用OpenSSL编写SSL,TLS程序 - Win32版

￡神魔★判官ぃ 2022-07-13 14:44 131阅读 0赞

用OpenSSL编写SSL,TLS程序 - Win32版  
  
一、简介:  
  
SSL(Secure Socket Layer)是netscape公司提出的主要用于web的安全通信标准,分为2.0版和3.0版.TLS(Transport Layer Security)是IETF的TLS 工作组在SSL3.0基础之上提出的安全通信标准,目前版本是1.0,即RFC2246.SSL/TLS提供的安全机制可以保证应用层数据在互联网络传输 不 被监听,伪造和窜改.  
  
openssl( [www.openssl.org][] ) 是sslv2,sslv3,tlsv1的一份完整实现,内部包含了大量加密算法程序.其命令行提供了丰富的加密,验证,证书生成等功能,甚至可以用其建立 一个完整的CA.与其同时,它也提供了一套完整的库函数,可用开发用SSL/TLS的通信程序. Apache的https两种版本 mod\_ssl和apachessl均基于它实现的.openssl继承于ssleay,并做了一定的扩展,当前的版本是0.9.5a.  
  
openssl 的缺点是文档太少,连一份完整的函数说明都没有,man page也至今没做完整:-(,如果想用它编程序,除了熟悉已有的文档(包括 ssleay,mod\_ssl,apachessl的文档)外,可以到它的maillist上找相关的帖子,许多问题可以在以前的文章中找到答案.  
编程:  
程序分为两部分,客户端和服务器端,我们的目的是利用SSL/TLS的特性保证通信双方能够互相验证对方身份(真实性),并保证数据的完整性, 私密性.

1.客户端程序的框架为:

**\[cpp\]**  [view plain][]   [copy][view plain]

1.  /\*生成一个SSL结构\*/  
2.  meth = SSLv23\_client\_method();  
3.  ctx = SSL\_CTX\_new (meth);   
4.  ssl = SSL\_new(ctx);  
5.    
6.  /\*下面是正常的socket过程\*/  
7.  fd = socket();  
8.  connect();  
9.    
10. /\*把建立好的socket和SSL结构联系起来\*/  
11. SSL\_set\_fd(ssl,fd);  
12.   
13. /\*SSL的握手过程\*/  
14. SSL\_connect(ssl);  
15.   
16. /\*接下来用SSL\_write(), SSL\_read()代替原有的write(),read()即可\*/  
17. SSL\_write(ssl,"Hello world",strlen("Hello World!"));

2.服务端程序的框架为:

**\[cpp\]**  [view plain][]   [copy][view plain]

1.  \*生成一个SSL结构\*/  
2.  meth = SSLv23\_server\_method();  
3.  ctx = SSL\_CTX\_new (meth);   
4.  ssl = SSL\_new(ctx);  
5.    
6.  /\*下面是正常的socket过程\*/  
7.  fd = socket();  
8.  bind();  
9.  listen();  
10. accept();  
11.   
12. /\*把建立好的socket和SSL结构联系起来\*/  
13. SSL\_set\_fd(ssl,fd);  
14.   
15. /\*SSL的握手过程\*/  
16. SSL\_connect(ssl);  
17.   
18. /\*接下来用SSL\_write(), SSL\_read()代替原有的write(),read()即可\*/  
19. SSL\_read (ssl, buf, **sizeof**(buf));

根据RFC2246(TLS1.0)整个TLS(SSL)的流程如下:  
  
Client                                                Server  
  
ClientHello           -------->  
                                                ServerHello  
                                                 Certificate\*  
                                          ServerKeyExchange\*  
                                            CertificateRequest\*  
                           <--------      ServerHelloDone  
Certificate\*  
ClientKeyExchange  
CertificateVerify\*  
\[ChangeCipherSpec\]  
Finished               -------->  
                                             \[ChangeCipherSpec\]  
                            <--------             Finished  
Application Data   <------->     Application Data  
  
对程序来说,openssl将整个握手过程用一对函数体现,即客户端的SSL\_connect和服务端的SSL\_accept.而后的应用层数据交换则用SSL\_read和 SSL\_write来完成.  
  
二、证书文件生成  
  
除将程序编译成功外,还需生成必要的证书和私钥文件使双方能够成功验证对方,步骤如下:  
  
1.首先要生成服务器端的私钥(key文件):  
openssl genrsa -des3 -out server.key 1024  
运行时会提示输入密码,此密码用于加密key文件(参数des3便是指加密算法,当然也可以选用其他你认为安全的算法.),以后每当需读取此文 件(通过openssl提供的命令或API)都需输入口令.如果觉得不方便,也可以去除这个口令,但一定要采取其他的保护措施!  
去除key文件口令的命令:  
openssl rsa -in server.key -out server.key  
  
2.openssl req -new -key server.key -out server.csr  
生成Certificate Signing Request（CSR）,生成的csr文件交给CA签名后形成服务端自己的证书.屏幕上将有提示,依照其指示一步一步输入要 求的个人信息即可.  
  
3.对客户端也作同样的命令生成key及csr文件:  
openssl genrsa -des3 -out client.key 1024  
openssl req -new -key client.key -out client.csr  
  
4.CSR文件必须有CA的签名才可形成证书.可将此文件发送到verisign等地方由它验证,要交一大笔钱,何不自己做CA呢.  
首先生成CA的key文件:  
openssl -des3 -out ca.key 1024  
在生成CA自签名的证书:  
openssl req -new -x509 -key ca.key -out ca.crt  
如果想让此证书有个期限,如一年,则加上"-days 365".  
("如果非要为这个证书加上一个期限,我情愿是..一万年")  
  
5.用生成的CA的证书为刚才生成的server.csr,client.csr文件签名:  
可以用openssl中CA系列命令,但不是很好用(也不是多难,唉,一言难尽),一篇文章中推荐用mod\_ssl中的sign.sh脚本,试了一下,确实方便了不 少,如果ca.csr存在的话,只需:  
./sigh.sh server.csr  
./sign.sh client.csr  
相应的证书便生成了(后缀.crt).  
  
现在我们所需的全部文件便生成了.  
  
其实openssl中还附带了一个叫CA.pl的文件(在安装目录中的misc子目录下),可用其生成以上的文件,使用也比较方便,但此处就不作介绍了.  
  
三、需要了解的一些函数:  
  
1.int    SSL\_CTX\_set\_cipher\_list(SSL\_CTX \*,const char \*str);  
根据SSL/TLS规范,在ClientHello中,客户端会提交一份自己能够支持的加密方法的列表,由服务端选择一种方法后在ServerHello中通知服务端, 从而完成加密算法的协商.  
  
可用的算法为:  
EDH-RSA-DES-CBC3-SHA  
EDH-DSS-DES-CBC3-SHA  
DES-CBC3-SHA  
DHE-DSS-RC4-SHA  
IDEA-CBC-SHA  
RC4-SHA  
RC4-MD5  
EXP1024-DHE-DSS-RC4-SHA  
EXP1024-RC4-SHA  
EXP1024-DHE-DSS-DES-CBC-SHA  
EXP1024-DES-CBC-SHA  
EXP1024-RC2-CBC-MD5  
EXP1024-RC4-MD5  
EDH-RSA-DES-CBC-SHA  
EDH-DSS-DES-CBC-SHA  
DES-CBC-SHA  
EXP-EDH-RSA-DES-CBC-SHA  
EXP-EDH-DSS-DES-CBC-SHA  
EXP-DES-CBC-SHA  
EXP-RC2-CBC-MD5  
EXP-RC4-MD5  
这些算法按一定优先级排列,如果不作任何指定,将选用DES-CBC3-SHA.用SSL\_CTX\_set\_cipher\_list可以指定自己希望用的算法(实际上只是 提高其优先级,是否能使用还要看对方是否支持).  
  
我们在程序中选用了RC4做加密,MD5做消息摘要(先进行MD5运算,后进行RC4加密).即  
SSL\_CTX\_set\_cipher\_list(ctx,"RC4-MD5");  
  
在消息传输过程中采用对称加密(比公钥加密在速度上有极大的提高),其所用秘钥(shared secret)在握手过程中中协商(每次对话过程均不同, 在一次对话中都有可能有几次改变),并通过公钥加密的手段由客户端提交服务端.  
  
2.void SSL\_CTX\_set\_verify(SSL\_CTX \*ctx,int mode,int (\*callback)(int, X509\_STORE\_CTX \*));  
缺省mode是SSL\_VERIFY\_NONE,如果想要验证对方的话,便要将此项变成SSL\_VERIFY\_PEER.SSL/TLS中缺省只验证server,如果没有设置 SSL\_VERIFY\_PEER的话,客户端连证书都不会发过来.  
  
3.int SSL\_CTX\_load\_verify\_locations(SSL\_CTX \*ctx, const char \*CAfile,const char \*CApath);  
要验证对方的话,当然装要有CA的证书了,此函数用来便是加载CA的证书文件的.  
  
4.int SSL\_CTX\_use\_certificate\_file(SSL\_CTX \*ctx, const char \*file, int type);  
加载自己的证书文件.  
  
5.int SSL\_CTX\_use\_PrivateKey\_file(SSL\_CTX \*ctx, const char \*file, int type);  
加载自己的私钥,以用于签名.  
  
6.int SSL\_CTX\_check\_private\_key(SSL\_CTX \*ctx);  
调用了以上两个函数后,自己检验一下证书与私钥是否配对.  
7.void RAND\_seed(const void \*buf,int num);  
在win32 的环境中client程序运行时出错(SSL\_connect返回-1)的一个主要机制便是与UNIX平台下的随机数生成机制不同(握手的时候用的到). 具体描述可见mod\_ssl的FAQ.解决办法就是调用此函数,其中buf应该为一随机的字符串,作为"seed".  
还可以采用一下两个函数:  
void RAND\_screen(void);  
int RAND\_event(UINT, WPARAM, LPARAM);  
其中RAND\_screen()以屏幕内容作为"seed"产生随机数,RAND\_event可以捕获windows中的事件(event),以此为基础 产生随机数.如果一直有 用户干预的话,用这种办法产生的随机数能够"更加随机",但如果机器一直没人理(如总停在登录画面),则每次都将产生同样的数字.  
  
这几个函数都只在WIN32环境下编译时有用,各种UNIX下就不必调了.  
大量其他的相关函数原型,见crypto/rand/rand.h.  
  
8.OpenSSL\_add\_ssl\_algorithms()或SSLeay\_add\_ssl\_algorithms()  
其实都是调用int SSL\_library\_init(void)  
进行一些必要的初始化工作,用openssl编写SSL/TLS程序的话第一句便应是它.  
  
9.void    SSL\_load\_error\_strings(void );  
如果想打印出一些方便阅读的调试信息的话,便要在一开始调用此函数.  
  
10.void ERR\_print\_errors\_fp(FILE \*fp);  
如果调用了SSL\_load\_error\_strings()后,便可以随时用ERR\_print\_errors\_fp()来打印错误信息了.  
  
11.X509 \*SSL\_get\_peer\_certificate(SSL \*s);  
握手完成后,便可以用此函数从SSL结构中提取出对方的证书(此时证书得到且已经验证过了)整理成X509结构.  
  
12.X509\_NAME \*X509\_get\_subject\_name(X509 \*a);  
得到证书所有者的名字,参数可用通过SSL\_get\_peer\_certificate()得到的X509对象.  
  
13.X509\_NAME \*X509\_get\_issuer\_name(X509 \*a)  
得到证书签署者(往往是CA)的名字,参数可用通过SSL\_get\_peer\_certificate()得到的X509对象.  
  
14.char \*X509\_NAME\_oneline(X509\_NAME \*a,char \*buf,int size);  
将以上两个函数得到的对象变成字符型,以便打印出来.  
  
15.SSL\_METHOD的构造函数,包括  
SSL\_METHOD \*TLSv1\_server\_method(void);    /\* TLSv1.0 \*/  
SSL\_METHOD \*TLSv1\_client\_method(void);    /\* TLSv1.0 \*/  
  
SSL\_METHOD \*SSLv2\_server\_method(void);    /\* SSLv2 \*/  
SSL\_METHOD \*SSLv2\_client\_method(void);    /\* SSLv2 \*/  
  
SSL\_METHOD \*SSLv3\_server\_method(void);    /\* SSLv3 \*/  
SSL\_METHOD \*SSLv3\_client\_method(void);    /\* SSLv3 \*/  
  
SSL\_METHOD \*SSLv23\_server\_method(void);    /\* SSLv3 but can rollback to v2 \*/  
SSL\_METHOD \*SSLv23\_client\_method(void);    /\* SSLv3 but can rollback to v2 \*/  
在程序中究竟采用哪一种协议(TLSv1/SSLv2/SSLv3),就看调哪一组构造函数了.  
  
四:程序源代码(WIN32版本):  
  
基本上是改造的openssl自带的demos目录下的cli.cpp,serv.cpp文件,做了一些修改,并增加了一些功能.

**\[cpp\]**  [view plain][]   [copy][view plain]

1.  引用文字  
2.  /\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\* 
3.  \*SSL/TLS客户端程序WIN32版(以demos/cli.cpp为基础) 
4.  \*需要用到动态连接库libeay32.dll,ssleay.dll, 
5.  \*同时在setting中加入ws2\_32.lib libeay32.lib ssleay32.lib, 
6.  \*以上库文件在编译openssl后可在out32dll目录下找到, 
7.  \*所需证书文件请参照文章自行生成\*/  
8.  \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*/  
9.  \#include <stdio.h>  
10. \#include <stdlib.h>  
11. \#include <memory.h>  
12. \#include <errno.h>  
13. \#include <sys/types.h>  
14.   
15. \#include <winsock2.h>  
16.   
17. \#include "openssl/rsa.h"        
18. \#include "openssl/crypto.h"  
19. \#include "openssl/x509.h"  
20. \#include "openssl/pem.h"  
21. \#include "openssl/ssl.h"  
22. \#include "openssl/err.h"  
23. \#include "openssl/rand.h"  
24.   
25. /\*所有需要的参数信息都在此处以\#define的形式提供\*/  
26. \#define CERTF  "client.crt"  /\*客户端的证书(需经CA签名)\*/  
27. \#define KEYF  "client.key"   /\*客户端的私钥(建议加密存储)\*/  
28. \#define CACERT "ca.crt"      /\*CA 的证书\*/  
29. \#define PORT   1111          /\*服务端的端口\*/  
30. \#define SERVER\_ADDR "127.0.0.1"  /\*服务段的IP地址\*/  
31.   
32. \#define CHK\_NULL(x) if ((x)==NULL) exit (-1)  
33. \#define CHK\_ERR(err,s) if ((err)==-1) \{ perror(s); exit(-2); \}  
34. \#define CHK\_SSL(err) if ((err)==-1) \{ ERR\_print\_errors\_fp(stderr); exit(-3); \}  
35.   
36. **int** main ()  
37. \{  
38.   **int** err;  
39.   **int** sd;  
40.   **struct** sockaddr\_in sa;  
41.   SSL\_CTX\* ctx;  
42.   SSL\*     ssl;  
43.   X509\*    server\_cert;  
44.   **char**\*    str;  
45.   **char**     buf \[4096\];  
46.   SSL\_METHOD \*meth;  
47.   **int**       seed\_int\[100\]; /\*存放随机序列\*/  
48.   
49.   WSADATA wsaData;  
50.   
51.   **if**(WSAStartup(MAKEWORD(2,2),&wsaData) != 0)\{  
52.     printf("WSAStartup()fail:%d/n",GetLastError());  
53.     **return** -1;  
54.   \}   
55.   
56.   OpenSSL\_add\_ssl\_algorithms(); /\*初始化\*/  
57.   SSL\_load\_error\_strings();     /\*为打印调试信息作准备\*/  
58.   
59.   meth = TLSv1\_client\_method(); /\*采用什么协议(SSLv2/SSLv3/TLSv1)在此指定\*/  
60.   ctx = SSL\_CTX\_new (meth);                         
61.   CHK\_NULL(ctx);  
62.   
63.   SSL\_CTX\_set\_verify(ctx,SSL\_VERIFY\_PEER,NULL);   /\*验证与否\*/  
64.   SSL\_CTX\_load\_verify\_locations(ctx,CACERT,NULL); /\*若验证,则放置CA证书\*/  
65.   
66.   
67.   **if** (SSL\_CTX\_use\_certificate\_file(ctx, CERTF, SSL\_FILETYPE\_PEM) <= 0) \{  
68.     ERR\_print\_errors\_fp(stderr);  
69.     exit(-2);  
70.   \}  
71.   **if** (SSL\_CTX\_use\_PrivateKey\_file(ctx, KEYF, SSL\_FILETYPE\_PEM) <= 0) \{  
72.     ERR\_print\_errors\_fp(stderr);  
73.     exit(-3);  
74.   \}  
75.   
76.   **if** (!SSL\_CTX\_check\_private\_key(ctx)) \{  
77.     printf("Private key does not match the certificate public key/n");  
78.     exit(-4);  
79.   \}   
80.   
81.   /\*构建随机数生成机制,WIN32平台必需\*/  
82.   srand( (unsigned)time( NULL ) );  
83.   **for**( **int** i = 0;   i < 100;i++ )  
84.         seed\_int = rand();  
85.   RAND\_seed(seed\_int, **sizeof**(seed\_int));  
86.   
87.   /\*以下是正常的TCP socket建立过程 .............................. \*/  
88.   printf("Begin tcp socket.../n");  
89.   
90.   sd = socket (AF\_INET, SOCK\_STREAM, 0);       CHK\_ERR(sd, "socket");  
91.   
92.   memset (&sa, '/0', **sizeof**(sa));  
93.   sa.sin\_family      = AF\_INET;  
94.   sa.sin\_addr.s\_addr = inet\_addr (SERVER\_ADDR);   /\* Server IP \*/  
95.   sa.sin\_port        = htons     (PORT);          /\* Server Port number \*/  
96.   
97.   err = connect(sd, (**struct** sockaddr\*) &sa,  
98.         **sizeof**(sa));   
99.   CHK\_ERR(err, "connect");  
100.   
101.   /\* TCP 链接已建立.开始 SSL 握手过程.......................... \*/  
102.   printf("Begin SSL negotiation /n");  
103.   
104.   ssl = SSL\_new (ctx);                          
105.   CHK\_NULL(ssl);  
106.   
107.   SSL\_set\_fd (ssl, sd);  
108.   err = SSL\_connect (ssl);  
109.   CHK\_SSL(err);  
110.     
111.   /\*打印所有加密算法的信息(可选)\*/  
112.   printf ("SSL connection using %s/n", SSL\_get\_cipher (ssl));  
113.   
114. /\*得到服务端的证书并打印些信息(可选) \*/  
115.   server\_cert = SSL\_get\_peer\_certificate (ssl);        
116.   CHK\_NULL(server\_cert);  
117.   printf ("Server certificate:/n");  
118.   
119.   str = X509\_NAME\_oneline (X509\_get\_subject\_name (server\_cert),0,0);  
120.   CHK\_NULL(str);  
121.   printf ("/t subject: %s/n", str);  
122.   Free (str);  
123.   
124.   str = X509\_NAME\_oneline (X509\_get\_issuer\_name  (server\_cert),0,0);  
125.   CHK\_NULL(str);  
126.   printf ("/t issuer: %s/n", str);  
127.   Free (str);  
128.   
129.   X509\_free (server\_cert);  /\*如不再需要,需将证书释放 \*/  
130.   
131.   /\* 数据交换开始,用SSL\_write,SSL\_read代替write,read \*/  
132.   printf("Begin SSL data exchange/n");  
133.   
134.   err = SSL\_write (ssl, "Hello World!", strlen("Hello World!"));   
135.   CHK\_SSL(err);  
136.   
137.   err = SSL\_read (ssl, buf, **sizeof**(buf) - 1);   
138.   CHK\_SSL(err);  
139.   
140.   buf\[err\] = '/0';  
141.   printf ("Got %d chars:'%s'/n", err, buf);  
142.   SSL\_shutdown (ssl);  /\* send SSL/TLS close\_notify \*/  
143.   
144.   /\* 收尾工作 \*/  
145.   shutdown (sd,2);  
146.   SSL\_free (ssl);  
147.   SSL\_CTX\_free (ctx);  
148.   
149.   **return** 0;  
150. \}  
151. /\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\* 
152. \* EOF - cli.cpp 
153. \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*/  
154.   
155. 引用文字  
156. /\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\* 
157. \*SSL/TLS服务端程序WIN32版(以demos/server.cpp为基础) 
158. \*需要用到动态连接库libeay32.dll,ssleay.dll, 
159. \*同时在setting中加入ws2\_32.lib libeay32.lib ssleay32.lib, 
160. \*以上库文件在编译openssl后可在out32dll目录下找到, 
161. \*所需证书文件请参照文章自行生成. 
162. \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*/  
163.   
164. \#include <stdio.h>  
165. \#include <stdlib.h>  
166. \#include <memory.h>  
167. \#include <errno.h>  
168. \#include <sys/types.h>  
169.   
170. \#include <winsock2.h>  
171.   
172. \#include "openssl/rsa.h"        
173. \#include "openssl/crypto.h"  
174. \#include "openssl/x509.h"  
175. \#include "openssl/pem.h"  
176. \#include "openssl/ssl.h"  
177. \#include "openssl/err.h"  
178.   
179. /\*所有需要的参数信息都在此处以\#define的形式提供\*/  
180. \#define CERTF   "server.crt" /\*服务端的证书(需经CA签名)\*/  
181. \#define KEYF   "server.key"  /\*服务端的私钥(建议加密存储)\*/  
182. \#define CACERT "ca.crt" /\*CA 的证书\*/  
183. \#define PORT   1111   /\*准备绑定的端口\*/  
184.   
185. \#define CHK\_NULL(x) if ((x)==NULL) exit (1)  
186. \#define CHK\_ERR(err,s) if ((err)==-1) \{ perror(s); exit(1); \}  
187. \#define CHK\_SSL(err) if ((err)==-1) \{ ERR\_print\_errors\_fp(stderr); exit(2); \}  
188.   
189. **int** main ()  
190. \{  
191.   **int** err;  
192.   **int** listen\_sd;  
193.   **int** sd;  
194.   **struct** sockaddr\_in sa\_serv;  
195.   **struct** sockaddr\_in sa\_cli;  
196.   **int** client\_len;  
197.   SSL\_CTX\* ctx;  
198.   SSL\*     ssl;  
199.   X509\*    client\_cert;  
200.   **char**\*    str;  
201.   **char**     buf \[4096\];  
202.   SSL\_METHOD \*meth;  
203.   WSADATA wsaData;  
204.   
205.   **if**(WSAStartup(MAKEWORD(2,2),&wsaData) != 0)\{  
206.     printf("WSAStartup()fail:%d/n",GetLastError());  
207.     **return** -1;  
208.   \}  
209.   
210.   SSL\_load\_error\_strings();            /\*为打印调试信息作准备\*/  
211.   OpenSSL\_add\_ssl\_algorithms();        /\*初始化\*/  
212.   meth = TLSv1\_server\_method();  /\*采用什么协议(SSLv2/SSLv3/TLSv1)在此指定\*/  
213.     
214.   ctx = SSL\_CTX\_new (meth);  
215.   CHK\_NULL(ctx);  
216.   
217.   SSL\_CTX\_set\_verify(ctx,SSL\_VERIFY\_PEER,NULL);   /\*验证与否\*/  
218.   SSL\_CTX\_load\_verify\_locations(ctx,CACERT,NULL); /\*若验证,则放置CA证书\*/  
219.   
220. **if** (SSL\_CTX\_use\_certificate\_file(ctx, CERTF, SSL\_FILETYPE\_PEM) <= 0) \{  
221.     ERR\_print\_errors\_fp(stderr);  
222.     exit(3);  
223.   \}  
224.   **if** (SSL\_CTX\_use\_PrivateKey\_file(ctx, KEYF, SSL\_FILETYPE\_PEM) <= 0) \{  
225.     ERR\_print\_errors\_fp(stderr);  
226.     exit(4);  
227.   \}  
228.   
229.   **if** (!SSL\_CTX\_check\_private\_key(ctx)) \{  
230.     printf("Private key does not match the certificate public key/n");  
231.     exit(5);  
232.   \}  
233.   
234.   SSL\_CTX\_set\_cipher\_list(ctx,"RC4-MD5");   
235.   
236.   /\*开始正常的TCP socket过程.................................\*/  
237.   printf("Begin TCP socket.../n");  
238.   
239.   listen\_sd = socket (AF\_INET, SOCK\_STREAM, 0);    
240.   CHK\_ERR(listen\_sd, "socket");  
241.   
242.   memset (&sa\_serv, '/0', **sizeof**(sa\_serv));  
243.   sa\_serv.sin\_family      = AF\_INET;  
244.   sa\_serv.sin\_addr.s\_addr = INADDR\_ANY;  
245.   sa\_serv.sin\_port        = htons (PORT);           
246.   
247.   err = bind(listen\_sd, (**struct** sockaddr\*) &sa\_serv,  
248.   
249. **sizeof** (sa\_serv));  
250.   
251. CHK\_ERR(err, "bind");  
252.           
253.   /\*接受TCP链接\*/  
254.   err = listen (listen\_sd, 5);                     
255.   CHK\_ERR(err, "listen");  
256.   
257.   client\_len = **sizeof**(sa\_cli);  
258.   sd = accept (listen\_sd, (**struct** sockaddr\*) &sa\_cli, &client\_len);  
259.   CHK\_ERR(sd, "accept");  
260.   closesocket (listen\_sd);  
261.   
262.   printf ("Connection from %lx, port %x/n",  
263.       sa\_cli.sin\_addr.s\_addr, sa\_cli.sin\_port);  
264.   
265.   /\*TCP连接已建立,进行服务端的SSL过程. \*/  
266.   printf("Begin server side SSL/n");  
267.   
268.   ssl = SSL\_new (ctx);                            
269.   CHK\_NULL(ssl);  
270.   SSL\_set\_fd (ssl, sd);  
271.   err = SSL\_accept (ssl);  
272.   printf("SSL\_accept finished/n");  
273.   CHK\_SSL(err);  
274.   
275.   /\*打印所有加密算法的信息(可选)\*/  
276.   printf ("SSL connection using %s/n", SSL\_get\_cipher (ssl));  
277.   
278.   /\*得到服务端的证书并打印些信息(可选) \*/  
279.   client\_cert = SSL\_get\_peer\_certificate (ssl);  
280.   **if** (client\_cert != NULL) \{  
281.     printf ("Client certificate:/n");  
282.      
283.     str = X509\_NAME\_oneline (X509\_get\_subject\_name (client\_cert), 0, 0);  
284.     CHK\_NULL(str);  
285.     printf ("/t subject: %s/n", str);  
286.     Free (str);  
287.      
288.     str = X509\_NAME\_oneline (X509\_get\_issuer\_name  (client\_cert), 0, 0);  
289.     CHK\_NULL(str);  
290.     printf ("/t issuer: %s/n", str);  
291.     Free (str);  
292.      
293.     X509\_free (client\_cert);/\*如不再需要,需将证书释放 \*/  
294.   \}  
295.   **else**  
296.     printf ("Client does not have certificate./n");  
297.   
298.   /\* 数据交换开始,用SSL\_write,SSL\_read代替write,read \*/  
299.   err = SSL\_read (ssl, buf, **sizeof**(buf) - 1);                    
300.   CHK\_SSL(err);  
301.   buf\[err\] = '/0';  
302.   printf ("Got %d chars:'%s'/n", err, buf);  
303.   
304.   err = SSL\_write (ssl, "I hear you.", strlen("I hear you."));   
305.   CHK\_SSL(err);  
306.   
307.   /\* 收尾工作\*/  
308.   shutdown (sd,2);  
309.   SSL\_free (ssl);  
310.   SSL\_CTX\_free (ctx);  
311.   
312.   **return** 0;  
313. \}  
314. /\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\* 
315. \* EOF - serv.cpp 
316. \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*/  
317.   
318.   
319. 五、https / http 兼容客户端的c语言实现  
320.   
321. 引用文字  
322. /\* 
323. \* OpenSSL SSL/TLS Https Client example 
324. \* Only for Unix/Linux: 
325. \*    cc -c https.c 
326. \*    cc -o https https.c -lssl 
327. \* OpenSSL library needed. 
328. \* 
329. \* 同时支持普通的socket连接以及基于普通socket基础之上的ssl 
330. \* 连接。这对于已有的socket程序修改来说会比较方便，不至于 
331. \* 和原来的结构发生太大的冲突. 
332. \* 要注意的一点，似乎当使用socket套接字来创建ssl连接的时候, 
333. \* 如果套接字是采用非阻塞方式建立的话，会导致ssl会话失败，不 
334. \* 知道为什么。所以这里对于提供给https的套接字采用了普通的 
335. \* connect方法创建。 
336. \* 
337. \*/  
338.   
339. \#include <stdio.h>  
340. \#include <stdlib.h>  
341. \#include <string.h>  
342. \#include <stdarg.h>  
343. \#include <errno.h>  
344. \#include <fcntl.h>  
345. \#include <unistd.h>  
346. \#include <sys/types.h>  
347. \#include <sys/socket.h>  
348. \#include <netinet/in.h>  
349. \#include <arpa/inet.h>  
350. \#include <netdb.h>  
351. \#include <openssl/crypto.h>  
352. \#include <openssl/ssl.h>  
353. \#include <openssl/err.h>  
354. \#include <openssl/rand.h>  
355.   
356.   
357. \#define BUF\_LEN 1024  
358. \#define MAX\_STRING\_LEN  2048  
359.   
360. //xnet\_select x defines  
361. \#define READ\_STATUS     0  
362. \#define WRITE\_STATUS    1  
363. \#define EXCPT\_STATUS    2  
364.   
365. /\* flag to set request with ssl or not. \*/  
366. **static** **int** bIsHttps = 1;  
367. **static** **int** timeout\_sec = 10;  
368. **static** **int** timeout\_microsec = 0;  
369.   
370. **void** err\_doit(**int** errnoflag, **const** **char** \*fmt, **va\_list** ap);  
371. **void** err\_quit(**const** **char** \*fmt, ...);  
372. **int** create\_tcpsocket(**const** **char** \*host, **const** unsigned **short** port);  
373. **int** xnet\_select(**int** s, **int** sec, **int** usec, **short** x);  
374.   
375. **int** main(**int** argc, **char**\* argv\[\])\{  
376.     **char**\* host = "127.0.0.1";  
377.     unsigned **short** port = 80;  
378.     **int** fd;  
379.   
380. SSL \*ssl;  
381.     SSL\_CTX \*ctx;  
382.   
383. **int** n,ret;  
384.     **char** buf\[BUF\_LEN\];  
385.     **char**\* requestpath = "/";  
386.   
387.     **if**( argc == 5 )\{  
388.         host = argv\[1\];  
389.         port = atoi(argv\[2\]);  
390.         requestpath = argv\[3\];  
391.         bIsHttps = atoi(argv\[4\]);  
392.     \}  
393.   
394.     /\* make connection to the cache server \*/  
395.     fd = create\_tcpsocket(host, port);  
396.   
397.     /\* http request. \*/  
398.     sprintf(buf, "GET %s HTTP/1.0/r/nHost: %s/r/n/r/n",  
399.   
400. requestpath, host);  
401.   
402.     **if**(bIsHttps != 1)\{  
403.         **if**(xnet\_select(fd, timeout\_sec, timeout\_microsec,   
404.   
405. WRITE\_STATUS)>0)\{  
406.             /\* send off the message \*/  
407.             write(fd, buf, strlen(buf));  
408.         \}  
409.         **else**\{  
410.             err\_quit("Socket I/O Write Timeout %s:%d/n", host, port);  
411.         \}  
412.         printf("Server response:/n");  
413.         **while** (xnet\_select(fd, timeout\_sec, timeout\_microsec,   
414.   
415. READ\_STATUS)>0)\{  
416.             **if** ((n = read(fd, buf, BUF\_LEN-1)) > 0) \{  
417.                 buf\[n\] = '/0';  
418.                 printf("%s", buf);  
419.             \}  
420.             **else**\{  
421.                 **break**;  
422.             \}  
423.         \}  
424.         // close the plain socket handler.  
425.         close(fd);  
426.     \}  
427.     **else**\{  
428.         SSL\_load\_error\_strings();  
429.         SSL\_library\_init();  
430.         ctx = SSL\_CTX\_new(SSLv23\_client\_method());  
431.         **if** ( ctx == NULL )\{  
432.             err\_quit("init SSL CTX failed:%s/n",  
433.                         ERR\_reason\_error\_string(ERR\_get\_error()));  
434.         \}  
435.           
436.         ssl = SSL\_new(ctx);  
437.         **if** ( ssl == NULL )\{  
438.             err\_quit("new SSL with created CTX failed:%s/n",  
439.                         ERR\_reason\_error\_string(ERR\_get\_error()));  
440.         \}  
441.   
442.         ret = SSL\_set\_fd(ssl, fd);  
443.         **if** ( ret == 0 )\{  
444.             err\_quit("add SSL to tcp socket failed:%s/n",  
445.                         ERR\_reason\_error\_string(ERR\_get\_error()));  
446.         \}  
447.   
448.         /\* PRNG \*/  
449.         RAND\_poll();  
450.         **while** ( RAND\_status() == 0 )\{  
451.             unsigned **short** rand\_ret = rand() % 65536;  
452.             RAND\_seed(&rand\_ret, **sizeof**(rand\_ret));  
453.         \}  
454.   
455.         /\* SSL Connect \*/  
456.         ret = SSL\_connect(ssl);  
457.         **if**( ret != 1 )\{  
458.             err\_quit("SSL connection failed:%s/n",  
459.                         ERR\_reason\_error\_string(ERR\_get\_error()));  
460.         \}  
461.   
462.         // https socket write.  
463.         SSL\_write(ssl, buf, strlen(buf));  
464.         **while**((n = SSL\_read(ssl, buf, BUF\_LEN-1)) > 0)\{  
465.             buf\[n\] = '/0';  
466.             write(1, buf, n);   
467.         \}  
468.         **if**(n != 0)\{  
469.             err\_quit("SSL read failed:%s/n",  
470.                         ERR\_reason\_error\_string(ERR\_get\_error()));  
471.         \}  
472.         // close ssl tunnel.  
473.         ret = SSL\_shutdown(ssl);   
474.         **if**( ret != 1 )\{  
475.             close(fd);  
476.             err\_quit("SSL shutdown failed:%s/n",  
477.                         ERR\_reason\_error\_string(ERR\_get\_error()));  
478.         \}  
479.           
480.         // close the plain socket handler.  
481.         close(fd);  
482.   
483.         // clear ssl resource.  
484.         SSL\_free(ssl);   
485.         SSL\_CTX\_free(ctx);  
486.         ERR\_free\_strings();  
487.     \}  
488. \}  
489.   
490. /\* create common tcp socket connection \*/  
491.   
492. **int** create\_tcpsocket(**const** **char** \*host, **const** unsigned **short** port)\{  
493.     **int** ret;  
494.   
495.   
496.     **char** \* transport = "tcp";  
497.     **struct** hostent \*phe; /\* pointer to host information entry \*/  
498.     **struct** protoent \*ppe; /\* pointer to protocol information entry \*/  
499.     **struct** sockaddr\_in sin; /\* an Internet endpoint address \*/  
500.     **int** s; /\* socket descriptor and socket type \*/  
501.       
502.     memset(&sin, 0, **sizeof**(sin));  
503.     sin.sin\_family = AF\_INET;  
504.       
505.     **if** ((sin.sin\_port = htons(port)) == 0)  
506.         err\_quit("invalid port /"%d/"/n", port);  
507.       
508.     /\* Map host name to IP address, allowing for dotted decimal \*/  
509.     **if**( phe = gethostbyname(host) )  
510.         memcpy(&sin.sin\_addr, phe->h\_addr, phe->h\_length);  
511.     **else** **if**( (sin.sin\_addr.s\_addr = inet\_addr(host)) == INADDR\_NONE )  
512.         err\_quit("can't get /"%s/" host entry/n", host);  
513.       
514.     /\* Map transport protocol name to protocol number \*/  
515.     **if** ( (ppe = getprotobyname(transport)) == 0)  
516.         err\_quit("can't get /"%s/" protocol entry/n", transport);  
517.       
518.     /\* Allocate a common TCP socket \*/  
519.     s = socket(PF\_INET, SOCK\_STREAM, ppe->p\_proto);  
520.     **if** (s < 0)  
521.         err\_quit("can't create socket: %s/n", strerror(errno));  
522.       
523.     **if**(bIsHttps != 1)\{  
524.         /\* Connect the socket with timeout \*/  
525.         fcntl(s,F\_SETFL, O\_NONBLOCK);  
526.         **if** (connect(s, (**struct** sockaddr \*)&sin, **sizeof**(sin)) == -1)\{  
527.             **if** (errno == EINPROGRESS)\{ // it is in the connect process   
528.                 **struct** timeval tv;   
529.                 fd\_set writefds;   
530.                 tv.tv\_sec = timeout\_sec;   
531.                 tv.tv\_usec = timeout\_microsec;   
532.                 FD\_ZERO(&writefds);   
533.                 FD\_SET(s, &writefds);   
534.                 **if**(select(s+1,NULL,&writefds,NULL,&tv)>0)\{   
535.                     **int** len=**sizeof**(**int**);   
536.                     //下面的一句一定要，主要针对防火墙   
537.                 getsockopt(s, SOL\_SOCKET, SO\_ERROR, &errno, &len);   
538.                     **if**(errno != 0)   
539.                         ret = 1;  
540.                     **else**  
541.                         ret = 0;  
542.                 \}  
543.                 **else**  
544.                     ret = 2;//timeout or error happen   
545.             \}  
546.             **else** ret = 1;   
547.         \}  
548.         **else**\{  
549.             ret = 1;  
550.         \}  
551.     \}  
552.     **else**\{  
553.         /\* create common tcp socket.seems  
554.  
555.      non-block type is not supported by ssl. \*/  
556.         ret = connect(s, (**struct** sockaddr \*)&sin, **sizeof**(sin));  
557.     \}  
558.   
559.     **if**(ret != 0)\{  
560.         close(s);  
561.         err\_quit("can't connect to %s:%d/n", host, port);  
562.     \}  
563.   
564.     **return** s;  
565. \}  
566.   
567. /\* 
568. s    - SOCKET 
569. sec  - timeout seconds 
570. usec - timeout microseconds 
571. x    - select status 
572. \*/  
573. **int** xnet\_select(**int** s, **int** sec, **int** usec, **short** x)\{  
574.     **int** st = errno;  
575.     **struct** timeval to;  
576.     fd\_set fs;  
577.     to.tv\_sec = sec;  
578.     to.tv\_usec = usec;  
579.     FD\_ZERO(&fs);  
580.     FD\_SET(s, &fs);  
581.     **switch**(x)\{  
582.         **case** READ\_STATUS:  
583.         st = select(s+1, &fs, 0, 0, &to);  
584.         **break**;  
585.         **case** WRITE\_STATUS:  
586.         st = select(s+1, 0, &fs, 0, &to);  
587.         **break**;  
588.         **case** EXCPT\_STATUS:  
589.         st = select(s+1, 0, 0, &fs, &to);  
590.         **break**;  
591.     \}  
592.     **return**(st);  
593. \}  
594.   
595. **void** err\_doit(**int** errnoflag, **const** **char** \*fmt, **va\_list** ap)\{  
596.     **int** errno\_save;  
597.     **char** buf\[MAX\_STRING\_LEN\];  
598.   
599.     errno\_save = errno;   
600.     vsprintf(buf, fmt, ap);  
601.     **if** (errnoflag)  
602.         sprintf(buf + strlen(buf), ": %s", strerror(errno\_save));  
603.     strcat(buf, "/n");  
604.     fflush(stdout);  
605.     fputs(buf, stderr);  
606.     fflush(NULL);  
607.     **return**;  
608. \}  
609.   
610. /\* Print a message and terminate. \*/  
611. **void** err\_quit(**const** **char** \*fmt, ...)\{  
612.     **va\_list** ap;  
613.     va\_start(ap, fmt);  
614.     err\_doit(0, fmt, ap);  
615.     va\_end(ap);  
616.     exit(1);  
617. \}

![save_snippets.png][]

[www.openssl.org]: http://www.openssl.org/
[view plain]: http://blog.csdn.net/zqt520/article/details/8791130#
[save_snippets.png]: /images/20220713/12425046eb5f47fb91df0409afca1ca8.png