ssl – Как отобразить альтернативное имя субъекта сертификата? –

Вот как мы можем это сделать с помощью awk.

'/Subject: C=/{printf $NF"n"} соответствует любой строке с шаблоном /Subject: C=, а {printf $NF"n"} просто печатает последнее поле с новой строкой.

/DNS:/{x=gsub(/ *DNS:/, ""); printf "SANS=" $0"n"} соответствует строке с шаблоном DNS:. gsub используется для замены ненужных DNS: перед каждым fqdn. printf "SANS="$0"n" печатает всю строку с новой строкой.

➤ echo | openssl s_client -connect google.com:443 2>&1 | openssl x509 -noout -text |  awk '/Subject: C=/{printf $NF"n"} /DNS:/{x=gsub(/ *DNS:/, ""); printf "SANS=" $0"n"}'
CN=*.google.com
SANS=*.google.com,*.android.com,*.appengine.google.com,*.cloud.google.com,*.crowdsource.google.com,*.g.co,*.gcp.gvt2.com,*.gcpcdn.gvt1.com,*.ggpht.cn,*.gkecnapps.cn,*.google-analytics.com,*.google.ca,*.google.cl,*.google.co.in,*.google.co.jp,*.google.co.uk,*.google.com.ar,*.google.com.au,*.google.com.br,*.google.com.co,*.google.com.mx,*.google.com.tr,*.google.com.vn,*.google.de,*.google.es,*.google.fr,*.google.hu,*.google.it,*.google.nl,*.google.pl,*.google.pt,*.googleadapis.com,*.googleapis.cn,*.googlecnapps.cn,*.googlecommerce.com,*.googlevideo.com,*.gstatic.cn,*.gstatic.com,*.gstaticcnapps.cn,*.gvt1.com,*.gvt2.com,*.metric.gstatic.com,*.urchin.com,*.url.google.com,*.wear.gkecnapps.cn,*.youtube-nocookie.com,*.youtube.com,*.youtubeeducation.com,*.youtubekids.com,*.yt.be,*.ytimg.com,android.clients.google.com,android.com,developer.android.google.cn,developers.android.google.cn,g.co,ggpht.cn,gkecnapps.cn,goo.gl,google-analytics.com,google.com,googlecnapps.cn,googlecommerce.com,source.android.google.cn,urchin.com,www.goo.gl,youtu.be,youtube.com,youtubeeducation.com,youtubekids.com,yt.be

➤

Добавление альтернативы Python. Обязательным условием является наличие строки с записями «DNS:».

Получите сведения о сертификате (подпроцесс, модуль OpenSSL и т. Д.). Dnsstring содержит строку «DNS:» вывода «openssl». Пример того, как получить строку DNS-имен из текстового вывода сертификата.

for idx, line in enumerate(certoutput.split()):
    if ' X509v3 Authority Key Identifier:' in line:
        dnsstring = certoutput.split()[idx   1]

# Get a list
[x.replace('DNS:', '').replace(',', '') for x in dnsstring]

# Format to a comma separated string
', '.join([x.replace('DNS:', '').replace(',', '') for x in dnsstring])

Пример командной строки:

true | 
  openssl s_client -showcerts -connect google.com:443 2>/dev/null | 
  openssl x509 -noout -text 2>/dev/null | grep " DNS:" | 
  python -c"import sys; print ', '.join([x.replace('DNS:', '').replace(',', '') for x in sys.stdin.readlines()[0].split()])"

Выход:

*.google.com, *.android.com, <etc>

Улучшенное решение на основе awk (подсказка: @RandomW):

openssl x509 -in certfile -text -noout 
  -certopt no_header,no_version,no_serial,no_signame,no_validity,no_issuer,no_pubkey,no_sigdump,no_aux 
| awk '/X509v3 Subject Alternative Name:/ {san=1;next} 
      san && /^ *X509v3/ {exit} 
      san { sub(/DNS:/,"",$1);print $1}'

Это распечатает список, как и решения grep и sed, которые также можно найти здесь. Разница в том, что существует более жесткий контроль того, где находится информация. Если формат вывода когда-либо изменится, эта версия станет более надежной и лучше перенесет изменения. Распечатывается только текст между «Альтернативным именем субъекта» и следующим разделом «X509v3», а весь необязательный предшествующий текст «DNS:» удаляется.

android.clients.google.com
android.com
developer.android.google.cn
g.co
goo.gl
...

Вы можете использовать awk, чтобы приблизиться к SAN, передав указанные выше параметры в оператор awk:

openssl x509 -in mycertfile.crt -text -noout 
  -certopt no_subject,no_header,no_version,no_serial,no_signame,no_validity,no_subject,no_issuer,no_pubkey,no_sigdump,no_aux 
 | awk '/X509v3 Subject Alternative Name/','/X509v3 Basic Constraints/'

sed -ne '
    s/^( *)Subject:/1/p;
    /X509v3 Subject Alternative Name/{
        N;
        s/^.*n//;
      :a;
        s/^( *)(.*), /12n1/;
        ta;
        p;
        q;
    }' < <(openssl x509 -in cert.pem -noout -text)

Может быть написано:

sed -ne 's/^( *)Subject:/1/p;/X509v3 Subject Alternative Name/{
    N;s/^.*n//;:a;s/^( *)(.*), /12n1/;ta;p;q; }' < <(
    openssl x509 -in cert.pem -noout -text )

И может отобразить что-то вроде:

         CN=www.example.com
                DNS:il0001.sample.com
                DNS:example.com
                DNS:demodomain.com
                DNS:testsite.com
                DNS:www.il0001.sample.com
                DNS:www.il0001.sample.com.vsite.il0001.sample.com
                DNS:www.example.com
                DNS:www.example.com.vsite.il0001.sample.com
                DNS:www.demodomain.com
                DNS:www.demodomain.com.vsite.il0001.sample.com
                DNS:www.testsite.com
                DNS:www.testsite.com.vsite.il0001.sample.com

То же самое для живого сервера

sed -ne 's/^( *)Subject:/1/p;/X509v3 Subject Alternative Name/{
    N;s/^.*n//;:a;s/^( *)(.*), /12n1/;ta;p;q; }' < <(
    openssl x509 -noout -text -in <(
        openssl s_client -ign_eof 2>/dev/null <<<$'HEAD / HTTP/1.0rnr' 
            -connect google.com:443 ) )

Может выходить:

         C=US, ST=California, L=Mountain View, O=Google Inc, CN=*.google.com
                DNS:*.google.com
                DNS:*.android.com
                DNS:*.appengine.google.com
                DNS:*.cloud.google.com
                DNS:*.gcp.gvt2.com
                DNS:*.google-analytics.com
                DNS:*.google.ca
                DNS:*.google.cl
                DNS:*.google.co.in
                DNS:*.google.co.jp
                DNS:*.google.co.uk
                DNS:*.google.com.ar
                DNS:*.google.com.au
                DNS:*.google.com.br
                DNS:*.google.com.co
                DNS:*.google.com.mx
                DNS:*.google.com.tr
                DNS:*.google.com.vn
                DNS:*.google.de
                DNS:*.google.es
                DNS:*.google.fr
                DNS:*.google.hu
                DNS:*.google.it
                DNS:*.google.nl
                DNS:*.google.pl
                DNS:*.google.pt
                DNS:*.googleadapis.com
                DNS:*.googleapis.cn
                DNS:*.googlecommerce.com
                DNS:*.googlevideo.com
                DNS:*.gstatic.cn
                DNS:*.gstatic.com
                DNS:*.gvt1.com
                DNS:*.gvt2.com
                DNS:*.metric.gstatic.com
                DNS:*.urchin.com
                DNS:*.url.google.com
                DNS:*.youtube-nocookie.com
                DNS:*.youtube.com
                DNS:*.youtubeeducation.com
                DNS:*.ytimg.com
                DNS:android.clients.google.com
                DNS:android.com
                DNS:developer.android.google.cn
                DNS:g.co
                DNS:goo.gl
                DNS:google-analytics.com
                DNS:google.com
                DNS:googlecommerce.com
                DNS:urchin.com
                DNS:www.goo.gl
                DNS:youtu.be
                DNS:youtube.com
                DNS:youtubeeducation.com

POSIX shell прямо сейчас

Поскольку < <(...) – это bashism , необходимо написать ту же команду:

openssl x509 -in cert.pem -noout -text | sed -ne '
  s/^( *)Subject:/1/p;
  /X509v3 Subject Alternative Name/{
      N;
      s/^.*n//;
    :a;
      s/^( *)(.*), /12n1/;
      ta;
      p;
      q;
  }'

А также

printf 'HEAD / HTTP/1.0rnrn' |
    openssl s_client -ign_eof 2>/dev/null -connect google.com:443 |
    openssl x509 -noout -text |
    sed -ne 's/^( *)Subject:/1/p;/X509v3 Subject Alternative Name/{
        N;s/^.*n//;:a;s/^( *)(.*), /12n1/;ta;p;q; }'