Просмотр SSL-сертификата страницы, которая сразу же перенаправляет на другую

25

Так что я немного погуглил по этому поводу, но похоже, что мой гугл-фу меня не устраивает - извиняюсь, если это тривиальный и уже отвеченный вопрос, я не смог ничего найти по этому поводу

Я пытаюсь диагностировать несоответствие имени хоста SSL-сертификата. Когда я захожу на указанный URL-адрес, он перенаправляет меня на другую страницу с правильным SSL-сертификатом. Однако некоторые клиенты сообщают, что получают ошибку несоответствия имени хоста сертификата SSL. Мое единственное предположение состоит в том, что страница перенаправления имеет неправильный сертификат, и некоторые клиенты позволяют ей скользить, потому что она разрешается с новой страницей, которая имеет правильный сертификат.

(Как и почему проблемы на самом деле не вопрос)

Вопрос:

С внешней стороны (иначе как клиент в мире) - как можно просмотреть сертификат, который был доставлен страницей, которая автоматически перенаправляет на другую страницу?

ssl ssl-certificate 301-redirect

— Роберт Петц
источник

Другим полезным ресурсом является тест SSL-сервера от Qualy's SSL Labs.

— Триг

35

Используйте openssl s_client piped для openssl x509 :

$ openssl s_client -connect foo.example.com:443 < /dev/null | openssl x509 -text

(Добавьте -servername foo.example.comк команде s_client, если сервер использует SNI .)

Перенаправление stdin из / dev / null для первого вызова openssl предотвратит зависание в ожидании ввода.

— EEAA
источник

2

Вы можете также направить выход на openssl x509 -textна самом деле увидеть , что в CERT сервера и перенаправить ввод исходной opensslкоманды из /dev/nullтак что команда не висит: openssl s_client -connect ... < /dev/null | openssl x509 -text. Найдите поле «Альтернативное имя субъекта X509v3».

— Эндрю Хенле

@AndrewHenle Отличное дополнение. Не стесняйтесь редактировать это в моем ответе, если хотите.

— EEAA

Работал как шарм - я только ограниченное количество времени проводил с openSSL, но каждый раз, когда мне нужно что-то сделать с ssl, это всегда сводится к этому, ха-ха ... Спасибо за совет!

— Роберт Петц

6

Если сервер использует SNI, вы должны добавить -servername foo.example.comк s_clientпараметрам.

— Бруно

Я не вижу цепочку доверия в выводе. Если я хочу узнать, доверяют ли веб-сайту VeriSign, LetsEncrypt, ChineseGov или DO_NOT_TRUST_FiddlerRoot, что мне следует искать?

— Карл Уолш

7

В Firefox 57, если вы откроете Инструменты разработчика и перейдете на вкладку Сеть:

Убедитесь, что Persist Logsпроверено
Посетите интересующий URL
Нажмите на верхнюю строку (то есть ту, которая соответствует запросу на интересующий вас сервер, что привело к ответу на перенаправление)
Нажмите на Securityвкладку (на полпути вниз, все еще внутри Network)

Это позволит вам просмотреть информацию о сертификате, такую как общее имя эмитента, данные эмитента, срок действия и отпечатки пальцев.

Это работало для меня на сайте, отвечающем перенаправлением 301 на другой сайт HTTPS. (К сожалению, принятый ответ только что дал мне сертификат для конечной страницы назначения.)

— mpavey
источник

Спасибо за родной метод Browser. Вы пробовали -servernameвариант с openssl? Это может дать другой результат, даже если это одно и то же имя.

— Mwfearnley

@ mwfearnley Нет! С openssl, я просто скопировал и вставил из ответа и сдался после того, как это не сработало :) Спасибо за предложение.

— mpavey

5

Кроме того, есть графический инструмент для Windows с подробной трассировкой текста: Инструмент проверки сертификатов SSL и описание инструмента: Проверка SSL-сертификатов с помощью инструмента, и вот пример того, как он обрабатывает перенаправления:

введите описание изображения здесь

— Crypt32
источник

1

В качестве альтернативы отдельным программам, упомянутым в других ответах, вы также можете отключить автоматическое перенаправление в вашем браузере.

Вариант сделать это зависит от браузера, вот методы для Firefox и Chrome:

— JPA
источник

Не уверен, кто это проголосовал?

— Роберт Петц

Да, это именно то, что я хотел, полностью в браузере.

— Michael12345,

1

Это не сработало для меня в Chrome. Я вижу 302 в трассировке сети, но не вижу, как проверить сертификат по трассировке сети. Если я нажму на вкладку «Безопасность», Chrome вместо этого покажет мне сертификат с текущей веб-страницы (цель перенаправления).

— Карл Уолш

Скорее всего, это связано с тем, что ответы «только по ссылкам» с годами гниют по мере изменения продуктов. Может быть, этот ответ работал до того, как Chrome представил вкладку «Безопасность»?

— Карл Уолш

1

@jpa Ссылка, которую вы указали для Chrome, объясняет, как сохранить сетевой журнал после перенаправления, а не как запретить Chrome следовать перенаправлению.

— mpavey