1. Fiddler抓取HTTPS的核心原理与挑战

HTTPS协议作为HTTP的安全版本，通过TLS/SSL加密确保了数据传输的隐私性和完整性。要理解Fiddler如何抓取HTTPS流量，首先需要明确HTTPS握手过程中的几个关键环节：

1. 客户端发送ClientHello
2. 服务端返回ServerHello和证书
3. 客户端验证证书并生成会话密钥
4. 双方使用对称加密进行通信

Fiddler作为中间人(MITM)工具，其核心工作原理是在客户端和服务端之间建立两个独立的HTTPS连接：

• 客户端 ↔ Fiddler：Fiddler模拟服务端行为
• Fiddler ↔ 真实服务端：Fiddler作为客户端发起请求

这种架构使得Fiddler能够解密、查看和修改HTTPS流量。但实现这一过程需要解决几个关键技术难点：

1. 证书信任问题：客户端必须信任Fiddler生成的根证书
2. 协议兼容性：需要支持各种TLS版本和加密套件
3. 会话恢复机制：处理TLS会话票据和会话恢复
4. ALPN协商：正确处理应用层协议协商

重要提示：在Windows系统上，Fiddler会自动安装根证书到"受信任的根证书颁发机构"存储区，这是实现HTTPS解密的关键前提。

2. Fiddler环境配置全流程

2.1 安装与基础配置

最新版Fiddler Classic的安装过程需要注意以下细节：

1. 下载来源：建议直接从Telerik官网获取安装包
2. 安装选项：
   • 必须勾选"Install Fiddler Root Certificate"
   • 建议选择"Add Fiddler to PATH"方便命令行操作
3. 首次运行：
   • 会自动生成CA证书（默认有效期5年）
   • 弹出防火墙权限请求需允许

验证安装成功的几个关键点：

• 检查%USERPROFILE%\Documents\Fiddler2目录是否创建
• 在MMC证书管理器中确认Fiddler根证书已安装
• 命令行执行fiddler -v应返回版本信息

2.2 HTTPS解密专用配置

在Tools > Options > HTTPS选项卡中，需要进行以下关键设置：

对于Windows 11系统，还需额外注意：

1. 关闭"内核隔离"功能（影响证书注入）
2. 在Windows Defender中排除Fiddler进程
3. 禁用QUIC协议（会影响HTTPS捕获）

2.3 移动设备配置要点

抓取手机HTTPS流量的关键步骤：

1. 确保PC和手机在同一局域网
2. 在Fiddler中获取代理地址（如192.168.1.100:8888）
3. 手机WiFi设置手动代理：
   • 主机名：PC的局域网IP
   • 端口：8888
4. 手机安装Fiddler根证书：
   • 访问http://[PC_IP]:8888
   • 下载FiddlerRoot.cer并安装
   • iOS需在设置中手动信任证书

Android 7+和iOS 10+的系统安全性增强，需要特别注意：

• Android：将证书安装到系统级（需root）
• iOS：必须在"关于本机-证书信任设置"中启用完全信任

3. 高级抓包技巧与实战案例

3.1 精准过滤配置

在复杂的网络环境中，合理的过滤规则能极大提高效率。推荐使用Filters面板进行多维度过滤：

// 示例：只显示特定域名和端口的HTTPS请求 if (!oSession.host.Contains("target.com") || oSession.port != 443) { oSession["ui-hide"] = "true"; }

常用过滤条件组合：

1. 域名过滤 + 进程过滤（如只捕获Chrome流量）
2. 请求方法过滤（如只显示POST请求）
3. 状态码过滤（如只显示4xx/5xx错误）
4. 内容类型过滤（如只显示application/json）

3.2 断点调试实战

Fiddler的断点功能允许拦截和修改请求/响应。典型应用场景：

1. 修改请求参数：
   • 在BeforeRequest断点处修改表单数据
   • 动态替换URL参数
2. 模拟服务端响应：
   • 在BeforeResponse断点处修改JSON返回
   • 注入自定义HTTP头
3. 性能测试：
   • 模拟慢速网络（Rules > Performance > Simulate Modem Speeds）
   • 注入延迟（使用bpu命令后右键选择Delay）

调试技巧：使用快捷键F11设置请求断点，F12设置响应断点，Shift+F12取消所有断点

3.3 流量分析与重放

Fiddler的Inspectors面板提供多种视图分析HTTPS内容：

1. Headers：查看完整的请求/响应头
2. TextView/HexView：原始数据查看
3. JSON/XML：结构化解析
4. Auth：分析认证信息
5. Cookies：会话跟踪

流量重放的高级用法：

1. 右键请求 > Replay > Reissue and Edit（修改后重发）
2. 组合键Shift+R重复请求N次（压力测试）
3. 使用AutoResponder模拟API响应（无需后端配合）

4. 常见问题排查手册

4.1 证书相关问题

4.2 抓包失败排查

典型抓包失败场景处理流程：

1. 检查代理是否生效：
   • 在Fiddler中查看"WinConfig"是否启用
   • 确认浏览器/系统代理设置正确
2. 验证HTTPS解密：
   • 访问https://example.com应显示TLS握手过程
   • 检查日志是否有"Failed to decrypt"错误
3. 网络连接检查：
   • 使用ping测试客户端到Fiddler主机的连通性
   • 确认防火墙未阻止8888端口

4.3 性能优化建议

长期使用Fiddler时，推荐以下优化措施：

1. 内存管理：
   • 定期清理会话（Ctrl+X）
   • 设置自动存档（File > Save > Archive）
2. 存储优化：
   • 修改SAZ文件压缩级别（Tools > Options > General）
   • 启用"Buffer responses"减少内存占用
3. 显示优化：
   • 使用"Hide Imageview"加速UI渲染
   • 关闭不需要的Inspectors标签页

5. 安全与合规注意事项

使用Fiddler抓取HTTPS流量时，必须注意以下法律和道德准则：

1. 仅抓取自己拥有或有权测试的系统流量
2. 不得在生产环境进行未经授权的抓包
3. 敏感数据（如密码、token）应立即从日志中删除
4. 测试完成后应及时：
   • 卸载Fiddler根证书
   • 恢复系统代理设置
   • 清除保存的会话数据

对于企业环境，建议：

• 使用单独的设备进行抓包测试
• 建立数据处置流程（如自动擦除策略）
• 记录测试活动日志

实际工作中，我发现在处理金融类应用时，额外的安全措施包括：

1. 使用虚拟机隔离测试环境
2. 配置Fiddler自动屏蔽敏感字段
3. 测试后使用CertMgr手动删除所有相关证书
4. 对抓包文件进行加密存储