OpenSSL——s_client 和 s_server

最新推荐文章于 2024-09-11 18:23:44 发布
最新推荐文章于 2024-09-11 18:23:44 发布
阅读量3.1k 收藏 16
点赞数 24
分类专栏： OpenSSL 文章标签： ssl
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u013213069/article/details/132656451
版权

s_server和s_client

（一）生成证书的三种方式

（1）自签名根证书签发

1. 生成自签名的根证书私钥（root.key）和自签名的根证书（root.crt）：

openssl req -newkey rsa:2048 -nodes -keyout root.key -x509 -days 365 -out root.crt

2. 生成服务器证书私钥（server.key）和证书签署请求（server.csr）：

openssl req -newkey rsa:2048 -nodes -keyout server.key -out server.csr

3. 使用自签名的根证书（root.crt）对服务器证书签名，生成服务器证书（server.crt）：

openssl x509 -req -in server.csr -CA root.crt -CAkey root.key -CAcreateserial -out server.crt -days 365

4. 生成客户端证书私钥（client.key）和证书签署请求（client.csr）：

openssl req -newkey rsa:2048 -nodes -keyout client.key -out client.csr

5. 使用自签名的根证书（root.crt）对客户端证书签名，生成客户端证书（client.crt）：

openssl x509 -req -in client.csr -CA root.crt -CAkey root.key -CAcreateserial -out client.crt -days 365

（2）自签名证书

1. 生成服务器证书和密钥：

openssl req -newkey rsa:2048 -nodes -keyout server.key -x509 -days 365 -out server.crt

2. 生成客户端证书和密钥：

openssl req -newkey rsa:2048 -nodes -keyout client.key -x509 -days 365 -out client.crt

（3）只生成服务端证书

openssl genrsa -des3 -out server.key 2048					//des3算法生成私钥
openssl rsa -text -in server.key							//查看私钥内容

openssl req -new -key server.key -out server.csr			//生成证书请求
openssl req -text -in server.csr -noout						//查看申请

openssl x509 -req -days 36500 -in server.csr -signkey server.key -out server.crt // 生成证书

（二）SSL通信过程

在使用OpenSSL进行通信时，一般主要分为以下几个步骤：
1. 协商加密参数：首先，客户端与服务器之间需要协商加密参数，例如使用的加密算法、密钥长度等。这个过程称为握手阶段。在握手阶段，客户端发送ClientHello消息，其中包含支持的加密算法列表和其他相关信息。服务器接收到ClientHello后，发送ServerHello消息，其中包含选择的加密算法和其他参数。
2. 交换证书：在握手过程中，服务器会向客户端发送证书，用于验证服务器的身份。客户端会验证证书的合法性，包括验证证书颁发者的签名和有效期等。如果验证成功，客户端会生成一个随机数，称为Pre-master secret，然后使用服务器的公钥对Pre-master secret进行加密，并发送给服务器。
3. 完成握手：服务器接收到加密后的Pre-master secret后，使用自己的私钥进行解密，得到Pre-master secret。然后，客户端和服务器会使用这个Pre-master secret来生成会话密钥，用于后续的通信加密。双方还会再次验证握手过程中的一些参数，以确保通信的安全性。
4. 加密通信：一旦握手完成，双方就可以开始安全地进行通信了。数据在传输前会使用会话密钥进行加密，以确保传输的机密性。在客户端发送数据时，会使用对称加密算法对数据进行加密，并发送给服务器。服务器收到数据时，使用相同的会话密钥进行解密，并对数据进行处理。
5. 断开连接：当通信结束时，双方可以选择断开连接。可以是客户端或服务器发送一个关闭消息给对方，以结束连接。

（三）SSL认证方式

（1）单向认证

单向认证：客户端验证服务器的合法性，服务器不需要验证客户端，因此仅需要生成服务器的证书和私钥文件即可。

（a）启动 s_server, 并使用服务器证书和私钥进行配置: 
openssl s_server -accept 443 -cert server.crt -key server.key [-tls1_2]

（b）启动 s_client, 并指定要验证的服务器证书: 
openssl s_client -connect localhost:443 -CAfile server.crt [-tls1_2]

在这里插入图片描述

（2）双向认证

双向认证：客户端验证服务器合法性、服务器也会验证客户端合法性，因此需要生成客户端和服务端的证书和私钥文件。

（a）启动 s_server, 并使用服务器证书和私钥进行配置，并指定客户端证书进行验证: 
openssl s_server -accept 443 -cert server.crt -key server.key -CAfile client.crt -Verify 1 [-tls1_2]
参数说明：
- `-accept 8443`：指定服务器监听的端口号为8443。
- `-cert server.crt`：指定服务器证书文件。
- `-key server.key`：指定服务器私钥文件。
- `-CAfile client.crt`：指定客户端证书文件，作为服务器端的根证书列表。
- `-Verify 1`：表示服务器对客户端进行证书验证。
- `[-tls1_2]`： 默认使用tlsV1.3通信, 此过程与TLSV1.2抓包不太一样, 指定TLSV1.2是 -tls1_2

（b）启动 s_client, 并使用客户端证书和私钥进行配置，并指定服务器证书进行验证: 
openssl s_client -connect localhost:443 -cert client.crt -key client.key -CAfile server.crt [-tls1_2]
参数说明：
- `-connect localhost:8443`：指定需要连接的服务器地址和端口号。
- `-cert client.crt`：指定客户端证书文件。
- `-key client.key`：指定客户端私钥文件。
- `-CAfile server.crt`：指定服务器证书文件，作为客户端的根证书列表。

在这里插入图片描述

（四）SSL demo

（1）ssl_client.c

#include <string.h>  
#include <errno.h>  
#include <sys/socket.h>  
#include <resolv.h>  
#include <stdlib.h>  
#include <netinet/in.h>  
#include <arpa/inet.h>  
#include <unistd.h>  
#include <openssl/ssl.h>  
#include <openssl/err.h>  
  
#define MAXBUF 1024  
  
void ShowCerts(SSL * ssl)  
{  
    X509 *cert;  
    char *line;  
  
    cert = SSL_get_peer_certificate(ssl);  
    if (cert != NULL) {  
        printf("数字证书信息:\n");  
        line = X509_NAME_oneline(X509_get_subject_name(cert), 0, 0);  
        printf("证书: %s\n", line);  
        free(line);  
        line = X509_NAME_oneline(X509_get_issuer_name(cert), 0, 0);  
        printf("颁发者: %s\n", line);  
        free(line);  
        X509_free(cert);  
    } else  
        printf("无证书信息！\n");  
}  

int main(int argc, char **argv)  
{  
    int sockfd, len;  
    struct sockaddr_in dest;  
    char buffer[MAXBUF + 1];  
    SSL_CTX *ctx;  
    SSL *ssl;  
  
    if (argc != 3) {  
        printf("参数格式错误！正确用法如下：\n\t\t%s IP地址 端口\n\t比如:\t%s 127.0.0.1 80  \
			此程序用来从某个 IP 地址的服务器某个端口接收最多 MAXBUF 个字节的消息",  \
             argv[0], argv[0]);  
        exit(0);  
    }  
  
    /* SSL 库初始化 */  
    SSL_library_init();  
    OpenSSL_add_all_algorithms();  
    SSL_load_error_strings();  
    ctx = SSL_CTX_new(SSLv23_client_method());  
    if (ctx == NULL) {  
        ERR_print_errors_fp(stdout);  
        exit(1);  
    }  

    if ((sockfd = socket(AF_INET, SOCK_STREAM, 0)) < 0) {  
        perror("Socket");  
        exit(errno);  
    }  
    printf("socket created\n");  

    bzero(&dest, sizeof(dest));  
    dest.sin_family = AF_INET;  
    dest.sin_port = htons(atoi(argv[2]));  
    if (inet_aton(argv[1], (struct in_addr *) &dest.sin_addr.s_addr) == 0) {  
        perror(argv[1]);  
        exit(errno);  
    }  
    printf("address created\n");  
  
    if (connect(sockfd, (struct sockaddr *) &dest, sizeof(dest)) != 0) {  
        perror("Connect ");  
        exit(errno);  
    }  
    printf("server connected\n");  
  
    /* 基于 ctx 产生一个新的 SSL */  
    ssl = SSL_new(ctx);  
    SSL_set_fd(ssl, sockfd);  
    /* 建立 SSL 连接 */  
    if (SSL_connect(ssl) == -1)  
        ERR_print_errors_fp(stderr);  
    else {  
        printf("Connected with %s encryption\n", SSL_get_cipher(ssl));  
        ShowCerts(ssl);  
    }  
  
    /* 接收对方发过来的消息，最多接收 MAXBUF 个字节 */  
    bzero(buffer, MAXBUF + 1);  
    /* 接收服务器来的消息 */  
    len = SSL_read(ssl, buffer, MAXBUF);  
    if (len > 0)  
        printf("接收消息成功:'%s'，共%d个字节的数据\n",  
               buffer, len);  
    else {  
        printf  
            ("消息接收失败！错误代码是%d，错误信息是'%s'\n",  
             errno, strerror(errno));  
        goto finish;  
    }  
    bzero(buffer, MAXBUF + 1);  
    strcpy(buffer, "from client->server");  
    /* 发消息给服务器 */  
    len = SSL_write(ssl, buffer, strlen(buffer));  
    if (len < 0)  
        printf  
            ("消息'%s'发送失败！错误代码是%d，错误信息是'%s'\n",  
             buffer, errno, strerror(errno));  
    else  
        printf("消息'%s'发送成功，共发送了%d个字节！\n",  
               buffer, len);  
  
  finish:  
    /* 关闭连接 */  
    SSL_shutdown(ssl);  
    SSL_free(ssl);  
    close(sockfd);  
    SSL_CTX_free(ctx);  
    return 0;  
}

（2）ssl_server.c

#include <stdio.h>  
#include <stdlib.h>  
#include <errno.h>  
#include <string.h>  
#include <sys/types.h>  
#include <netinet/in.h>  
#include <sys/socket.h>  
#include <sys/wait.h>  
#include <unistd.h>  
#include <arpa/inet.h>  
#include <openssl/ssl.h>  
#include <openssl/err.h>  
  
#define MAXBUF 1024  

int main(int argc, char **argv)  
{  
    int sockfd, new_fd;  
    socklen_t len;  
    struct sockaddr_in my_addr, their_addr;  
    unsigned int myport, lisnum;  
    char buf[MAXBUF + 1];  
    SSL_CTX *ctx;  
  
    if (argv[1])  
        myport = atoi(argv[1]);  
    else  
        myport = 7838;  
  
    if (argv[2])  
        lisnum = atoi(argv[2]);  
    else  
        lisnum = 2;  
  
    /* SSL 库初始化 */  
    SSL_library_init();  
    /* 载入所有 SSL 算法 */  
    OpenSSL_add_all_algorithms();  
    /* 载入所有 SSL 错误消息 */  
    SSL_load_error_strings();  
    /* 以 SSL V2 和 V3 标准兼容方式产生一个 SSL_CTX ，即 SSL Content Text */  
    ctx = SSL_CTX_new(SSLv23_server_method());  
    /* 也可以用 SSLv2_server_method() 或 SSLv3_server_method() 单独表示 V2 或 V3标准 */  
    if (ctx == NULL) {  
        ERR_print_errors_fp(stdout);  
        exit(1);  
    }  
    /* 载入用户的数字证书， 此证书用来发送给客户端。 证书里包含有公钥 */  
    if (SSL_CTX_use_certificate_file(ctx, argv[4], SSL_FILETYPE_PEM) <= 0) {  
        ERR_print_errors_fp(stdout);  
        exit(1);  
    }  
    /* 载入用户私钥 */  
    if (SSL_CTX_use_PrivateKey_file(ctx, argv[5], SSL_FILETYPE_PEM) <= 0) {  
        ERR_print_errors_fp(stdout);  
        exit(1);  
    }  
    /* 检查用户私钥是否正确 */  
    if (!SSL_CTX_check_private_key(ctx)) {  
        ERR_print_errors_fp(stdout);  
        exit(1);  
    }  
  
    if ((sockfd = socket(PF_INET, SOCK_STREAM, 0)) == -1) {  
        perror("socket");  
        exit(1);  
    } else  
        printf("socket created\n");  
  
    bzero(&my_addr, sizeof(my_addr));  
    my_addr.sin_family = PF_INET;  
    my_addr.sin_port = htons(myport);  
    if (argv[3])  
        my_addr.sin_addr.s_addr = inet_addr(argv[3]);  
    else  
        my_addr.sin_addr.s_addr = INADDR_ANY;  
  
    if (bind(sockfd, (struct sockaddr *) &my_addr, sizeof(struct sockaddr))  
        == -1) {  
        perror("bind");  
        exit(1);  
    } else  
        printf("binded\n");  
  
    if (listen(sockfd, lisnum) == -1) {  
        perror("listen");  
        exit(1);  
    } else  
        printf("begin listen\n");  
  
    while (1) {  
        SSL *ssl;  
        len = sizeof(struct sockaddr);  
        if ((new_fd = accept(sockfd, (struct sockaddr *) &their_addr,  &len)) == -1) {  
            perror("accept");  
            exit(errno);  
        } else  
            printf("server: got connection from %s, port %d, socket %d\n",  
                   inet_ntoa(their_addr.sin_addr),  
                   ntohs(their_addr.sin_port), new_fd);  
  
        /* 基于 ctx 产生一个新的 SSL */  
        ssl = SSL_new(ctx);  
        /* 将连接用户的 socket 加入到 SSL */  
        SSL_set_fd(ssl, new_fd);  
        /* 建立 SSL 连接 */  
        if (SSL_accept(ssl) == -1) {  
            perror("accept");  
            close(new_fd);  
            break;  
        }  
  
        bzero(buf, MAXBUF + 1);  
        strcpy(buf, "server->client");  
        /* 发消息给客户端 */  
        len = SSL_write(ssl, buf, strlen(buf));  
  
        if (len <= 0) {  
            printf  
                ("消息'%s'发送失败！错误代码是%d，错误信息是'%s'\n",  
                 buf, errno, strerror(errno));  
            goto finish;  
        } else  
            printf("消息'%s'发送成功，共发送了%d个字节！\n",  
                   buf, len);  
  
        bzero(buf, MAXBUF + 1);  
        /* 接收客户端的消息 */  
        len = SSL_read(ssl, buf, MAXBUF);  
        if (len > 0)  
            printf("接收消息成功:'%s'，共%d个字节的数据\n",  
                   buf, len);  
        else  
            printf  
                ("消息接收失败！错误代码是%d，错误信息是'%s'\n",  
                 errno, strerror(errno));  
        /* 处理每个新连接上的数据收发结束 */  
      finish:  
        /* 关闭 SSL 连接 */  
        SSL_shutdown(ssl);  
        /* 释放 SSL */  
        SSL_free(ssl);  
        /* 关闭 socket */  
        close(new_fd);  
    }  
  
    /* 关闭监听的 socket */  
    close(sockfd);  
    /* 释放 CTX */  
    SSL_CTX_free(ctx);  
    return 0;  
}

编译与运行：
gcc ssl-client.c -o client -lssl -lcrypto
gcc ssl-server.c -o server -lssl -lcrypto

./server 7838 1 127.0.0.1 server.crt server.key
./client 127.0.0.1 7838

（五）wireshark抓包

基于s_client 和 s_server 的单向认证和双向认证的抓包数据，分别基于TLS1.3和TLS1.2协议，已上传，参考链接：
https://download.csdn.net/download/u013213069/88300030

鸿蕊瑞琳
关注
专栏目录
openssl s_server & s_client 相关命令参数
hallyz的博客
05-23 1406
openssl s_server & s_client 和相关命令参数 示例： 更新动态链接库名字列表 sudo ldconfig openssl s_server -accept 443 -key server.pem -cert server.pem -debug -msg openssl s_client -connect 127.0.0.1:443 -debug -msg ln -s /usr/local/ssl3/lib/libssl.so.3 /usr/lib64/libssl.
Openssl s_server命令
weixin_34235371的博客
07-24 1205
一、简介 s_server是openssl提供的一个SSL服务程序。使用此程序前，需要生成各种证书。本命令可以用来测试ssl客户端，比如各种浏览器的https协议支持   二、语法 openssl s_server [-accept port] [-context id] [-verify depth] [-Verify depth] [-crl_check] [-crl_check_...
OpenSSL 1.1 crash when program exit
最新发布
每天进步一点点
09-11 304
通过源码对比，从OpenSSL1.0.2开始引入了这样的逻辑：在程序退出了，自身会主动销毁一些内部资源，这与我们代码里的一些资源释放动作有冲突，从而引发了double free的错误。在程序退出处加了一些log跟踪，所有在return之前的log都会执行到，因此断定是执行完我们所写的程序之后，CRT调用atexit中注册的function去析构全局的和静态的一些对象而产生的崩溃。
openssl s_client
艾小小雨的博客
04-11 1112
用途： s_client为一个SSL/TLS客户端程序，与s_server对应，它不仅能与s_server进行通信，也能与任何使用ssl协议的其他服务程序进行通信。语法：s_client args参数说明： -host host - use -connect instead -port port - use -connect instead -connect host...
openssl s_client工具详解
N阶二进制的博客
11-04 3847
是 OpenSSL 工具中的一个命令，用于建立和测试 SSL/TLS 连接。它通常用于诊断和测试 SSL/TLS 服务的运行情况。openssl 版本3.0X。
Openssl s_client命令
weixin_34236497的博客
07-24 571
一、简介 s_client为一个SSL/TLS客户端程序，与s_server对应，它不仅能与s_server进行通信，也能与任何使用ssl协议的其他服务程序进行通信   二、语法 openssl s_client [-host host] [-port port] [-connect host:port] [-verify depth] [-cert filename] [-certf...
OpenSSL命令---s_client
热门推荐
VitalityShow(网络通讯)
11-18 4万+
s_client为一个SSL/TLS客户端程序，与s_server对应，它不仅能与s_server进行通信，也能与任何使用ssl协议的其他服务程序进行通信。
OpenSSL中重要的命令 —— s_server 和s_client
冰冻三尺非一日之寒
07-01 1万+
OpenSSL中重要的命令之 s_server 在使用OpenSSL的过程中我们经常会使用openssl命令 和其他 命令组合来测试基于OpenSSL开发的功能。比如签名、验签功能、验证握手协议等等。 openssl s_server使用方法
Win64OpenSSL-1_1_0
11-17
2. **Tools（工具）**：OpenSSL附带了一系列命令行工具，如`openssl s_client`、`openssl s_server`用于测试SSL连接，`openssl genrsa`、`openssl req`用于生成RSA密钥对和证书请求，`openssl x509`用于处理X.509...
Win32OpenSSL-1_0_2c.zip
10-02
6. **Command Line Tools**：OpenSSL还附带了一系列命令行工具，如`openssl s_client`、`openssl s_server`、`openssl genpkey`等，方便开发者进行证书生成、加密解密、密钥交换等操作。 7. **APIs**：OpenSSL提供...
openssl已编译，3.0.3
12-26
7. **命令行工具**: 提供了一系列实用程序，如`openssl s_client`、`openssl s_server`、`openssl req`等，方便用户执行加密操作、证书管理等任务。 8. **编程接口**: 提供给开发人员用于在应用程序中集成加密功能...
hostapd wpa_supplicant madwifi详细分析（八）——wpa_supplicant的配置文件
奔跑的路
05-29 8883
距离上一篇文章的更新已经将近半年了，这半年忙项目忙得几乎没有什么时间给自己积累一些东西，也没什么心思转到这边来写点东西，当一个项目放到自己身上的时候，发现并不像开发一个模块或一个功能那么简单，涉及方方面面，各种琐碎的的事情会占据大量的时间，各个功能之间的交互等等。    前面写的关于hostapd的文章都太浅显了，一般都没怎么涉及到具体的功能，只是简单的分析了一下代码的流程，然而对于实际的功能开
OpenSSL中文手册之命令行详解（未完待续）
liao20081228的博客
08-14 2万+
1 标准命令  查看帮助的办法：openssl 命令 -h。1.1 标准命令 命令 功能 备注 证书相关 req PKCS10 X.509证书签名请求（CSR）管理。 申请证书 pkcs7 PKCS7加密消息语法，各种消息存放的格式标准；用于处理DER或者PEM格式的pkcs7文件 消息格式 pkcs12 PKCS＃12数据管理。工具，用于生
OpenSSL s_client
nsaygl的专栏
03-04 4796
用途： s_client为一个SSL/TLS客户端程序，与s_server对应，它不仅能与s_server进行通信，也能与任何使用ssl协议的其他服务程序进行通信。 用法： [cpp]view plaincopy openssls_client[-hosthost][-portport][-connecthost:port][-verifydepth][-cer...
openssl s_server/s_client 测试
wup422457601的博客
06-21 3537
openssl s_server/s_client 测试 注： 文中部分内容引用其他博客文章，特此申明! 目录openssl s_server/s_client 测试一、ssl 通信原理二、openssl 证书三、连接测试1.s_server2.s_client四、openssl 参数说明 一、ssl 通信原理 SSL 认证方式： 无认证：双方都不校验对方合法性，通信过程加密。 单向认证：客户端验证服务器的合法性，服务器不验证客户端。 双向认证：客户端验证服务器合法性、服务器也会验证客户端合法性。
openssl s_server命令
来说意义非凡3
03-05 1220
使用openssl s_server 测试搭建https-server测试，选项如下：usage: s_server [args ...] -accept arg - port to accept on (default is 4433) -verify_hostname host - check peer certificate matches "host" -verify_emai...
OpenSSL s_server / s_client 应用实例
weixin_33882443的博客
09-02 1427
2019独角兽企业重金招聘Python工程师标准>>> ...
NIO SSL Socket Server
chyroger的专栏
01-29 1万+
学习NIO和SSL的结合 参考文档：http://docs.oracle.com/javase/1.5.0/docs/guide/security/jsse/JSSERefGuide.html#KeyClasses NIO中有socketChannel但是没有sslSocketChannel，据文档中说，如果要实现ssl的socketChannel会牵涉很多代码的实现，增加api的复杂程度；s
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

鸿蕊瑞琳

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值