TraceEagle使用教程

TraceEagle是一款免费、跨平台的网络抓包与调试工具，定位是 Charles / Fiddler 的现代替代品，但能力边界更宽。它的核心思路是把代理抓包、网卡直抓、进程内部取明文放进同一个工具，让你根据目标灵活切换，而不是被单一抓包模式卡住。下面从安装到进阶用法，带你完整走一遍。

---

一、安装与首次启动

下载与安装

TraceEagle以桌面应用形式提供，覆盖 macOS、Windows 和 Linux。手机（iOS / Android）的流量也通过连接电脑来抓取，因此桌面端是起点。

• macOS：下载对应芯片版本（Apple Silicon 或 Intel），解压后将 TraceEagle.app 拖入 Applications 文件夹。由于暂未通过 Apple 公证，首次打开会被系统拦截，这是正常现象。进入 系统设置 → 隐私与安全性，在安全区域找到“TraceEagle 已被阻止”，点击 仍然打开，验证密码或 Touch ID 即可。此后可正常双击启动。
• Windows：下载 .exe 安装包，运行并按提示完成安装。网卡抓包依赖的 Npcap 驱动会在需要时自动安装，无需手动下载。建议右键选择“以管理员身份运行”，以避免权限不足。
• Linux：下载 AppImage 或 .deb。AppImage 赋予执行权限后直接运行；.deb 用包管理器安装。

首次启动与权限

首次启动时，底层抓包（网卡抓包、系统级抓包）可能需要管理员 / root 权限，按系统提示同意即可。只使用代理抓包或指定程序抓包时，通常不需要额外提权。

---

二、最快跑通第一次抓包：指定程序抓包

如果你只是想“立刻看到明文”，这是最省事的路径：不碰系统代理、不装证书、不影响其他软件，由工具替你启动目标程序并自动解密。

步骤

1. 新建会话，选择 「本机指定程序抓包」。
2. 在「启动命令」中填写要运行的命令，或点击内置示例自动填充：
   • 浏览器示例：拉起一个独立、干净的浏览器窗口，并自动将 HTTP/3 回退为普通连接，便于解密。
   • Python 示例：用一条简单命令发送请求，最稳地看到明文。
   • 命令行示例：抓取 curl 等命令行工具的 HTTPS 请求。
3. 点击 开始。工具会启动目标程序，只抓它的流量，包括它拉起的子进程。
4. 在目标程序中产生网络请求，流量会实时出现在请求列表中。点开任意一条，如果 TLS 显示 「已解密」，说明你已看到明文。

适用边界

指定程序抓包要求目标程序由工具启动。如果程序已经在运行、做了证书绑定（Pinning）、不认代理或使用自研加密，它可能抓不到或解不开，此时应改用应用层抓包或网卡抓包。

---

三、六种抓包模式：根据目标选对路

TraceEagle 的核心价值在于“不同目标用不同抓法”。下表可以帮你快速决策：

你想抓什么	推荐模式	关键特点
本机浏览器 / 程序，需要改包、重放	代理抓包	功能最全，支持改写、重放、手机 / 局域网设备
只抓某一个可用命令启动的程序，免证书	指定程序抓包	最干净、最快，自动解密
程序已在运行、有证书绑定、自研加密	应用层抓包	从进程内部取明文，绕过代理和证书限制
整机全部流量，含不走代理的、UDP / QUIC、DNS	网卡抓包	网卡层“什么都看得到”，配合 H3 解密
macOS 系统自带 App、格外顽固的应用	系统级抓包	旁路观测，适合外部手段难以介入的场景
iPhone / iPad 流量	iOS 抓包	免越狱，支持系统级 / 网卡 / 应用层三种子模式
Android 流量	Android 抓包	支持 USB 调试与模拟器，可处理用户证书限制

拿不准时，先试代理抓包：它最通用，既能出明文，又能改包重放，还能顺带覆盖手机和局域网设备。

代理抓包

适合需要篡改、重放、拦截的 HTTP / HTTPS 场景。接入方式有两种：传统代理（走系统代理，一键接入，停止后自动还原）和无感代理（更底层的接管方式）。走代理抓 HTTPS 前，需要先完成证书安装与信任（见第六节）。代理抓包支持 HTTP/1.1、HTTP/2、HTTP/3、WebSocket 和 gRPC。

网卡抓包

当你需要看到不走系统代理的流量、UDP / QUIC、DNS 或整机全量行为时，选网卡抓包。新建会话选择「本机网卡抓包」，工具会自动列出网卡并默认选中当前活动的那块，直接开抓即可。网卡抓包属于底层抓法，首次使用需要授权管理员 / root 权限。

应用层抓包

这是 TraceEagle 区别于传统工具的关键能力。目标程序正在运行、做了证书绑定、不认代理、走自研加密，代理和网卡都拿不到明文时，应用层抓包直接从进程内部读取收发内容。新建会话选择「本机应用层抓包」，从进程列表选中正在运行的目标即可，无需重启、无需改程序配置、无需装证书。两个可选开关值得留意：

• 重启目标：勾选后工具会先关闭目标再由自己拉起，用于捕捉启动瞬间的鉴权 / 握手流量。
• Socket 流量：遇到精简过、去符号或用新技术栈的程序，打开此开关走更底层的路径取数据。

系统级抓包

主要面向 macOS 系统自带 App 或格外顽固、拒绝一切外部介入的应用。操作逻辑与应用层抓包类似，但走的是旁路观测路径，适合外部手段都失效时的兜底。

---

四、移动端抓包：iPhone 与 Android

iOS（免越狱）

连接 iPhone / iPad 后，在新建会话中将目标选为 iOS，选择设备（刚插上没出现就点刷新），再从三种方式中选一种：

• 系统级抓包：最省心。只需安装一次设备诊断描述文件，即可看到普通 App 和 App Store 应用的请求地址、状态码、请求头 / 响应头（Body 通常不可见）。不装 CA 证书、不设代理、不受证书绑定影响。
• 网卡抓包：看整机全部流量，默认密文；要对某个 App 解密，需用开发证书重签该 App。
• 应用层抓包：拿到单个 App 的完整明文（含 Body），前提是目标 App 用开发证书重签名。

Android

Android 设备需开启 USB 调试，首次连接时在手机上点击“允许”。连接后，TraceEagle 设备列表中会出现该设备。Android 抓包同样支持代理、网卡、应用层等模式；若遇到高版本系统不信任用户证书的情况，可参考 TraceEagle 提供的免装证书抓法（如应用层取明文或 root 后装入系统证书库）。

---

五、看懂界面与数据查看

抓到流量后，请求列表会按顺序列出每条记录。每一条都标注了进程归属（来自哪个程序），即使流量混在一起也能一眼区分。当会话密钥可用时，TLS 详情会显示 「已解密」，工具自动将密文转为明文；你也可以同时查看原始字节与明文，对照分析。

点开任意一条进入详情后，请求侧和响应侧各自独立，可以分别切换查看方式：

• 结构化：起始行 + 请求头表格 + 智能 body，默认视图，先看它。
• 文本·美化：自动识别 JSON、XML、表单并格式化缩进。
• 文本·原样：完整报文按文本原样展示，不改一个字节。
• 十六进制：hex 查看器，偏移、hex 与 ASCII 并排联动，支持超大数据流畅查看，可一键保存为二进制文件。
• 自动识别：交给引擎深度解码，压缩套压缩、帧套帧都能逐层展开。

响应若经过 gzip / brotli / deflate / zstd 压缩，TraceEagle 会自动解开再展示，多层编码也会从外到内逐层处理。图片、视频、音频、PDF 等媒体文件可直接在详情中预览，无需另存打开。

---

六、证书管理：代理抓 HTTPS 的前提

只有代理抓包解 HTTPS 明文时需要证书。指定程序抓包、应用层抓包、系统级抓包通常不依赖证书，可以跳过本节。

本机证书

打开 证书管理 页面，查看“本机信任状态”。若显示“未信任”，点击 「安装到本机并信任」，按系统提示确认（可能需要输入开机密码）。状态变为“已信任”即完成，装一次后所有代理会话都能解密。

手机证书

在证书管理页找到 手机扫码安装，用手机相机扫描对应二维码，按系统指引操作。iOS 安装描述文件后，还需要进入 设置 → 通用 → 关于本机 → 证书信任设置，对该根证书开启完全信任，否则依然无法解密。

证书全覆盖

Java、Python、curl / wget 等程序只认自己那份证书清单，即使系统证书已装好，它们仍然可能解不开。在证书管理页打开 证书全覆盖，工具会自动发现这类程序，并将根证书直接装入它们，一键补齐。

---

七、自定义协议解码：让私有协议也能读

遇到非 HTTP、非 JSON/protobuf 的私有或二进制协议时，通用视图只能摊开原始字节。TraceEagle 的自定义解码器用一个函数教它如何“切消息”。TraceEagle(PIGABC3CMP467HXSIMFJYOBAIA)

工作原理

工具把你的解码函数当作一个**“能不能切一条”的循环来调用：把剩余字节流 buf 喂给你，你判断能否切出一条完整消息；切出来就 push 到 out，并返回这次消费的字节数**；工具拿剩余字节再次调用，直到你返回 0 表示“切不动了”。发送流和接收流会分开各跑一遍你的钩子，方向自动标注，你只需要关心“怎么切”。

最小函数骨架

function decode(buf, out) {
    // buf: ArrayBuffer，剩余未消费字节
    // out: 输出收集器，out.push(消息字节) 推出一条消息
    // 返回：本次消费掉的字节数；返回 0 表示无法继续切分
}

两个新手最容易踩的坑：buf 是 ArrayBuffer，不能直接 buf[0] 下标取字节，应使用内置的 u8、u16be、sub 等辅助函数，或自行包装 new Uint8Array(buf)；如果 push 了消息却返回 0，这条消息会被丢弃。不想从空白写起，可以点击插入模板，选一个最接近你协议的骨架，改几个数字就能跑。

切出来的消息推出去后，工具会再做一次自动识别——里面是 protobuf、JSON、plist 就继续解成结构化，你只负责拆帧、剥头、解压，剩下的接力棒它接。

---

八、常见问题排查

现象	多半是	怎么办
一条请求都没有	目标不走系统代理	改用网卡抓包，网卡层什么都抓得到
抓到了但全是密文	没装证书，或 App 做了证书绑定	装证书，或改用应用层抓包
手机装了证书还是抓不到	高版本系统不信任用户证书	改用 iOS / Android 的免证书抓法（系统级或应用层）
HTTP/3 / QUIC 看不到	走的是 UDP，普通代理看不见	用网卡抓包配合 H3 解密
指定程序抓包抓不到	程序已在运行，或走 HTTP/3	先关掉程序让工具重新拉起；开启“阻止 HTTP/3”让它回退
命令行工具只有密文	用了系统自带加密库（如 macOS 的 curl）	换用 Python 示例或 OpenSSL 版 curl，或改用应用层抓包
Windows 上引擎被隔离	杀毒软件误报	从隔离区恢复文件，并将 TraceEagle 目录加入排除项，以管理员身份运行

更系统的排查可以在工具内先跑一遍 网络诊断。

---

九、进阶：抓包之后能做什么

TraceEagle 不止于“看”。抓到明文后，日常高频能力包括：

• 规则改写与断点拦截：不改代码直接改请求 / 响应，或把请求半路拦下来手动修改。
• 请求构造与重放：任意请求修改后再发，带签名、时间戳的接口也能真正重放。
• 会话重放与压力测试：一串请求成批重放，或对单条接口就地压测。
• 生成代码与导出接口文档：一条请求转多语言代码，整段会话可反推出 OpenAPI 文档。
• MCP 集成：TraceEagle 内置 MCP 服务器，AI Agent 可以直接调用它启动抓包、解码字节、构造请求和重放流量，适合自动化测试与 AI 辅助调试场景。

---

TraceEagle 的学习曲线主要不在于“会不会点按钮”，而在于根据目标选对抓法。记住一条主线：能用命令启动的常规程序 → 指定程序抓包；需要改包重放 → 代理抓包；整机全量 → 网卡抓包；证书绑定 / 自研加密 → 应用层抓包；系统自带 App → 系统级抓包。先从指定程序抓包跑通第一次，再根据实际目标逐步扩展到其他模式即可。