。

还有的小伙伴或者童鞋们按照上一篇宏哥的配置都配置好了#xff0c;想大展身手抓一下百度的包#xff0c;结果一试傻眼了#xff0c;竟然毛都没有…1.简介

由于近几年来各大网站越来越注重安全性都改成了https协议不像前十几年前直接是http协议直接裸奔在互联网。

还有的小伙伴或者童鞋们按照上一篇宏哥的配置都配置好了想大展身手抓一下百度的包结果一试傻眼了竟然毛都没有抓到怀疑是不是上了宏哥的当了。

不是的哈今天宏哥趁热打铁接着讲解如何抓取https协议会话。

HTTPS就是加过密的HTTP。

使用HTTPS后浏览器客户端和Web服务器传输的数据是加密的只有浏览器和服务器端知道内容。

HTTPS

TLS或者SSL。

采用HTTPS的网站需要数字证书认证机构Certificate

通过这个证书浏览器在请求数据前与Web服务器有几次握手验证以证明相互的身份然后对HTTP请求和响应进行加密。

如果你想学习接口自动化测试我这边给你推荐一套视频这个视频可以说是B站播放全网第一的接口自动化测试教程同时在线人数到达1000人并且还有笔记可以领取及各路大神技术交流798478386

【已更新】B站讲的最详细的Python接口自动化测试实战教程全集实战最新版_哔哩哔哩_bilibili【已更新】B站讲的最详细的Python接口自动化测试实战教程全集实战最新版共计200条视频包括1.【接口自动化】目前软件测试的市场行情以及测试人员能力标准。

、2.【接口自动化】全面熟练Requests库以及底层方法调用逻辑、3.【接口自动化】接口自动化实战及正则和JsonPath提取器的应用等UP主更多精彩视频请关注UP账号。

https://www.bilibili.com/video/BV17p4y1B77x/?spm_id_from333.337vd_source488d25e59e6c5b111f7a1a1a16ecbe9a

4.Fiddler捕获Http协议会话

Fiddler是一个很好的抓包工具默认是抓Http协议请求的经过上一篇的配置就可以成功捕获但是不会捕获Https协议会话需要你进一步配置才能抓取Https会话。

如下图所示

5.Fiddler抓取HTTPS原理

现在无论是网站还是APP中的数据传输基本上都使用HTTS传输传输的数据都是经过加密的这增加了我们分析数据包的难度还好Fiddler除了可以抓取HTTP数据包还可以抓取HTTPS数据包。

由于HTTPS传输需要使用到CA证书所以抓取抓取HTTPS数据包时需要做一些特殊配置。

Fiddler截取HTTPS报文的流程大致如下

上图图解说明

客户端请求建立HTTPS链接发送客户端支持的加密协议及版本列表等信息给服务器端。

Fiddler接受客户端请求并伪装成客户端向WEB服务器发送相同的请求。

WEB服务器收到Fiddler的请求以后从请求中筛选合适的加密协议。

并返回服务器CA证书证书中包括公钥信息。

Fiddler收到WEB服务器的响应后保存服务器证书并自签名一个CA证书伪装成服务器把该证书下发给客户端。

客户端验证证书合法性。

Fiddler能否抓取到HTTPS报文关键看这一步。

Fiddler拦截客户端的请求以后使用私钥解密该报文获取对称加密秘钥并使用服务器证书中带的公钥加密该对称密钥发送给WEB服务器。

此时对称密钥已经泄露了以后可以使用该秘钥界面客户端和服务器端传输的数据。

WEB服务器接收到客户端发送的加密的对称密钥后使用私钥解密并使用对称密钥加密测试数据传给客户端。

10)

客户端验证数据无误以后HTTPS连接就建立完成客户端开始向服务器发送使用对称密钥加密的业务数据。

11)

Fiddler使用前面获取的对称密钥解密客户端发送的数据并重新加密转发给客户端。

6.Fiddler捕获Https协议会话

当浏览器访问HTTPS网页的时候Fiddler能捕获到很多握手验证的请求比如用浏览器访问Https://www.baidu.com

1.在没有进一步配置之前用Fiddler抓包时候分别用FireFox和Chrome浏览器打开百度网页https://www.baidu.com

可以在会话面板看到百度信息但是进行查看是Fiddler的监控面板出现黄色的告警“Https

decryption

点击配置。

至于IE浏览器微软已经官宣它已经要落幕退役宏哥这里就不做过多的介绍了。

当然了Firefox浏览器有些版本也会有特殊情况需要你进一步配置这个宏哥在后边会做介绍的。

如下图所示

to...字样”总之以后如果会话列表中的Host列中出现Tunnel

这种就不能抓取到我们想要的会话。

那么要抓取https协议的会话需要打开配置安装证书才可以,毕竟目前很多网站都是https协议的,

否则无法抓包。

那么接下来跟随宏哥看看Fiddler如何配置证书。

6.1Fiddler证书配置

1.启动FIddler然后在菜单栏点击Tools----Options----HTTPS

2.依次勾选“Capture

你是第一次安装的Fiddler那么正常情况下会弹出证书安装的相关提示。

如果有的小伙伴或者童鞋们没有弹出提示你也不要着急上火和担心你可以点击Actions---

Trust

Certificate(信任根证书)就会弹出一模一样的证书安装相关提示。

如下图所示

3.点击“Yes”后接下来弹出的对话框全部傻瓜式地点击“是”即可。

如下图所示

4.弹出“Added

errors(unsafe)”忽略服务器证书错误不安全和“check

for

1.WINR打开运行输入certmgr.msc回车点击“受信任的根证书颁发机构---点击“证书”。

查看如下图所示

6.3信任证书

1.直接选择Tools---Options----HTTPS----Actions---Trust

Root

2.在接下来弹出的对话框中直接点击确定或yes就行了如下图所示

好了到此为止大功告成现在如果不出意外的话就可以进行正常的抓取HTTPS包了。

敲黑板

然后点击确定删除Fiddler所配置的证书,最后重新执行之前的步骤就可以了。

7.小结

今天宏哥主要简单的讲解和分享了Fiddler如何设置捕获Https会话

后边会一一展开进行详细的分享和讲解好了时间不早了今天就到这里感谢大家耐心地阅读

证书导出失败出现如下提示Unable

找到fiddler-工具栏tools-options再选择HTTPS点击CertEnroll

engine选择MakeCert即可点击OK保存最后切记重启fiddler

8.拓展

decryption中输入ip地址或者域名可以用来跳过该主机或域名的https数据抓取这个也相当于一种过滤功能吧如下图所示