wireshark && Fiddler抓包分析与解密https && Fiddler修改https请求和响应

最新推荐文章于 2024-10-16 17:39:45 发布

lc11535

最新推荐文章于 2024-10-16 17:39:45 发布

阅读量4.2k

点赞数 3

分类专栏： DEV

本文链接：https://blog.youkuaiyun.com/lc11535/article/details/115058660

版权

本文详细介绍了HTTPS的工作原理，包括TCP、HTTPS、SSL/TLS之间的关系，以及HTTPS握手过程。通过Wireshark和Fiddler工具演示了如何抓包和解密HTTPS流量，解释了会话恢复机制、Session Ticket与Session ID的区别，以及常见的加密算法。同时，讨论了证书类型和常见问题，如第四步出现多个Hello Request消息的解决方法。文章还提供了设置sslkeylogfile以支持Wireshark解密SSL内容的教程，以及Fiddler修改HTTPS请求和响应的操作步骤。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Https理论

在说HTTPS之前先说说什么是HTTP，HTTP就是我们平时浏览网页时候使用的一种协议。HTTP协议传输的数据都是未加密的，也就是明文的，因此使用HTTP协议传输隐私信息非常不安全。为了保证这些隐私数据能加密传输，于是网景公司设计了SSL（Secure Sockets Layer）协议用于对HTTP协议传输的数据进行加密，从而就诞生了HTTPS。SSL目前的版本是3.0，被IETF（Internet Engineering Task Force）定义在RFC 6101中，之后IETF对SSL 3.0进行了升级，于是出现了TLS（Transport Layer Security） 1.0，定义在RFC 2246。实际上我们现在的HTTPS都是用的TLS协议，但是由于SSL出现的时间比较早，并且依旧被现在浏览器所支持，因此SSL依然是HTTPS的代名词，但无论是TLS还是SSL都是上个世纪的事情，SSL最后一个版本是3.0，今后TLS将会继承SSL优良血统继续为我们进行加密服务。目前TLS的版本是1.2。

Https的工作原理

HTTPS在传输数据之前需要客户端（浏览器）与服务端（网站）之间进行一次握手，在握手过程中将确立双方加密传输数据的密码信息。TLS/SSL协议不仅仅是一套加密传输的协议，更是一件经过艺术家精心设计的艺术品，TLS/SSL中使用了非对称加密，对称加密以及HASH算法

TCP、Https、SSL/TLS、https的关系

网络协议套件

上图截自维基百科，对协议进行了明确的划分。

TCP
传输控制协议，属于传输层协议，提供可靠数据传输。它为http等应用层协议提供服务。
Http
超文本传输协议，属于应用层协议。依赖于TCP协议。
SSL/TLS
安全传输层协议，用于在两个通信应用程序之间提供保密性和数据完整性。位于某个可靠的传输协议（例如 TCP）上面，属于应用层协议。
Https
在Http和TCP中间加入了SSL/TLS,保证数据传输的安全性

Https抓包演示

上面是我使用Avanced REST client请求我的https接口，整个请求是没问题的，后面我们就会抓下这个请求的包进行分析。
为了方便演示整个流程，我使用了自己的云服务器和已备案的域名，证书直接在阿里云上申请的免费证书。

环境配置

这里web服务器我们使用Nginx。
首先将阿里下发的证书放到nginx的conf下（新建一个cert文件夹）

nginx_cert.png

配置nginx

nginx_conf.png

当然我们的后台服务得启动起来。端口9000。这里我用的Springboot。

    @ApiOperation(value = "测试POST", notes = "测试POST")
    @RequestMapping(value = "post", method = RequestMethod.POST)
    public Result<TestEntity> testPost(@RequestBody TestBody testBody) throws Exception {
        Result<TestEntity> result = new Result<TestEntity>();
        TestEntity testEntity = new TestEntity();
        testEntity.setId(2);
        testEntity.setName(testBody.toString());
        result.setData(testEntity);
        return result;
    }