable);
APR_REGISTER_OPTIONAL_FN(ssl_extlist_by_oid);
}

上面的代码可以清楚的看到挂钩函数的注册，在此先暂不考虑过滤器的内容虽然它非常重要，挂钩的注册都是以ap_hook_xxx为命名的，而调用则是ap_run_xxx，每一个挂钩的开始部分都是各个模块所通用的比如ap_hook_pre_connection，但是后面的比如ssl_hook_pre_connection则是各个模块对该挂钩的自己的实现，在程序中运行挂钩函数ap_run_pre_connection时,Apache会遍历所用注册过它的模块，调用顺序可以用后面的APR_HOOK_MIDDLE来声明。如果很多的挂钩都是APR_HOOK_MIDDLE顺序，那么Apache将任意执行APR_HOOK_MIDDLE相同的顺序。

下面初探各个挂钩的含义：

ap_hook_pre_connection(ssl_hook_pre_connection,NULL,NULL, APR_HOOK_MIDDLE);
功能：初始化连接上下文,最重要的是初始化了ssl的过滤器，这个过滤器来真正调用read()函数来读取客户端请求。

ap_hook_test_config(ssl_hook_ConfigTest, NULL,NULL, APR_HOOK_MIDDLE);
功能：如果有证书，将列出所有证书文件。

ap_hook_post_config (ssl_init_Module, NULL,NULL, APR_HOOK_MIDDLE);
功能：这个函数相当复杂，所做的工作也非常之多，主要是读取证书、公私钥之类的操作。

ap_hook_pre_config (ssl_hook_pre_config, NULL,NULL, APR_HOOK_MIDDLE);

功能：初始化加密算法/初始化ssl库/加载加密算法等操作。

ap_hook_child_init (ssl_init_Child, NULL,NULL, APR_HOOK_MIDDLE);

功能：初始化ssl子进程并生成随机种子，重新获得互斥体

ap_hook_post_read_request(ssl_hook_ReadReq, pre_prr,NULL, APR_HOOK_MIDDLE);
功能：对url进行判断是否正确。

ap_hook_insert_filter (ssl_hook_Insert_Filter, NULL,NULL, APR_HOOK_MIDDLE);
功能：插入ssl过滤器。

在具体分析源代码前，对mod_ssl挂钩初步理解后我们来看看mod_ssl的挂钩在Apache中的位置。
要理解mod_ssl在处理流程中的位置，我们首先要理解整个apache是怎么处理请求的。

我们首先看Apache的初始化阶段，其中也是mod_ssl的初始化阶段:

Apache运行MAIN函数入口->首先要将相应的可选挂钩注册到核心->初始化在命令行输入的指令信息并赋值->分配全局内存池->将读取配置文件的命令行指令信息存放在相应的链表中->Apache根据指令加载与连接模块->对通过命令行传入的参数进行重写，只有mpm才用到->对指令进行进一步解析->读取配置文件，并生成配置树->

注：Apache总是从读取配置文件如httpd.conf开始的，所有的指令读取后最重要保存到内存中。Apache是使用树结构保存所有的指令（ap_directive_t），在整个配置文件预处理结束后，整个配置文件将转换为ap_directive_t配置树结构。在这个阶段Apache会调用ap_set_listener函数来创建套接字，换句话说，Apache的socket是在读取配置文件时创建的。

->运行ap_run_pre_config()挂钩
注：在处理配置树前，需要修改配置树的模块在此修改配置树，其中mod_ssl实现该挂钩，对应的挂钩函数为ssl_hook_pre_config()，在这个挂钩中，mod_ssl会初始化算法内存，加载ERR算法字符串，初始化SSL的lib库，加载所有的加密算法，判断SSL版本号，注册内存清理函数的操作。

->处理配置树->所有挂钩排序->检验配置文件挂钩ap_run_test_config()->
注：其中mod_ssl也对该挂钩进行了实现，但是从日志打出的结果看，mod_ssl什么也没有做

->运行ap_run_open_logs()挂钩
注：虽然mod_ssl没有在这个阶段有类似的处理，但这个挂钩在理解整个过程中还是很重要的，其中的mpm模块的prefork_open_logs()（linux系统）在这个挂钩中对套接字进行侦听等操作，包括套接字与指定IP地址/端口绑定在一起，同时在指定的端口上进行等重要操作。

->运行挂钩ap_run_post_config()(运行读取配置文件之后的挂钩函数)其中的mod_ssl的挂钩ssl_init_Module()实现了具体操作。
注：这个挂钩在mod_ssl的初始化过程中时最重要的函数，我们可以单独用一个子流程来描述它

ap_run_post_config()(ssl_init_Module())子流程（获得子进程id赋给mod_ssl模块配置结构->注册内存清理函数->初始化SSLModConfigRec结构(这个数据结构在mod_ssl数据结构分析中具体介绍)->将虚拟主机中相关端口赋值给apr_port_t
如果没有默认为443->得到虚拟主机支持的协议，与“https”做比较->ssl随机种子->找到证书的存放路径->读取证书，插入到全局配置中->判断公钥类型->读私钥文件->暂时初始化一个rsa和DH算法->ssl初始化互斥体->初始化相应的虚拟主机并初始化虚拟主机的公私钥->
初始化检查虚拟主机相关选项：主要是检查https端口是否被占用和冲突问题）
->进入主循环->清空所有挂钩函数->遍历所有模块注册的挂钩函数->再次运行读取配置文件，并生成配置树->运行挂钩ap_run_post_config()的过程->ap_mpm_run()
注：ap_mpm_run()为多进程或多线程函数的入口。从这开始Apache将开启多进程（linux）处理客户端发送来的请求。

重点过程总结：
1.open_logs在主函数中被调用，而且是在ap_run_mpm调用之前。这意味着当主程序启动后，对应的端口就已经被创建完毕，并处于侦听状态。
2.套接字的创建是在读取配置文件的时候进行的。
int main(int argc, const char * const argv[])
char c;
int configtestonly = 0;
const char *confname = SERVER_CONFIG_FILE;
const char *def_server_root = HTTPD_ROOT;
const char *temp_error_log = NULL;
const char *error;
process_rec *process;
server_rec *server_conf;
apr_pool_t *pglobal;                                                                                       一些必要的初始化
apr_pool_t *pconf;
apr_pool_t *plog; /* Pool of log streams, reset _after_ each read of conf */
apr_pool_t *ptemp; /* Pool for temporary config stuff, reset often */
apr_pool_t *pcommands; /* Pool for -D, -C and -c switches */
apr_getopt_t *opt;
apr_status_t rv;
module **mod;
const char *optarg;
APR_OPTIONAL_FN_TYPE(ap_signal_server) *signal_server;注册可选挂钩函数
AP_MONCONTROL(0); /* turn off profiling of startup */                                     便于测试用的测试函数
process = init_process(&argc, &argv);                                             初始化输入的指令信息，并为指令赋值
pglobal = process->pool;
pconf = process->pconf;
ap_server_argv0 = process->short_name;
#if APR_CHARSET_EBCDIC
if (ap_init_ebcdic(pglobal) != APR_SUCCESS) {
destroy_and_exit_process(process, 1);
#endif
apr_pool_create(&pcommands, pglobal);                                                                               为指令分配内存池
apr_pool_tag(pcommands, "pcommands");
ap_server_pre_read_config = apr_array_make(pcommands, 1, sizeof(char *)); 将读取配置文件之前的命令行指令信息存放在链表中
ap_server_post_read_config = apr_array_make(pcommands, 1, sizeof(char *));     将读取配置文件之后的命令行指令信息存放在链表中
ap_server_config_defines   = apr_array_make(pcommands, 1, sizeof(char *)); 将配置文件中的指令信息存放在链表中
error = ap_setup_prelinked_modules(process);                                                  Apache根据指令加载预连接模块，如果错了就删除指令分配的内存
if (error) {
ap_log_error(APLOG_MARK, APLOG_STARTUP|APLOG_EMERG, 0, NULL, "%s: %s",
ap_server_argv0, error);
destroy_and_exit_process(process, 1);
ap_run_rewrite_args(process);                             对通过命令行传入的参数进行重写，只有mpm才用到
/* Maintain AP_SERVER_BASEARGS list in http_main.h to allow the MPM
* to safely pass on our args from its rewrite_args() handler.
apr_getopt_init(&opt, pcommands, process->argc, process->argv);       对指令进行进一步解析，用下面代码进行比较
while ((rv = apr_getopt(opt, AP_SERVER_BASEARGS, &c, &optarg))
== APR_SUCCESS) {
char **new;
switch (c) {
case 'c':
new = (char **)apr_array_push(ap_server_post_read_config);
*new = apr_pstrdup(pcommands, optarg);
break;
case 'C':
new = (char **)apr_array_push(ap_server_pre_read_config);
*new = apr_pstrdup(pcommands, optarg);
break;
case 'd':
def_server_root = optarg;
break;
case 'D':
new = (char **)apr_array_push(ap_server_config_defines);
*new = apr_pstrdup(pcommands, optarg);
/* Setting -D DUMP_VHOSTS is equivalent to setting -S */
if (strcmp(optarg, "DUMP_VHOSTS") == 0)
configtestonly = 1;
/* Setting -D DUMP_MODULES is equivalent to setting -M */
if (strcmp(optarg, "DUMP_MODULES") == 0)
configtestonly = 1;
break;
case 'e':
if (strcasecmp(optarg, "emerg") == 0) {
ap_default_loglevel = APLOG_EMERG;
else if (strcasecmp(optarg, "alert") == 0) {
ap_default_loglevel = APLOG_ALERT;
else if (strcasecmp(optarg, "crit") == 0) {
ap_default_loglevel = APLOG_CRIT;
else if (strncasecmp(optarg, "err", 3) == 0) {
ap_default_loglevel = APLOG_ERR;
else if (strncasecmp(optarg, "warn", 4) == 0) {
ap_default_loglevel = APLOG_WARNING;
else if (strcasecmp(optarg, "notice") == 0) {
ap_default_loglevel = APLOG_NOTICE;
else if (strcasecmp(optarg, "info") == 0) {
ap_default_loglevel = APLOG_INFO;
else if (strcasecmp(optarg, "debug") == 0) {
ap_default_loglevel = APLOG_DEBUG;
else {
usage(process);
break;
case 'E':
temp_error_log = apr_pstrdup(process->pool, optarg);
break;
case 'X':
new = (char **)apr_array_push(ap_server_config_defines);
*new = "DEBUG";
break;
case 'f':
confname = optarg;
break;
case 'v':
printf("Server version: %s/n", ap_get_server_description());
printf("Server built:   %s/n", ap_get_server_built());
destroy_and_exit_process(process, 0);
case 'V':
show_compile_settings();
destroy_and_exit_process(process, 0);
case 'l':
ap_show_modules();
destroy_and_exit_process(process, 0);
case 'L':
ap_show_directives();
destroy_and_exit_process(process, 0);
case 't':
configtestonly = 1;
break;
case 'S':
configtestonly = 1;
new = (char **)apr_array_push(ap_server_config_defines);
*new = "DUMP_VHOSTS";
break;
case 'M':
configtestonly = 1;
new = (char **)apr_array_push(ap_server_config_defines);
*new = "DUMP_MODULES";
break;
case 'h':
case '?':
usage(process);
/* bad cmdline option? then we die */
if (rv != APR_EOF || opt->ind < opt->argc) {
usage(process);
apr_pool_create(&plog, pglobal);                                          分配全局内存池
apr_pool_tag(plog, "plog");
apr_pool_create(&ptemp, pconf);                                           为配置分配内存池
apr_pool_tag(ptemp, "ptemp");
/* Note that we preflight the config file once
* before reading it _again_ in the main loop.
* This allows things, log files configuration
* for example, to settle down.
ap_server_root = def_server_root;                                          设置根目录路径
if (temp_error_log) {
ap_replace_stderr_log(process->pool, temp_error_log);
server_conf = ap_read_config(process, ptemp, confname, &ap_conftree);                    读取配置文件，并生成配置树
if (!server_conf) {                                                                         如果读取失败则释放内存池并退出
destroy_and_exit_process(process, 1);
if (ap_run_pre_config(pconf, plog, ptemp) != OK) {                           在处理配置树前，需要修改配置树的模块在此修改配置树
ap_log_error(APLOG_MARK, APLOG_STARTUP |APLOG_ERR, 0,                                                                              如果错误则释放内存池并退出
NULL, "Pre-configuration failed");
destroy_and_exit_process(process, 1);
rv = ap_process_config_tree(server_conf, ap_conftree,                                                               处理配置树
process->pconf, ptemp);
if (rv == OK) {                                                                           如果配置树读取成功则
ap_fixup_virtual_hosts(pconf, server_conf);                                                   合并虚拟机配置并做一些初始化
ap_fini_vhost_config(pconf, server_conf);
apr_hook_sort_all();                                                                                 所有挂钩排序
if (configtestonly) {                                                                                  测试配置文件
ap_run_test_config(pconf, server_conf);                                                  检验配置文件挂钩（mod_ssl在其中有实现）
ap_log_error(APLOG_MARK, APLOG_STARTUP, 0, NULL, "Syntax OK");
destroy_and_exit_process(process, 0);
signal_server = APR_RETRIEVE_OPTIONAL_FN(ap_signal_server);                    重新注册挂钩函数
if (signal_server) {
int exit_status;
if (signal_server(&exit_status, pconf) != 0) {
destroy_and_exit_process(process, exit_status);
/* If our config failed, deal with that here. */
if (rv != OK) {                                                                   如果配置树错误则释放内存池并退出
destroy_and_exit_process(process, 1);
apr_pool_clear(plog);                                                          清除日志的内存池空间
if ( ap_run_open_logs(pconf, plog, ptemp, server_conf) != OK) {                                                                                    运行日志挂钩函数（socket的相关实现），如果错误则记录日志并清空内存池退出。
ap_log_error(APLOG_MARK, APLOG_STARTUP |APLOG_ERR,
0, NULL, "Unable to open logs");
destroy_and_exit_process(process, 1);
if ( ap_run_post_config(pconf, plog, ptemp, server_conf) != OK) {                           运行读取配置文件之后的挂钩函数,如果错误则记录日志并清空内存池退出。
ap_log_error(APLOG_MARK, APLOG_STARTUP |APLOG_ERR, 0, NULL, "Configuration Failed");
destroy_and_exit_process(process, 1);
apr_pool_destroy(ptemp);
for (;;) {                                                                            进入主循环。
apr_hook_deregister_all();                                                                                   清空所有挂钩函数。
apr_pool_clear(pconf);                                                                                     清空配置文件内存池。
for (mod = ap_prelinked_modules; *mod != NULL; mod++) {                         遍历所有模块进行挂钩的注册。
ap_register_hooks(*mod, pconf);
/* This is a hack until we finish the code so that it only reads
* the config file once and just operates on the tree already in
* memory. rbb
ap_conftree = NULL;                                                                                清空配置树
apr_pool_create(&ptemp, pconf);                                                                                   配置文件内存池的建立
apr_pool_tag(ptemp, "ptemp");
ap_server_root = def_server_root;                                                                                  设置服务器根目录
server_conf = ap_read_config(process, ptemp, confname, &ap_conftree);                            读取配置文件并生成配置树
if (!server_conf) {                                                                                     如果错误则清空内存池并退出
destroy_and_exit_process(process, 1);
if (ap_run_pre_config(pconf, plog, ptemp) != OK) {                                                          在处理配置树前，需要修改配置树的模块在此修改配置树
ap_log_error(APLOG_MARK, APLOG_STARTUP |APLOG_ERR,                                如果错误则释放内存池并退出
0, NULL, "Pre-configuration failed");
destroy_and_exit_process(process, 1);
if (ap_process_config_tree(server_conf, ap_conftree, process->pconf,ptemp) != OK) {                                                如果错误则释放内存池并退出
destroy_and_exit_process(process, 1);
ap_fixup_virtual_hosts(pconf, server_conf);                                                            合并虚拟机配置并做一些初始化
ap_fini_vhost_config(pconf, server_conf);
apr_hook_sort_all();                                                                                 对所有挂钩进行排序
apr_pool_clear(plog);                                                                                清除所用内存池
if (ap_run_open_logs(pconf, plog, ptemp, server_conf) != OK) {                       运行日志挂钩函数（socket的相关实现），如果错误则记录日志并清空内存池退出。
ap_log_error(APLOG_MARK, APLOG_STARTUP |APLOG_ERR,
0, NULL, "Unable to open logs");
destroy_and_exit_process(process, 1);
if (ap_run_post_config(pconf, plog, ptemp, server_conf) != OK) {                     运行读取配置文件之后的挂钩函数
ap_log_error(APLOG_MARK, APLOG_STARTUP |APLOG_ERR,
0, NULL, "Configuration Failed");
destroy_and_exit_process(process, 1);
apr_pool_destroy(ptemp);
apr_pool_lock(pconf, 1);                                                                           什么也没有做
ap_run_optional_fn_retrieve();
if (ap_mpm_run(pconf, plog, server_conf))                                           运行多进程或多线程来创建子进程或子线程
break;
apr_pool_lock(pconf, 0);
     apr_pool_lock(pconf, 0);
     apr_pool_lock(pconf, 0);
destroy_and_exit_process(process, 0);
return 0; /* Termination 'ok' */

zzhongcy

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
4
评论
mod_ssl源码分析一

apache（httpd-2.2.14） mod_ssl源码分析一前几天读了张中庆老师的《Apache源代码全景分析》让我受益匪浅，因为公司最近要分析Apache源代码中的mod_ssl部分，但是这本书中这部分介绍的非常少，在此的基础上我开始了mod_ssl的探索：要分析mod_ssl，首先要分析的openssl在通信中的位置，那就是位于TCP以上，http（应用层以下
复制链接

扫一扫