Перечисление доменов в SSL-сертификате UCC/SAN

Есть ли способ перечислить все домены на SAN/UCC SSL сертификате (желательно с использованием командной строки на linux/os x)?

Ясно, что должен быть какой-то способ извлечь данные, так как браузеры могут это сделать. К сожалению, я вижу список, но не могу его скопировать и вставить.

openssl x509 -text < $CERT_FILE

#=>

. . .
                DNS: . . .
. . .

где $CERT_FILE может иметь расширение .pem или .crt.

Функции оболочки для просмотра файлов сертификатов и проверки, соответствуют ли сертификат и файл ключа, можно найти здесь.

Вы можете перечислить домены с помощью этой команды (проверено на linux):

cat cert.pem | openssl x509 -text | grep DNS

Если вы просто хотите увидеть SAN, grep DNS: является очевидным решением.

Если вы хотите получить более чистый список для дальнейшей обработки, вы можете использовать этот регулярное выражение Perl для извлечения только имен: @names=/\sDNS:([^\s,]+)/g

Например:

true | openssl s_client -connect example.com:443 2>/dev/null \
| openssl x509 -noout -text \
| perl -l -0777 -ne '@names=/\bDNS:([^\s,]+)/g; print join("\n", sort @names);'

Что выведет это:

example.com
example.edu
example.net
example.org
www.example.com
www.example.edu
www.example.net
www.example.org

Таким образом, вы можете передать это в while read name; do echo "обработка $name ..."; done и т.д.

Или для списка, разделённого запятыми, в одной строке, замените join("\n", на join(",",

(Опция -0777 для perl заставляет его читать весь ввод за раз, а не построчно)

если вы хотите ограничить зависимости до openssl, grep, sed и tr и при этом получить легко анализируемый / итерабельный вывод:

• разделённый пробелами список:

  $ openssl x509 -text -in cert.pem | grep DNS | sed s/DNS://g | tr -d ' ' | tr , ' '
  

  вывод:

  example.com example.org www.example.com www.example.org
  

• разделённый переносами строк список:

  $ openssl x509 -text -in cert.pem | grep DNS | sed s/DNS://g | tr -d ' ' | tr , \\n
  

  вывод:

  example.com
  example.org
  www.example.com
  www.example.org
  

• разделённый запятыми список:

  $ openssl x509 -text -in cert.pem | grep DNS | sed s/DNS://g | tr -d ' '
  

  вывод:

  example.com,example.org,www.example.com,www.example.org
  

что здесь происходит?

• openssl x509 -text -in cert.pem выводит информацию о сертификате в читаемом формате
• grep DNS извлекает строки, содержащие строку: DNS
• sed s/DNS://g удаляет все вхождения: DNS:
• tr -d ' ' удаляет все пробелы
• tr , ' ' заменяет все запятые на пробелы
• tr , \\n заменяет все запятые на переносы строк
• | оператор пайп передает стандартный вывод от команды перед пайпом к стандартному вводу команды после него

Это покажет все альтернативные домены в сертификате (необходимые для всех браузеров сегодня)

openssl x509 -text -noout < fullchain.pem | grep DNS

Ответ будет выглядеть так

DNS:*.example.ru, DNS:example.ru

Многие из этих ответов используют перенаправление вывода, хотя openssl имеет свои собственные инструменты для поиска файла. В эти дни, обычно используя Letsencrypt, вы будете использовать fullchain.pem как файл-ссылку в директории domain.tld/, которую вы хотите проверять.

Это некоторые полезные основные команды, которые могут избежать | и < перемещения ввода и перенаправления с использованием -in для обозначения исходного файла:

openssl x509 -text -in fullchain.pem

Чтобы избежать вывода всего сертификата в файл, используйте -noout:

openssl x509 -text -noout -in fullchain.pem

Чтобы изолировать строку, в которой перечислены применимые домены, да, направьте в grep с | grep DNS:

openssl x509 -text -noout -in fullchain.pem | grep DNS: