fidder 抓取HTTPS请求

最新推荐文章于 2025-05-27 15:36:08 发布

转载最新推荐文章于 2025-05-27 15:36:08 发布 · 467 阅读

C测试工具专栏收录该内容

6 篇文章

订阅专栏

本文介绍如何使用Fiddler工具抓取HTTPS流量，包括安装配置Fiddler、设置手机代理及安装证书等步骤，并探讨HTTPS安全性问题。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

 提琴手抓包HTTPS请求

 跟着教程来，保证100％的成功抓HTTPS包

 教程开始

 安装小提琴手

 首先准备一台可以上网的WINDOS电脑，准备一部智能手机。 

 fiddler抓包工具：下载地址（  
 自行百度
 一搜一大片）。安装，打开如果遇到.net framework错误，下载一个高本版的.net即可。好了教程已经完成了一大半。 

 打开提琴手随便打开下浏览器。发现已经可以抓包，但想要抓手机HTTPS还需要做一些设置。 

 配置提琴手

打开fiddler配置工具 - >提琴手选项。

打开HTTPS配置项，勾选“CaptureHTTPS CONNECTs”，同时勾选“Decrypt HTTPS traffic”，弹出的对话框选择是（这里是按照fiddler自己的证书）如果跟我一样手机跟电脑是用wifi进行链接的话还需要选择“... fromremote clients only”。如果需要监听不可信的证书的HTTPS请求的话，需要勾选“忽略servercertificate错误”。

打开Conections配置项，这里可以修改Fiddler代理端口号。勾选“允许远程计算机连接，提示需要重启fiddler。

哈哈，高端的来了，需要写点代码。这里是为了可以抓客户端使用HttpURLConnection类的包。

 标尺 - > CustomizeRules 

 在函数OnBeforeResponse里面添加下面代码：

 如果（oSession 
 .oRequest 
 [ 
 “User-Agent” 
 ] 
 .indexOf 
 （
 “Android” 
 ）> - 
 1 
 && oSession 
 .HTTPMethodIs 
 （
 “CONNECT” 
 ））{oSession 
 .oResponse.headers 
 [ 
 “Connection” 
 ] = 
 “Keep-Alive” 
 ; 
 }

 添加后代码为：

 静态
 函数OnBeforeResponse （oSession：Session）{ if （m_Hide304s && oSession.responseCode == 304 ）{oSession [ “ui-hide” ] = “true” ; } 如果（oSession.oRequest [ “用户代理” ] .indexOf（ “ 机器人” ）> - 1个&& oSession.HTTPMethodIs（“CONNECT” ））{oSession.oResponse.headers [ “连接” ] = “保持活动” ; }}

 不要忘记重启小提琴手！

 配置手机

 保证手机跟PC是在同一个网段下。 

 配置手机连接的wifi，可能每个手机打开wifi配置的方式都不太一样，仔细研究下，选择已经连接的网络，打开修改网络窗口。显示高级属性，配置网络代理 - >手动代理服务器主机名：填写PC机的IP地址即可例如：192.168.0.4，代理服务器端口号：小提琴手的代理端口号，如果没有修改就是8888。 

 关键步骤哈： 

 下载安装小提琴手的证书 

 在手机浏览器打开代理服务器：端口号例如上面填写的就是192.168.0.4:8888，点击页面中的“FiddlerRootcertificate”链接，在弹出的对话框中随便设置一个名称确定即可。

 抓包截图

 测试机上没装多少软件，打开百度钱包来试试 

 好了，大功告成！

 让我们想想

 通过提琴手可以抓包，是不是说HTTPS就是不安全的了呢，毕竟所有的请求对我们来说都是透明的呢。其实刚才的过程很重要的一点就是我们下载并且安装了拉琴的根证书，对于pc端来说就是配置fiddler https选项时弹出的对话框，对于手机来说就是我们去pcip地址：fiddler代理端口这个地址下载证书的过程。 

 而对HTTPS的安全来说，HTTPS的安全就是前提
 可信的根证书!!!!
  

 而，之前的操作无疑是在我们系统里面安装了不可信的根证书。使得提琴手对我们的通信造成了中间人攻击！ 

 简单的说就是我们与服务器进行通信，会先获取服务