fiddler抓包HTTPS請求

標籤：label   開啟   src   tag   lib   frame   tps   還需要   digg   

fiddler抓包HTTPS請求標籤： fiddlerhttps抓包2016-03-29 21:24 23293人閱讀 評論(2) 收藏 舉報 分類：不登高山不知天之高也（1） 

著作權聲明：本文為高紹臣原創文章，轉載請註明出處，本文部落格地址：http://blog.csdn.net/gaoshaochen。

 

目錄(?)[-]

1. fiddler抓包HTTPS請求
1. 教程開始
1. 安裝fiddler
2. 配置fiddler
3. 配置手機
4. 抓包
2. 讓我們想想

  fiddler抓包HTTPS請求

跟著教程來，保證100%成功抓HTTPS包

教程開始 安裝fiddler

首先準備一台可以上網的windos電腦，準備一部智能手機。 
fiddler抓包工具：（ 自行百度一搜一大片）。安裝，開啟如果遇到.net framework錯誤，下載一個高本版的.net 即可。好了教程已經完成了一大半。 
開啟fiddler隨便開啟下瀏覽器。發現已經可以抓包，但想要抓手機https還需要做一些設定。 

配置fiddler

1. 開啟fiddler配置Tools –> Fiddler Options. 
   
2. 開啟HTTPS配置項，勾選“CaptureHTTPS CONNECTs”，同時勾選“Decrypt HTTPS traffic”，彈出的對話方塊選擇是（這裡是按照fiddler自己的認證）如果跟我一樣手機跟電腦是用wifi進行連結的話還需要選擇“…fromremote clients only”。如果需要監聽不可信的認證的HTTPS請求的話，需要勾選“Ignore servercertificate errors”。 
   
3. 開啟Conections配置項， 這裡可以修改Fiddler代理連接埠號碼。勾選“Allow remote computersto connect。提示需要重啟fiddler。 
   
4. 哈哈，高端的來了，需要寫點代碼。這裡是為了可以抓用戶端使用httpURLConnection的包。 
   Ruler –>CustomizeRules 
   在函數OnBeforeResponse裡面添加下面代碼：

if (oSession.oRequest["User-Agent"].indexOf("Android") > -1 && oSession.HTTPMethodIs("CONNECT")) {            oSession.oResponse.headers["Connection"] = "Keep-Alive";}

• 1
• 2
• 3

• 1
• 2
• 3

添加後代碼為：

static function OnBeforeResponse(oSession: Session) {        if (m_Hide304s && oSession.responseCode == 304) {            oSession["ui-hide"] = "true";        }        if (oSession.oRequest["User-Agent"].indexOf("Android") > -1 && oSession.HTTPMethodIs("CONNECT")) {            oSession.oResponse.headers["Connection"] = "Keep-Alive";        }    }

• 1
• 2
• 3
• 4
• 5
• 6
• 7
• 8

• 1
• 2
• 3
• 4
• 5
• 6
• 7
• 8

不要忘記重啟fiddler！！！

配置手機

保證手機跟pc是在同一個網段下。 
配置手機串連的wifi，可能每個手機開啟wifi配置的方式都不太一樣，仔細研究下，選擇已經串連的網路，開啟修改網路視窗。顯示進階屬性，配置網路代理程式–>手動 Proxy 伺服器主機名稱：填寫pc機的IP地址即可例如：192.168.0.4，Proxy 伺服器連接埠號碼：fiddler的代理連接埠號碼，如果沒有修改就是8888。 
關鍵步驟哈： 
下載安裝fiddler的認證 
 
在手機瀏覽器開啟 Proxy 伺服器：連接埠號碼 例如上面填寫的就是192.168.0.4:8888，點擊頁面中的“FiddlerRootcertificate”連結，在彈出的對話方塊中隨便設定一個名稱確定即可。

抓包

測試機上沒裝多少軟體，開啟百度錢包來試試 

好了。大功告成！

讓我們想想

通過fiddler可以抓包，是不是說https就是不安全的了呢，畢竟所有的請求對我們來說都是透明的呢。其實剛才的過程很重要的一點就是我們下載並且安裝了fiddler的根憑證，對於pc端來說就是配置fiddler https選項時彈出的對話方塊，對於手機來說就是我們去 pcip地址:fiddler代理連接埠這個地址下載認證的過程。 
而對https的安全來說，https安全的前提就是可信的根憑證！！！！ 
而，之前的操作無疑是在我們系統裡面安裝了不可信的根憑證。使得fiddler對我們的通訊造成了中間人攻擊！。 
簡單的說就是我們與伺服器進行通訊，會先擷取伺服器的認證，進行校正校正過程是用本地的可信根憑證進行校正，而裝入fiddler的根憑證後，fiddler可以偽造認證，擷取我們與伺服器通訊的秘鑰，進行破解我們的通訊。所以對我們我們系統來說安裝認證是一個多麼危險的操作！ 
哐哐哐！！查水表！！！

 

頂

2

 

fiddler抓包HTTPS請求