织梦CMS - 轻松建站从此开始!

罗索

用OpenSSL编写SSL,TLS程序 - Win32版

落鹤生 发布于 2010-07-06 10:09 点击:次 
SSL(Secure Socket Layer)是netscape公司提出的主要用于web的安全通信标准,分为2.0版和3.0版.TLS(Transport Layer Security)是IETF的TLS 工作组在SSL3.0基础之上提出的安全通信标准,目前版本是1.0,即RFC2246.SSL/TLS提供的安全机制可以保证应用层数据在互联网络传输不
TAG:

一、简介:

SSL(Secure Socket Layer)是netscape公司提出的主要用于web的安全通信标准,分为2.0版和3.0版.TLS(Transport Layer Security)是IETF的TLS 工作组在SSL3.0基础之上提出的安全通信标准,目前版本是1.0,即RFC2246.SSL/TLS提供的安全机制可以保证应用层数据在互联网络传输不 被监听,伪造和窜改.

openssl(http://www.openssl.org/)是sslv2,sslv3,tlsv1的一份完整实现,内部包含了大量加密算法程序.其命令行提供了丰富的加密,验证,证书生成等功能,甚至可以用其建立一个完整的CA.与其同时,它也提供了一套完整的库函数,可用开发用SSL/TLS的通信程序. Apache的https两种版本 mod_ssl和apachessl均基于它实现的.openssl继承于ssleay,并做了一定的扩展,当前的版本是0.9.5a.
openssl 的缺点是文档太少,连一份完整的函数说明都没有,man page也至今没做完整:-(,如果想用它编程序,除了熟悉已有的文档(包括 ssleay,mod_ssl,apachessl的文档)外,可以到它的maillist上找相关的帖子,许多问题可以在以前的文章中找到答案.

编程:
程序分为两部分,客户端和服务器端,我们的目的是利用SSL/TLS的特性保证通信双方能够互相验证对方身份(真实性),并保证数据的完整性, 私密性.

1.客户端程序的框架为:

/*生成一个SSL结构*/
meth = SSLv23_client_method();
ctx = SSL_CTX_new (meth);
ssl = SSL_new(ctx);

/*下面是正常的socket过程*/
fd = socket();
connect();

/*把建立好的socket和SSL结构联系起来*/
SSL_set_fd(ssl,fd);

/*SSL的握手过程*/
SSL_connect(ssl);

/*接下来用SSL_write(), SSL_read()代替原有的write(),read()即可*/
SSL_write(ssl,"Hello world",strlen("Hello World!"));

2.服务端程序的框架为:
/*生成一个SSL结构*/
meth = SSLv23_server_method();
ctx = SSL_CTX_new (meth);
ssl = SSL_new(ctx);

/*下面是正常的socket过程*/
fd = socket();
bind();
listen();
accept();

/*把建立好的socket和SSL结构联系起来*/
SSL_set_fd(ssl,fd);

/*SSL的握手过程*/
SSL_connect(ssl);

/*接下来用SSL_write(), SSL_read()代替原有的write(),read()即可*/
SSL_read (ssl, buf, sizeof(buf));

根据RFC2246(TLS1.0)整个TLS(SSL)的流程如下:

Client Server

ClientHello -------->
ServerHello
Certificate*
ServerKeyExchange*
CertificateRequest*
<-------- ServerHelloDone
Certificate*
ClientKeyExchange
CertificateVerify*
[ChangeCipherSpec]
Finished -------->
[ChangeCipherSpec]
<-------- Finished
Application Data <-------> Application Data

对程序来说,openssl将整个握手过程用一对函数体现,即客户端的SSL_connect和服务端的SSL_accept.而后的应用层数据交换则用SSL_read和 SSL_write来完成.

二、证书文件生成

除将程序编译成功外,还需生成必要的证书和私钥文件使双方能够成功验证对方,步骤如下:

1.首先要生成服务器端的私钥(key文件):
openssl genrsa -des3 -out server.key 1024
运行时会提示输入密码,此密码用于加密key文件(参数des3便是指加密算法,当然也可以选用其他你认为安全的算法.),以后每当需读取此文 件(通过openssl提供的命令或API)都需输入口令.如果觉得不方便,也可以去除这个口令,但一定要采取其他的保护措施!
去除key文件口令的命令:
openssl rsa -in server.key -out server.key

2.openssl req -new -key server.key -out server.csr
生成Certificate Signing Request(CSR),生成的csr文件交给CA签名后形成服务端自己的证书.屏幕上将有提示,依照其指示一步一步输入要 求的个人信息即可.

3.对客户端也作同样的命令生成key及csr文件:
openssl genrsa -des3 -out client.key 1024
openssl req -new -key client.key -out client.csr

4.CSR文件必须有CA的签名才可形成证书.可将此文件发送到verisign等地方由它验证,要交一大笔钱,何不自己做CA呢.
首先生成CA的key文件:
openssl -des3 -out ca.key 1024
在生成CA自签名的证书:
openssl req -new -x509 -key ca.key -out ca.crt
如果想让此证书有个期限,如一年,则加上"-days 365".
("如果非要为这个证书加上一个期限,我情愿是..一万年")

5.用生成的CA的证书为刚才生成的server.csr,client.csr文件签名:
可以用openssl中CA系列命令,但不是很好用(也不是多难,唉,一言难尽),一篇文章中推荐用mod_ssl中的sign.sh脚本,试了一下,确实方便了不 少,如果ca.csr存在的话,只需:
./sigh.sh server.csr
./sign.sh client.csr
相应的证书便生成了(后缀.crt).

现在我们所需的全部文件便生成了.

其实openssl中还附带了一个叫CA.pl的文件(在安装目录中的misc子目录下),可用其生成以上的文件,使用也比较方便,但此处就不作介绍了.

三、需要了解的一些函数:

1.int SSL_CTX_set_cipher_list(SSL_CTX *,const char *str);
根据SSL/TLS规范,在ClientHello中,客户端会提交一份自己能够支持的加密方法的列表,由服务端选择一种方法后在ServerHello中通知服务端, 从而完成加密算法的协商.

可用的算法为:
EDH-RSA-DES-CBC3-SHA
EDH-DSS-DES-CBC3-SHA
DES-CBC3-SHA
DHE-DSS-RC4-SHA
IDEA-CBC-SHA
RC4-SHA
RC4-MD5
EXP1024-DHE-DSS-RC4-SHA
EXP1024-RC4-SHA
EXP1024-DHE-DSS-DES-CBC-SHA
EXP1024-DES-CBC-SHA
EXP1024-RC2-CBC-MD5
EXP1024-RC4-MD5
EDH-RSA-DES-CBC-SHA
EDH-DSS-DES-CBC-SHA
DES-CBC-SHA
EXP-EDH-RSA-DES-CBC-SHA
EXP-EDH-DSS-DES-CBC-SHA
EXP-DES-CBC-SHA
EXP-RC2-CBC-MD5
EXP-RC4-MD5
这些算法按一定优先级排列,如果不作任何指定,将选用DES-CBC3-SHA.用SSL_CTX_set_cipher_list可以指定自己希望用的算法(实际上只是 提高其优先级,是否能使用还要看对方是否支持).

我们在程序中选用了RC4做加密,MD5做消息摘要(先进行MD5运算,后进行RC4加密).即
SSL_CTX_set_cipher_list(ctx,"RC4-MD5");

在消息传输过程中采用对称加密(比公钥加密在速度上有极大的提高),其所用秘钥(shared secret)在握手过程中中协商(每次对话过程均不同, 在一次对话中都有可能有几次改变),并通过公钥加密的手段由客户端提交服务端.

2.void SSL_CTX_set_verify(SSL_CTX *ctx,int mode,int (*callback)(int, X509_STORE_CTX *));
缺省mode是SSL_VERIFY_NONE,如果想要验证对方的话,便要将此项变成SSL_VERIFY_PEER.SSL/TLS中缺省只验证server,如果没有设置 SSL_VERIFY_PEER的话,客户端连证书都不会发过来.

3.int SSL_CTX_load_verify_locations(SSL_CTX *ctx, const char *CAfile,const char *CApath);
要验证对方的话,当然装要有CA的证书了,此函数用来便是加载CA的证书文件的.

4.int SSL_CTX_use_certificate_file(SSL_CTX *ctx, const char *file, int type);
加载自己的证书文件.

5.int SSL_CTX_use_PrivateKey_file(SSL_CTX *ctx, const char *file, int type);
加载自己的私钥,以用于签名.

6.int SSL_CTX_check_private_key(SSL_CTX *ctx);
调用了以上两个函数后,自己检验一下证书与私钥是否配对.
7.void RAND_seed(const void *buf,int num);
在win32 的环境中client程序运行时出错(SSL_connect返回-1)的一个主要机制便是与UNIX平台下的随机数生成机制不同(握手的时候用的到). 具体描述可见mod_ssl的FAQ.解决办法就是调用此函数,其中buf应该为一随机的字符串,作为"seed".
还可以采用一下两个函数:
void RAND_screen(void);
int RAND_event(UINT, WPARAM, LPARAM);
其中RAND_screen()以屏幕内容作为"seed"产生随机数,RAND_event可以捕获windows中的事件(event),以此为基础产生随机数.如果一直有 用户干预的话,用这种办法产生的随机数能够"更加随机",但如果机器一直没人理(如总停在登录画面),则每次都将产生同样的数字.

这几个函数都只在WIN32环境下编译时有用,各种UNIX下就不必调了.
大量其他的相关函数原型,见crypto\rand\rand.h.

8.OpenSSL_add_ssl_algorithms()或SSLeay_add_ssl_algorithms()
其实都是调用int SSL_library_init(void)
进行一些必要的初始化工作,用openssl编写SSL/TLS程序的话第一句便应是它.

9.void SSL_load_error_strings(void );
如果想打印出一些方便阅读的调试信息的话,便要在一开始调用此函数.

10.void ERR_print_errors_fp(FILE *fp);
如果调用了SSL_load_error_strings()后,便可以随时用ERR_print_errors_fp()来打印错误信息了.

11.X509 *SSL_get_peer_certificate(SSL *s);
握手完成后,便可以用此函数从SSL结构中提取出对方的证书(此时证书得到且已经验证过了)整理成X509结构.

12.X509_NAME *X509_get_subject_name(X509 *a);
得到证书所有者的名字,参数可用通过SSL_get_peer_certificate()得到的X509对象.

13.X509_NAME *X509_get_issuer_name(X509 *a)
得到证书签署者(往往是CA)的名字,参数可用通过SSL_get_peer_certificate()得到的X509对象.

14.char *X509_NAME_oneline(X509_NAME *a,char *buf,int size);
将以上两个函数得到的对象变成字符型,以便打印出来.

15.SSL_METHOD的构造函数,包括
SSL_METHOD *TLSv1_server_method(void); /* TLSv1.0 */
SSL_METHOD *TLSv1_client_method(void); /* TLSv1.0 */

SSL_METHOD *SSLv2_server_method(void); /* SSLv2 */
SSL_METHOD *SSLv2_client_method(void); /* SSLv2 */

SSL_METHOD *SSLv3_server_method(void); /* SSLv3 */
SSL_METHOD *SSLv3_client_method(void); /* SSLv3 */

SSL_METHOD *SSLv23_server_method(void); /* SSLv3 but can rollback to v2 */
SSL_METHOD *SSLv23_client_method(void); /* SSLv3 but can rollback to v2 */
在程序中究竟采用哪一种协议(TLSv1/SSLv2/SSLv3),就看调哪一组构造函数了.

四:程序源代码(WIN32版本):

基本上是改造的openssl自带的demos目录下的cli.cpp,serv.cpp文件,做了一些修改,并增加了一些功能.

  1. /***************************************************************** 
  2. *SSL/TLS客户端程序WIN32版(以demos/cli.cpp为基础) 
  3. *需要用到动态连接库libeay32.dll,ssleay.dll, 
  4. *同时在setting中加入ws2_32.lib libeay32.lib ssleay32.lib, 
  5. *以上库文件在编译openssl后可在out32dll目录下找到, 
  6. *所需证书文件请参照文章自行生成*/ 
  7. *****************************************************************/ 
  8. #include <stdio.h> 
  9. #include <stdlib.h> 
  10. #include <memory.h> 
  11. #include <errno.h> 
  12. #include <sys/types.h> 
  13.  
  14. #include <winsock2.h> 
  15.  
  16. #include "openssl/rsa.h" 
  17. #include "openssl/crypto.h" 
  18. #include "openssl/x509.h" 
  19. #include "openssl/pem.h" 
  20. #include "openssl/ssl.h" 
  21. #include "openssl/err.h" 
  22. #include "openssl/rand.h" 
  23.  
  24. /*所有需要的参数信息都在此处以#define的形式提供*/ 
  25. #define CERTF "client.crt" /*客户端的证书(需经CA签名)*/ 
  26. #define KEYF "client.key" /*客户端的私钥(建议加密存储)*/ 
  27. #define CACERT "ca.crt" /*CA 的证书*/ 
  28. #define PORT 1111 /*服务端的端口*/ 
  29. #define SERVER_ADDR "127.0.0.1" /*服务段的IP地址*/ 
  30.  
  31. #define CHK_NULL(x) if ((x)==NULL) exit (-1) 
  32. #define CHK_ERR(err,s) if ((err)==-1) { perror(s); exit(-2); } 
  33. #define CHK_SSL(err) if ((err)==-1) { ERR_print_errors_fp(stderr); exit(-3); } 
  34.  
  35. int main () 
  36. int err; 
  37. int sd; 
  38. struct sockaddr_in sa; 
  39. SSL_CTX* ctx; 
  40. SSL* ssl; 
  41. X509* server_cert; 
  42. char* str; 
  43. char buf [4096]; 
  44. SSL_METHOD *meth; 
  45. int seed_int[100]; /*存放随机序列*/ 
  46.  
  47. WSADATA wsaData; 
  48.  
  49. if(WSAStartup(MAKEWORD(2,2),&wsaData) != 0){ 
  50. printf("WSAStartup()fail:%d\n",GetLastError()); 
  51. return -1; 
  52.  
  53. OpenSSL_add_ssl_algorithms(); /*初始化*/ 
  54. SSL_load_error_strings(); /*为打印调试信息作准备*/ 
  55.  
  56. meth = TLSv1_client_method(); /*采用什么协议(SSLv2/SSLv3/TLSv1)在此指定*/ 
  57. ctx = SSL_CTX_new (meth); 
  58. CHK_NULL(ctx); 
  59.  
  60. SSL_CTX_set_verify(ctx,SSL_VERIFY_PEER,NULL); /*验证与否*/ 
  61. SSL_CTX_load_verify_locations(ctx,CACERT,NULL); /*若验证,则放置CA证书*/ 
  62.  
  63.  
  64. if (SSL_CTX_use_certificate_file(ctx, CERTF, SSL_FILETYPE_PEM) <= 0) { 
  65. ERR_print_errors_fp(stderr); 
  66. exit(-2); 
  67. if (SSL_CTX_use_PrivateKey_file(ctx, KEYF, SSL_FILETYPE_PEM) <= 0) { 
  68. ERR_print_errors_fp(stderr); 
  69. exit(-3); 
  70.  
  71. if (!SSL_CTX_check_private_key(ctx)) { 
  72. printf("Private key does not match the certificate public key\n"); 
  73. exit(-4); 
  74.  
  75. /*构建随机数生成机制,WIN32平台必需*/ 
  76. srand( (unsigned)time( NULL ) ); 
  77. forint i = 0; i < 100;i++ ) 
  78. seed_int = rand(); 
  79. RAND_seed(seed_int, sizeof(seed_int)); 
  80.  
  81. /*以下是正常的TCP socket建立过程 .............................. */ 
  82. printf("Begin tcp socket...\n"); 
  83.  
  84. sd = socket (AF_INET, SOCK_STREAM, 0); CHK_ERR(sd, "socket"); 
  85.  
  86. memset (&sa, '\0'sizeof(sa)); 
  87. sa.sin_family = AF_INET; 
  88. sa.sin_addr.s_addr = inet_addr (SERVER_ADDR); /* Server IP */ 
  89. sa.sin_port = htons (PORT); /* Server Port number */ 
  90.  
  91. err = connect(sd, (struct sockaddr*) &sa, 
  92. sizeof(sa)); 
  93. CHK_ERR(err, "connect"); 
  94.  
  95. /* TCP 链接已建立.开始 SSL 握手过程.......................... */ 
  96. printf("Begin SSL negotiation \n"); 
  97.  
  98. ssl = SSL_new (ctx); 
  99. CHK_NULL(ssl); 
  100.  
  101. SSL_set_fd (ssl, sd); 
  102. err = SSL_connect (ssl); 
  103. CHK_SSL(err); 
  104.  
  105. /*打印所有加密算法的信息(可选)*/ 
  106. printf ("SSL connection using %s\n", SSL_get_cipher (ssl)); 
  107.  
  108. /*得到服务端的证书并打印些信息(可选) */ 
  109. server_cert = SSL_get_peer_certificate (ssl); 
  110. CHK_NULL(server_cert); 
  111. printf ("Server certificate:\n"); 
  112.  
  113. str = X509_NAME_oneline (X509_get_subject_name (server_cert),0,0); 
  114. CHK_NULL(str); 
  115. printf ("\t subject: %s\n", str); 
  116. Free (str); 
  117.  
  118. str = X509_NAME_oneline (X509_get_issuer_name (server_cert),0,0); 
  119. CHK_NULL(str); 
  120. printf ("\t issuer: %s\n", str); 
  121. Free (str); 
  122.  
  123. X509_free (server_cert); /*如不再需要,需将证书释放 */ 
  124.  
  125. /* 数据交换开始,用SSL_write,SSL_read代替write,read */ 
  126. printf("Begin SSL data exchange\n"); 
  127.  
  128. err = SSL_write (ssl, "Hello World!", strlen("Hello World!")); 
  129. CHK_SSL(err); 
  130.  
  131. err = SSL_read (ssl, buf, sizeof(buf) - 1); 
  132. CHK_SSL(err); 
  133.  
  134. buf[err] = '\0'
  135. printf ("Got %d chars:'%s'\n", err, buf); 
  136. SSL_shutdown (ssl); /* send SSL/TLS close_notify */ 
  137.  
  138. /* 收尾工作 */ 
  139. shutdown (sd,2); 
  140. SSL_free (ssl); 
  141. SSL_CTX_free (ctx); 
  142.  
  143. return 0; 

/*****************************************************************
* EOF - cli.cpp
*****************************************************************/

  1. /***************************************************************** 
  2. *SSL/TLS服务端程序WIN32版(以demos/server.cpp为基础) 
  3. *需要用到动态连接库libeay32.dll,ssleay.dll, 
  4. *同时在setting中加入ws2_32.lib libeay32.lib ssleay32.lib, 
  5. *以上库文件在编译openssl后可在out32dll目录下找到, 
  6. *所需证书文件请参照文章自行生成. 
  7. *****************************************************************/ 
  8.  
  9. #include <stdio.h> 
  10. #include <stdlib.h> 
  11. #include <memory.h> 
  12. #include <errno.h> 
  13. #include <sys/types.h> 
  14.  
  15. #include <winsock2.h> 
  16.  
  17. #include "openssl/rsa.h" 
  18. #include "openssl/crypto.h" 
  19. #include "openssl/x509.h" 
  20. #include "openssl/pem.h" 
  21. #include "openssl/ssl.h" 
  22. #include "openssl/err.h" 
  23.  
  24. /*所有需要的参数信息都在此处以#define的形式提供*/ 
  25. #define CERTF "server.crt" /*服务端的证书(需经CA签名)*/ 
  26. #define KEYF "server.key" /*服务端的私钥(建议加密存储)*/ 
  27. #define CACERT "ca.crt" /*CA 的证书*/ 
  28. #define PORT 1111 /*准备绑定的端口*/ 
  29.  
  30. #define CHK_NULL(x) if ((x)==NULL) exit (1) 
  31. #define CHK_ERR(err,s) if ((err)==-1) { perror(s); exit(1); } 
  32. #define CHK_SSL(err) if ((err)==-1) { ERR_print_errors_fp(stderr); exit(2); } 
  33.  
  34. int main () 
  35. int err; 
  36. int listen_sd; 
  37. int sd; 
  38. struct sockaddr_in sa_serv; 
  39. struct sockaddr_in sa_cli; 
  40. int client_len; 
  41. SSL_CTX* ctx; 
  42. SSL* ssl; 
  43. X509* client_cert; 
  44. char* str; 
  45. char buf [4096]; 
  46. SSL_METHOD *meth; 
  47. WSADATA wsaData; 
  48.  
  49. if(WSAStartup(MAKEWORD(2,2),&wsaData) != 0){ 
  50. printf("WSAStartup()fail:%d\n",GetLastError()); 
  51. return -1; 
  52.  
  53. SSL_load_error_strings(); /*为打印调试信息作准备*/ 
  54. OpenSSL_add_ssl_algorithms(); /*初始化*/ 
  55. meth = TLSv1_server_method(); /*采用什么协议(SSLv2/SSLv3/TLSv1)在此指定*/ 
  56.  
  57. ctx = SSL_CTX_new (meth); 
  58. CHK_NULL(ctx); 
  59.  
  60. SSL_CTX_set_verify(ctx,SSL_VERIFY_PEER,NULL); /*验证与否*/ 
  61. SSL_CTX_load_verify_locations(ctx,CACERT,NULL); /*若验证,则放置CA证书*/ 
  62.  
  63. if (SSL_CTX_use_certificate_file(ctx, CERTF, SSL_FILETYPE_PEM) <= 0) { 
  64. ERR_print_errors_fp(stderr); 
  65. exit(3); 
  66. if (SSL_CTX_use_PrivateKey_file(ctx, KEYF, SSL_FILETYPE_PEM) <= 0) { 
  67. ERR_print_errors_fp(stderr); 
  68. exit(4); 
  69.  
  70. if (!SSL_CTX_check_private_key(ctx)) { 
  71. printf("Private key does not match the certificate public key\n"); 
  72. exit(5); 
  73.  
  74. SSL_CTX_set_cipher_list(ctx,"RC4-MD5"); 
  75.  
  76. /*开始正常的TCP socket过程.................................*/ 
  77. printf("Begin TCP socket...\n"); 
  78.  
  79. listen_sd = socket (AF_INET, SOCK_STREAM, 0); 
  80. CHK_ERR(listen_sd, "socket"); 
  81.  
  82. memset (&sa_serv, '\0'sizeof(sa_serv)); 
  83. sa_serv.sin_family = AF_INET; 
  84. sa_serv.sin_addr.s_addr = INADDR_ANY; 
  85. sa_serv.sin_port = htons (PORT); 
  86.  
  87. err = bind(listen_sd, (struct sockaddr*) &sa_serv, 
  88.  
  89. sizeof (sa_serv)); 
  90.  
  91. CHK_ERR(err, "bind"); 
  92.  
  93. /*接受TCP链接*/ 
  94. err = listen (listen_sd, 5); 
  95. CHK_ERR(err, "listen"); 
  96.  
  97. client_len = sizeof(sa_cli); 
  98. sd = accept (listen_sd, (struct sockaddr*) &sa_cli, &client_len); 
  99. CHK_ERR(sd, "accept"); 
  100. closesocket (listen_sd); 
  101.  
  102. printf ("Connection from %lx, port %x\n"
  103. sa_cli.sin_addr.s_addr, sa_cli.sin_port); 
  104.  
  105. /*TCP连接已建立,进行服务端的SSL过程. */ 
  106. printf("Begin server side SSL\n"); 
  107.  
  108. ssl = SSL_new (ctx); 
  109. CHK_NULL(ssl); 
  110. SSL_set_fd (ssl, sd); 
  111. err = SSL_accept (ssl); 
  112. printf("SSL_accept finished\n"); 
  113. CHK_SSL(err); 
  114.  
  115. /*打印所有加密算法的信息(可选)*/ 
  116. printf ("SSL connection using %s\n", SSL_get_cipher (ssl)); 
  117.  
  118. /*得到服务端的证书并打印些信息(可选) */ 
  119. client_cert = SSL_get_peer_certificate (ssl); 
  120. if (client_cert != NULL) { 
  121. printf ("Client certificate:\n"); 
  122.  
  123. str = X509_NAME_oneline (X509_get_subject_name (client_cert), 0, 0); 
  124. CHK_NULL(str); 
  125. printf ("\t subject: %s\n", str); 
  126. Free (str); 
  127.  
  128. str = X509_NAME_oneline (X509_get_issuer_name (client_cert), 0, 0); 
  129. CHK_NULL(str); 
  130. printf ("\t issuer: %s\n", str); 
  131. Free (str); 
  132.  
  133. X509_free (client_cert);/*如不再需要,需将证书释放 */ 
  134. else 
  135. printf ("Client does not have certificate.\n"); 
  136.  
  137. /* 数据交换开始,用SSL_write,SSL_read代替write,read */ 
  138. err = SSL_read (ssl, buf, sizeof(buf) - 1); 
  139. CHK_SSL(err); 
  140. buf[err] = '\0'
  141. printf ("Got %d chars:'%s'\n", err, buf); 
  142.  
  143. err = SSL_write (ssl, "I hear you.", strlen("I hear you.")); 
  144. CHK_SSL(err); 
  145.  
  146. /* 收尾工作*/ 
  147. shutdown (sd,2); 
  148. SSL_free (ssl); 
  149. SSL_CTX_free (ctx); 
  150.  
  151. return 0; 
  152. /***************************************************************** 
  153. * EOF - serv.cpp 
  154. *****************************************************************/ 

五、https / http 兼容客户端的c语言实现

/*
* OpenSSL SSL/TLS Https Client example
* Only for Unix/Linux:
* cc -c https.c
* cc -o https https.c -lssl
* OpenSSL library needed.
*
* 同时支持普通的socket连接以及基于普通socket基础之上的ssl
* 连接。这对于已有的socket程序修改来说会比较方便,不至于
* 和原来的结构发生太大的冲突.
* 要注意的一点,似乎当使用socket套接字来创建ssl连接的时候,
* 如果套接字是采用非阻塞方式建立的话,会导致ssl会话失败,不
* 知道为什么。所以这里对于提供给https的套接字采用了普通的
* connect方法创建。
*/

  1. #include <stdio.h> 
  2. #include <stdlib.h> 
  3. #include <string.h> 
  4. #include <stdarg.h> 
  5. #include <errno.h> 
  6. #include <fcntl.h> 
  7. #include <unistd.h> 
  8. #include <sys/types.h> 
  9. #include <sys/socket.h> 
  10. #include <netinet/in.h> 
  11. #include <arpa/inet.h> 
  12. #include <netdb.h> 
  13. #include <openssl/crypto.h> 
  14. #include <openssl/ssl.h> 
  15. #include <openssl/err.h> 
  16. #include <openssl/rand.h> 
  17.  
  18.  
  19. #define BUF_LEN 1024 
  20. #define MAX_STRING_LEN 2048 
  21.  
  22. //xnet_select x defines 
  23. #define READ_STATUS 0 
  24. #define WRITE_STATUS 1 
  25. #define EXCPT_STATUS 2 
  26.  
  27. /* flag to set request with ssl or not. */ 
  28. static int bIsHttps = 1; 
  29. static int timeout_sec = 10; 
  30. static int timeout_microsec = 0; 
  31.  
  32. void err_doit(int errnoflag, const char *fmt, va_list ap); 
  33. void err_quit(const char *fmt, ...); 
  34. int create_tcpsocket(const char *host, const unsigned short port); 
  35. int xnet_select(int s, int sec, int usec, short x); 
  36.  
  37. int main(int argc, char* argv[]){ 
  38. char* host = "127.0.0.1"
  39. unsigned short port = 80; 
  40. int fd; 
  41.  
  42. SSL *ssl; 
  43. SSL_CTX *ctx; 
  44.  
  45. int n,ret; 
  46. char buf[BUF_LEN]; 
  47. char* requestpath = "/"
  48.  
  49. if( argc == 5 ){ 
  50. host = argv[1]; 
  51. port = atoi(argv[2]); 
  52. requestpath = argv[3]; 
  53. bIsHttps = atoi(argv[4]); 
  54.  
  55. /* make connection to the cache server */ 
  56. fd = create_tcpsocket(host, port); 
  57.  
  58. /* http request. */ 
  59. sprintf(buf, "GET %s HTTP/1.0\r\nHost: %s\r\n\r\n"
  60.  
  61. requestpath, host); 
  62.  
  63. if(bIsHttps != 1){ 
  64. if(xnet_select(fd, timeout_sec, timeout_microsec, 
  65.  
  66. WRITE_STATUS)>0){ 
  67. /* send off the message */ 
  68. write(fd, buf, strlen(buf)); 
  69. else
  70. err_quit("Socket I/O Write Timeout %s:%d\n", host, port); 
  71. printf("Server response:\n"); 
  72. while (xnet_select(fd, timeout_sec, timeout_microsec, 
  73.  
  74. READ_STATUS)>0){ 
  75. if ((n = read(fd, buf, BUF_LEN-1)) > 0) { 
  76. buf[n] = '\0'
  77. printf("%s", buf); 
  78. else
  79. break
  80. // close the plain socket handler. 
  81. close(fd); 
  82. else
  83. SSL_load_error_strings(); 
  84. SSL_library_init(); 
  85. ctx = SSL_CTX_new(SSLv23_client_method()); 
  86. if ( ctx == NULL ){ 
  87. err_quit("init SSL CTX failed:%s\n"
  88. ERR_reason_error_string(ERR_get_error())); 
  89.  
  90. ssl = SSL_new(ctx); 
  91. if ( ssl == NULL ){ 
  92. err_quit("new SSL with created CTX failed:%s\n"
  93. ERR_reason_error_string(ERR_get_error())); 
  94.  
  95. ret = SSL_set_fd(ssl, fd); 
  96. if ( ret == 0 ){ 
  97. err_quit("add SSL to tcp socket failed:%s\n"
  98. ERR_reason_error_string(ERR_get_error())); 
  99.  
  100. /* PRNG */ 
  101. RAND_poll(); 
  102. while ( RAND_status() == 0 ){ 
  103. unsigned short rand_ret = rand() % 65536; 
  104. RAND_seed(&rand_ret, sizeof(rand_ret)); 
  105.  
  106. /* SSL Connect */ 
  107. ret = SSL_connect(ssl); 
  108. if( ret != 1 ){ 
  109. err_quit("SSL connection failed:%s\n"
  110. ERR_reason_error_string(ERR_get_error())); 
  111.  
  112. // https socket write. 
  113. SSL_write(ssl, buf, strlen(buf)); 
  114. while((n = SSL_read(ssl, buf, BUF_LEN-1)) > 0){ 
  115. buf[n] = '\0'
  116. write(1, buf, n); 
  117. if(n != 0){ 
  118. err_quit("SSL read failed:%s\n"
  119. ERR_reason_error_string(ERR_get_error())); 
  120. // close ssl tunnel. 
  121. ret = SSL_shutdown(ssl); 
  122. if( ret != 1 ){ 
  123. close(fd); 
  124. err_quit("SSL shutdown failed:%s\n"
  125. ERR_reason_error_string(ERR_get_error())); 
  126.  
  127. // close the plain socket handler. 
  128. close(fd); 
  129.  
  130. // clear ssl resource. 
  131. SSL_free(ssl); 
  132. SSL_CTX_free(ctx); 
  133. ERR_free_strings(); 
  134.  
  135. /* create common tcp socket connection */ 
  136.  
  137. int create_tcpsocket(const char *host, const unsigned short port){ 
  138. int ret; 
  139.  
  140.  
  141. char * transport = "tcp"
  142. struct hostent *phe; /* pointer to host information entry */ 
  143. struct protoent *ppe; /* pointer to protocol information entry */ 
  144. struct sockaddr_in sin; /* an Internet endpoint address */ 
  145. int s; /* socket descriptor and socket type */ 
  146.  
  147. memset(&sin, 0, sizeof(sin)); 
  148. sin.sin_family = AF_INET; 
  149.  
  150. if ((sin.sin_port = htons(port)) == 0) 
  151. err_quit("invalid port \"%d\"\n", port); 
  152.  
  153. /* Map host name to IP address, allowing for dotted decimal */ 
  154. if( phe = gethostbyname(host) ) 
  155. memcpy(&sin.sin_addr, phe->h_addr, phe->h_length); 
  156. else if( (sin.sin_addr.s_addr = inet_addr(host)) == INADDR_NONE ) 
  157. err_quit("can't get \"%s\" host entry\n", host); 
  158.  
  159. /* Map transport protocol name to protocol number */ 
  160. if ( (ppe = getprotobyname(transport)) == 0) 
  161. err_quit("can't get \"%s\" protocol entry\n", transport); 
  162.  
  163. /* Allocate a common TCP socket */ 
  164. s = socket(PF_INET, SOCK_STREAM, ppe->p_proto); 
  165. if (s < 0) 
  166. err_quit("can't create socket: %s\n", strerror(errno)); 
  167.  
  168. if(bIsHttps != 1){ 
  169. /* Connect the socket with timeout */ 
  170. fcntl(s,F_SETFL, O_NONBLOCK); 
  171. if (connect(s, (struct sockaddr *)&sin, sizeof(sin)) == -1){ 
  172. if (errno == EINPROGRESS){// it is in the connect process 
  173. struct timeval tv; 
  174. fd_set writefds; 
  175. tv.tv_sec = timeout_sec; 
  176. tv.tv_usec = timeout_microsec; 
  177. FD_ZERO(&writefds); 
  178. FD_SET(s, &writefds); 
  179. if(select(s+1,NULL,&writefds,NULL,&tv)>0){ 
  180. int len=sizeof(int); 
  181. //下面的一句一定要,主要针对防火墙 
  182. getsockopt(s, SOL_SOCKET, SO_ERROR, &errno, &len); 
  183. if(errno != 0) 
  184. ret = 1; 
  185. else 
  186. ret = 0; 
  187. else 
  188. ret = 2;//timeout or error happen 
  189. else ret = 1; 
  190. else
  191. ret = 1; 
  192. else
  193. /* create common tcp socket.seems 
  194.  
  195. non-block type is not supported by ssl. */ 
  196. ret = connect(s, (struct sockaddr *)&sin, sizeof(sin)); 
  197.  
  198. if(ret != 0){ 
  199. close(s); 
  200. err_quit("can't connect to %s:%d\n", host, port); 
  201.  
  202. return s; 
  203.  
  204. /* 
  205. s - SOCKET 
  206. sec - timeout seconds 
  207. usec - timeout microseconds 
  208. x - select status 
  209. */ 
  210. int xnet_select(int s, int sec, int usec, short x){ 
  211. int st = errno; 
  212. struct timeval to; 
  213. fd_set fs; 
  214. to.tv_sec = sec; 
  215. to.tv_usec = usec; 
  216. FD_ZERO(&fs); 
  217. FD_SET(s, &fs); 
  218. switch(x){ 
  219. case READ_STATUS: 
  220. st = select(s+1, &fs, 0, 0, &to); 
  221. break
  222. case WRITE_STATUS: 
  223. st = select(s+1, 0, &fs, 0, &to); 
  224. break
  225. case EXCPT_STATUS: 
  226. st = select(s+1, 0, 0, &fs, &to); 
  227. break
  228. return(st); 
  229.  
  230. void err_doit(int errnoflag, const char *fmt, va_list ap){ 
  231. int errno_save; 
  232. char buf[MAX_STRING_LEN]; 
  233.  
  234. errno_save = errno; 
  235. vsprintf(buf, fmt, ap); 
  236. if (errnoflag) 
  237. sprintf(buf + strlen(buf), ": %s", strerror(errno_save)); 
  238. strcat(buf, "\n"); 
  239. fflush(stdout); 
  240. fputs(buf, stderr); 
  241. fflush(NULL); 
  242. return
  243.  
  244. /* Print a message and terminate. */ 
  245. void err_quit(const char *fmt, ...){ 
  246. va_list ap; 
  247. va_start(ap, fmt); 
  248. err_doit(0, fmt, ap); 
  249. va_end(ap); 
  250. exit(1); 

 

(icebsd)
本站文章除注明转载外,均为本站原创或编译欢迎任何形式的转载,但请务必注明出处,尊重他人劳动,同学习共成长。转载请注明:文章转载自:罗索实验室 [http://www.rosoo.net/a/201007/9789.html]
本文出处:icebsd.cublog.cn 作者:icebsd
顶一下
(2)
100%
踩一下
(0)
0%
------分隔线----------------------------
发表评论
请自觉遵守互联网相关的政策法规,严禁发布色情、暴力、反动的言论。
评价:
表情:
用户名: 验证码:点击我更换图片
栏目列表
将本文分享到微信
织梦二维码生成器
推荐内容