使用SSL_CTX_set_keylog_callback记录OpenSSL密钥无法解密Wireshark流量

你给出的回调注册逻辑没有问题，只要init_ctx()返回合法的SSL_CTX对象，回调就能被正常触发。密钥日志失效、Wireshark解密失败完全是回调的文件写入逻辑错误导致的：

• 核心错误是fopen调用使用了"w"（覆盖写入）模式：TLS握手过程中keylog回调会被多次触发，每次传入不同握手阶段对应的一行密钥记录。"w"模式每次打开文件都会清空原有内容，最终日志文件只会保留最后一次回调写入的单条CLIENT_TRAFFIC_SECRET_0记录，缺失握手阶段密钥、服务端流量密钥等Wireshark解密必需的条目，自然无法解密报文。
• 异常分支存在崩溃风险：当fopen返回空指针（文件创建/打开失败）时，代码没有直接返回，仍然会执行后续fprintf调用，触发空指针访问导致程序崩溃。

修正后的回调实现 #

#include <pthread.h>
// 多线程并发创建SSL连接时需要加互斥锁，避免多线程同时写文件导致内容错乱
static pthread_mutex_t keylog_lock = PTHREAD_MUTEX_INITIALIZER;

void SSL_CTX_keylog_cb_func_cb(const SSL *ssl, const char *line){
    // 改用"a"追加模式打开文件，保留所有历史写入的密钥行
    FILE *fp = fopen("key_log.log", "a");
    if (fp == NULL)
    {
        printf("Failed to open key log file\n");
        return; // 打开失败直接返回，禁止执行后续空指针写入操作
    }

    pthread_mutex_lock(&keylog_lock);
    fprintf(fp, "%s\n", line);
    fflush(fp); // 强制刷新写入缓冲区，避免程序异常退出时日志内容丢失
    pthread_mutex_unlock(&keylog_lock);

    fclose(fp);
}

配置校验项 #

修复代码后重新运行程序，确认以下配置即可正常解密：

• 运行前建议删除旧的key_log.log文件，避免旧连接密钥混入日志。
• 正常TLS 1.3连接生成的完整密钥日志会包含至少5类条目：CLIENT_HANDSHAKE_TRAFFIC_SECRET、SERVER_HANDSHAKE_TRAFFIC_SECRET、CLIENT_TRAFFIC_SECRET_0、SERVER_TRAFFIC_SECRET_0、EXPORTER_SECRET，如果日志条目缺失说明回调仍未正常工作。
• Wireshark中配置密钥日志时建议使用文件绝对路径：打开编辑->首选项->Protocols->TLS配置页，在(Pre)-Master-Secret log filename项选择生成的key_log.log文件，避免相对路径匹配失败。
• 确保用于解密的流量包和密钥日志是同一次TLS连接生成的，不同连接的密钥无法通用。

内容的提问来源于stack exchange，提问作者netrunner