Fiddler抓包HTTPS请求

教程开始

安装fiddler

首先准备一台能够上网的windos电脑，准备一部智能手机。 
fiddler抓包工具：下载地址（ 自行百度一搜一大片）。安装，打开若是遇到.net framework错误，下载一个高本版的.net 便可。好了教程已经完成了一大半。 
打开fiddler随便打开下浏览器。发现已经能够抓包，但想要抓手机https还须要作一些设置。 

配置fiddler

1. 打开fiddler配置Tools –> Fiddler Options. 
   
2. 打开HTTPS配置项，勾选“CaptureHTTPS CONNECTs”，同时勾选“Decrypt HTTPS traffic”，弹出的对话框选择是（这里是按照fiddler本身的证书）若是跟我同样手机跟电脑是用wifi进行连接的话还须要选择“…fromremote clients only”。若是须要监听不可信的证书的HTTPS请求的话，须要勾选“Ignore servercertificate errors”。 
   
3. 打开Conections配置项， 这里能够修改Fiddler代理端口号。勾选“Allow remote computersto connect。提示须要重启fiddler。 
   
4. 哈哈，高端的来了，须要写点代码。这里是为了能够抓客户端使用httpURLConnection的包。 
   Ruler –>CustomizeRules 
   在函数OnBeforeResponse里面添加下面代码：

if (oSession.oRequest["User-Agent"].indexOf("Android") > -1 && oSession.HTTPMethodIs("CONNECT")) {
            oSession.oResponse.headers["Connection"] = "Keep-Alive";
}

添加后代码为：

static function OnBeforeResponse(oSession: Session) {
        if (m_Hide304s && oSession.responseCode == 304) {
            oSession["ui-hide"] = "true";
        }
        if (oSession.oRequest["User-Agent"].indexOf("Android") > -1 && oSession.HTTPMethodIs("CONNECT")) {
            oSession.oResponse.headers["Connection"] = "Keep-Alive";
        }
    }

 

不要忘记重启fiddler！！！

配置手机

保证手机跟pc是在同一个网段下。 
配置手机链接的wifi，可能每一个手机打开wifi配置的方式都不太同样，仔细研究下，选择已经链接的网络，打开修改网络窗口。显示高级属性，配置网络代理–>手动 代理服务器主机名：填写pc机的IP地址便可例如：192.168.0.4，代理服务器端口号：fiddler的代理端口号，若是没有修改就是8888。 
关键步骤哈： 
下载安装fiddler的证书 
 
在手机浏览器打开 代理服务器：端口号 例如上面填写的就是192.168.0.4:8888，点击页面中的“FiddlerRootcertificate”连接，在弹出的对话框中随便设置一个名称肯定便可。

抓包截图

测试机上没装多少软件，打开百度钱包来试试 

好了。大功告成！

让咱们想一想

经过fiddler能够抓包，是否是说https就是不安全的了呢，毕竟全部的请求对咱们来讲都是透明的呢。其实刚才的过程很重要的一点就是咱们下载而且安装了fiddler的根证书，对于pc端来讲就是配置fiddler https选项时弹出的对话框，对于手机来讲就是咱们去 pcip地址:fiddler代理端口这个地址下载证书的过程。 
而对https的安全来讲，https安全的前提就是可信的根证书！！！！ 
而，以前的操做无疑是在咱们系统里面安装了不可信的根证书。使得fiddler对咱们的通讯形成了中间人攻击！。 
简单的说就是咱们与服务器进行通讯，会先获取服务器的证书，进行校验校验过程是用本地的可信根证书进行校验，而装入fiddler的根证书后，fiddler能够伪造证书，获取咱们与服务器通讯的秘钥，进行破解咱们的通讯。因此对咱们咱们系统来讲安装证书是一个多么危险的操做！ 
哐哐哐！！查水表！！！