星课it- Web 协议详解与抓包实战

Web 代理抓包实战：Fiddler 配置、HTTPS 解密，移动端 Web 抓包实操（关注用户名）
抓包是排查接口问题、分析竞品、调试移动端 H5 的基本功。Fiddler 作为老牌代理工具，配置不复杂，但 HTTPS 解密和移动端抓包这两步卡住的新手特别多。整条链路按“本机配置—HTTPS 解密—移动端接入—常见问题”四段走。

一、Fiddler 基础配置：先让代理跑通
Fiddler 本质是一个本地代理服务器，默认监听 8888 端口。启动后要确认两件事：一是 Tools 里的 Connections 设置，勾选允许远程连接，端口保持 8888；二是本机浏览器或系统代理指向 127.0.0.1:8888。配好后随便打开一个 HTTP 网站，Fiddler 左侧会话列表应该出现请求记录，说明代理链路通了。

此时只能看到 HTTP 明文。HTTPS 网站会显示 CONNECT 隧道，内容加密不可读，下一步就要解决解密。

二、HTTPS 解密：证书是唯一门槛
HTTPS 解密原理是 Fiddler 充当中间人：对客户端伪装成服务器，对服务器伪装成客户端，两边各建一条 TLS 连接，中间明文可见。前提是客户端信任 Fiddler 的根证书。

操作路径：Tools → Options → HTTPS，勾选 Decrypt HTTPS traffic，选择要解密的来源（全部或指定域名）。首次启用会提示安装根证书，按向导把 Fiddler 根证书装进系统“受信任的根证书颁发机构”。装完重启 Fiddler，再访问 HTTPS 网站，会话列表里就能看到明文请求和响应。

几个关键细节：只解密需要的域名，全部解密会拖慢速度且干扰无关流量；遇到证书固定（Certificate Pinning）的 App，Fiddler 解密会失败，表现为连接被拒绝或证书错误，这不是配置问题，是对方做了防中间人；解密后如果浏览器报证书风险，检查根证书是否装到了正确的存储区。

三、移动端 Web 抓包：手机和电脑同一网络
移动端抓包分三步。第一步，手机和电脑连同一个 Wi-Fi，查电脑的局域网 IP。第二步，手机 Wi-Fi 设置里手动配代理，主机填电脑 IP，端口填 8888。第三步，手机浏览器访问 Fiddler 提供的证书下载地址（通常是电脑 IP 加 8888），下载并安装根证书。

安卓和 iOS 有差异。安卓安装证书后还要在“信任的凭据”里确认用户证书已启用，部分高版本系统对用户证书限制更严，App 可能不信任；iOS 安装描述文件后要到“关于本机—证书信任设置”里手动开启完全信任，少这一步 HTTPS 全部失败。移动端浏览器抓 H5 页面一般够用，但很多 App 内置 WebView 或做了证书固定，抓不到属正常。

抓包时建议开过滤，只保留目标域名，否则手机后台流量会把会话列表刷爆。还要注意手机代理只在当前 Wi-Fi 生效，切换网络后要重配。

四、常见问题排查
抓不到包先查三层：网络层，手机和电脑是否同网段、防火墙是否拦了 8888 端口；代理层，手机代理是否生效、Fiddler 是否允许远程连接；证书层，根证书是否装对、是否被系统信任。HTTPS 显示隧道但无明文，基本都是证书没装好或对方证书固定。App 抓不到但浏览器能抓，多半是 App 走了自有网络库或做了安全校验。请求出现乱码或压缩内容，检查是否开启了响应解码。

五、实战建议与边界
抓包要守边界：只抓自己有权限分析的目标，不要截取他人隐私数据，测试完及时关闭代理和移除证书。日常调试建议保存过滤规则和常用会话，提高效率。对移动端复杂场景，Fiddler 够用但不是万能，遇到强证书固定或双向认证，需要换更专业的方案。

总结：Fiddler 抓包的核心链路是“代理通、证书信、过滤准”。本机配置解决代理通，根证书安装解决 HTTPS 解密，移动端三步接入解决真机抓包，排查按网络、代理、证书三层定位。把这几步做扎实，大部分 Web 抓包场景都能覆盖。

本作品采用《CC 协议》，转载必须注明作者和本文链接