fiddler作用
1、捕获本机、app请求,查看请求数据和相应数据
2、做接口测试
3、伪造响应数据,快捷满足业务数据
4、并发发送请求,分析接口性能
5、对APP进行弱网测试
fiddler工作原理
fiddler是浏览器和服务器之间的代理服务器,能够捕获通过fildder的http(s)请求。fiddler启动后会自动设置代理地址为本机,端口号为8888。
- 客户端像WEB服务器发送HTTP(S)请求时,请求会先经过代理Fiddler代理服务器。
- Fiddler代理服务器截取客户端的请求报文,再转发到WEB服务器,转发之前可以做一些请求报文参数修改的操作。
- WEB服务器处理完请求以后返回响应报文,Fiddler代理服务器会截取WEB服务器的响应报文。
- Fiddler处理完响应报文后再返回给客户端。
fiddler抓取https原理
app的数据传输基本都是使用https传输,而且数据基本都是加密的。https传输数据需要使用CA证书,所以抓取https包时需要特殊的配置。
- 客户端请求建立HTTPS链接,发送客户端支持的加密协议及版本列表等信息给服务器端。
- Fiddler接受客户端请求并伪装成客户端向WEB服务器发送相同的请求。
- WEB服务器收到Fiddler的请求以后,从请求中筛选合适的加密协议。并返回服务器CA证书,证书中包括公钥信息。
- Fiddler收到WEB服务器的响应后保存服务器证书并自签名一个CA证书,伪装成服务器,把该证书下发给客户端。
- 客户端验证证书合法性。(Fiddler能否抓取到HTTPS报文关键看这一步)
- 客户端生产对称密钥,通过证书的公钥加密发送给服务器。
- Fiddler拦截客户端的请求以后,使用私钥解密该报文,获取对称加密秘钥,并使用服务器证书中带的公钥加密该对称密钥发送给WEB服务器。此时对称密钥已经泄露了,以后可以使用该秘钥界面客户端和服务器端传输的数据。
- WEB服务器接收到客户端发送的加密的对称密钥后使用私钥解密,并使用对称密钥加密测试数据传给客户端。
- Fiddler使用前面获取的对称密钥解密报文。
- 客户端验证数据无误以后HTTPS连接就建立完成,客户端开始向服务器发送使用对称密钥加密的业务数据
- Fiddler使用前面获取的对称密钥解密客户端发送的数据并重新加密转发给客户端。
fiddler 监听本地浏览器http请求
打开Fiddler即可直接使用,不需要做任何额外配置。
fiddler 监听https请求
1、打开Fiddler配置:Tools->Options->HTTPS:勾选Capture HTTPS CONNECTS和Decrypt HTTPS traffic选项。
第一次会弹出证书安装提示,若没有弹出提示,勾选Actions-> Trust Root Certificate
DO_NOT_TRUST_FiddlerRoot ,这个就是证书的名称。
设置完成以后点击OK,重启Fiddler。
2、如果只是想抓取本机或者远程终端的数据报文,可以在…from all processes这个下拉框中选择。
fiddler监听远程终端设备的请求
需要以下配置:
1、打开Fiddler,在菜单栏中选择Tools->Options->Connections,输入监听端口(默认是8888),
2、选择Allow remotecomputers to connect,点击确认然后重启Fiddler。
fiddler监听APP设备的http请求
1、要确保手机网络和安装Fiddler的电脑网络处于同一个wifi网络中。打开手机网络设置,在wifi高级设置中的代理栏下面选择手动设置,设置输入Fiddler主机的IP地址和监听端口号(8888)。配置完成后,手机端发送请求时fiddler上就可以看到请求信息。在fiddler的右边的Inspectors窗口中可以看到这个请求的请求报文和响应报文信息。
fiddler监听APP设备的https请求
1、在手机中把Fiddler自签名的证书导入到信任证书列表中
打开手机中的浏览器,在地址栏输入Fiddler监听的IP:端口,点击页面中的FiddlerRoot Certificate,下载并安装证书。
输入证书名称,这里命名fiddler,点击确认。
如果安装成功在系统安全->信任的凭据->用户中可以看到刚才安装的证书
查看Fiddler所在主机的主机名和IP地址
fiddler视图功能
快捷功能
快捷功能区
1:给会话添加备注信息
2:重新加载当前会话
3:删除会话选项
4:放行,和断点对应,后面详细讲解
5:响应模式。也即是,当Fiddler拿到远程的response后是缓存起来一次响应给客户端还是以stream的方式直接响应。
6:解码。有些请求是被编码的,点击这个按钮后可以根据响应的编码格式自动解码。
7:查找会话。
8:保存会话。
9:截屏。截屏后,会以会话的方式返回一个截图。
Statistic
关于HTTP请求的性能和其他数据分析:如DNS解析的时间消耗是8ms,建立TCP/IP连接的时间消耗是8ms等等信息。
Inspectors
提供headers、textview、hexview,Raw等多种方式查看单条http请求的请求报文的信息,分为上下两个部分,上半部分是请求头部分,下半部分是响应头部分。对于每一部分,提供了多种不同格式查看每个请求和响应的内容。
AutoResponder 重定向
允许你从本地返回文件,而不用将 request 发送到服务器上
断点请求/响应
方法一:
点击箭头所指的位置
空白:不设置断点。
箭头向上:表示断点请求。此时客户端的请求是无法直接到达目标服务器的,需要手动控制。
箭头向下:表示断点响应。此时目标服务器的响应是无法直接到达客户端的,需要手动控制。
方法二:
在命令行中输入命令:
bpu www.baidu.com (断点请求)
bpuafter www.baidu.com(断点响应)
断点请求修改
操作步骤:
1、设置断点请求,访问网页
2、点击对应的会话
3、查看请求报文信息
4、修改请求内容
5、完成断点,放行,把该请求发送给目标服务器。
断点响应修改
和断点请求操作类似,只是在响应区域修改报文信息即可。
在断点响应时,请注意超时时间。
伪造响应数据
选择右侧的AutoResponder
选择需要伪造相应的请求,点击“Add rules”,右侧列表会被添加进去,这样所有符合该url的请求,返回的结果就用用D:test.txt里的内容代替
伪造http状态和其他内容同理
地址转发,应对环境的复杂性
在Host Remapping中设置下需要转发的地址信息,如下
将指向百度的访问 转到内网的某个地址
并发请求
选中一个或者多个会话,点击replay 输入并发次数。
域名过滤
点击Filters并勾选UseFilters
只显示特定域名的记录
类型过滤,一般对各种图片、CSS、JS这类的静态素材也不需要看的情况下,直接全部过滤掉
根据返回状态码,比如只想显示200的状态,其他的不显示
Composer 自定义请求发送服务器
手动创建一个新的请求,也可以在会话表中,拖拽一个现有的请求
会话列表
栏图说明
Fiddler 的内置命令
1、?
问号(?)后边跟一个字符串,Fiddler 将所有会话中存在该字符串匹配的全部高亮显示(下图输入的是 ?google.com)
温馨提示:匹配的字符串是 Protocol、Host 和 URL 中的任何子字符串。
2、> 和 <
大于号(>)和小于号(<)后边跟一个数值,表示高亮所有尺寸大于或小于该数值的会话。
比如我输入 >5000,按下回车后结果如下:
温馨提示:你可以直接输入 >5k 表示你想高亮所有尺寸大于 5KB 的会话。
3、=
等于号(=)后边可以接 HTTP 状态码或 HTTP 方法,比如 =200 表示高亮所有正常响应的会话。
下图输入了 =POST,表示希望高亮所有 POST 方法的会话:
4、@
@ 后边跟的是 Host,比如我想高亮所有鱼C论坛的连接,我可以 @bbs.fishc.com
温馨提示:下边 bpafter、bps、bpv、bpm 和 bpu 用于设置断点。
会话被中断下来之后,点击页面上方的 Go 按钮放行当前中断下来的会话,但新的匹配内容还是会被断下来,输入命令但不带参数表示取消之前设置的断点。
5、bpafter
bpafter 后边跟一个字符串,表示中断所有包含该字符串的会话。
比如我想中断所有包含 fishc 的响应,那么我输入 bpafter fishc,然后在浏览器输入 bbs.fishc.com,发现并没有收到服务器响应,因此都给 Fiddler 断下来了:
6、bps
bps 后边跟的是 HTTP 状态码,表示中断所有为该状态码的会话。
7、bpv 或 bpm
bpv 或 bpm 后边跟的是 HTTP 方法,表示中断所有为该方法的会话。
8、bpu
跟 bpafter 类似,区别:bpu 是在发起请求时中断,而 bpafter 是在收到响应后中断。
9、cls 或 clear
清除当前的所有会话。
10、dump
将所有的会话打包成 .zip 压缩包的形式保存到 C 盘根目录下。
11、g 或 go
放行所有中断下来的会话。
12、hide
将 Fiddler 隐藏。
13、show
将 Fiddler 恢复。
14、urlreplace
urlreplace 后边跟两个字符串,表示替换 URL 中的字符串。比如 urlreplace baidu fishc 表示将所有 URL 的 baidu 替换成 fishc。
温馨提示:直接输入 urlreplace 不带任何参数表示恢复原来的样子。
15、start
Fiddler 开始工作。
16、stop
Fiddler 停止工作。
17、quit
关闭 Fiddler。
18、select
select 后边跟响应的类型(Content-Type),表示选中所有匹配的会话。
比如希望 Fiddler 选中所有的图片,可以使用 select image;
而 select css 则选中所有的 css 文件;
当然,select htm 就是选中所有的 html 文件啦~
19、allbut 或 keeponly
跟 select 类似,不过 allbut 和 keeponly 会将所有无关的会话删除。
比如我只想看图片,那么我可以 keeponly image,表示将所有与图片无关的会话删除:
20、!dns
后边跟一个域名,执行 DNS 查找并在右边的 LOG 栏打印结果:
21、!listen
设置其他监听的端口,默认是 8888。。
导出jmx格式
1.下载fidder插件,https://pan.baidu.com/s/1mj9EDUK
2.将下载插件拷贝到ImportExport中
3.选中需要的链接,
4.选择菜单栏中file->Export Session ->Selected Session ->Jmeter-…
导出cURL格式
选择菜单栏中file->Export Session ->Selected Session ->cURL
Fiddler 自动导出请求的地址和数据
1、在Fiddler 的 FiddlerScript 中进行编辑
2、在OnBeforeRequest中插入代码,
//这里其实我们的项目是分为不同的传输方式的,所以有两种判断,根据自己的情况来定
if (oSession.fullUrl.Contains(“appUri”)){
var fso;
var file;
fso = new ActiveXObject(“Scripting.FileSystemObject”);
//文件保存路径,可自定义
file = fso.OpenTextFile(“C:\Users\user\Desktop\test.txt”,8 ,true,true);
//这里其实有好多方法,获取不同的数据,可以点击右上角的ClassView进行查看
//row[“data”] = oSession.GetRequestBodyAsString();
//row[“data”] = oSession.requestBodyBytes;
//row[“data”] = oSession.WriteRequestToStream;
//这里需要特别注意一下,导出的byte[]数组值范围是0255,不是java中的-128127,如果需要请看文章底部
var array = new Array(“postenc”,oSession.url, oSession.requestBodyBytes);
//file.writeLine("{“flag”:""+ row[“flag”] + “”,“url”:""+row[“url”] +"",“data”:""+row[“data”]+""}");
//这里为了方便,我就把所有的数据加到了数组中,然后用join方法,写到一行了,为了自动化脚本,根据自己情况定
file.writeLine(array.join("---------"));
/file.writeLine(“Request header:” + “\n” + oSession.oRequest.headers.HTTPMethod);
file.writeLine(“flag: postenc”);
file.writeLine(“Request url: " + oSession.url);
file.writeLine(“Request body: " + oSession.GetRequestBodyAsString());
file.writeLine(”\n”);/
file.close();
}
else if (oSession.fullUrl.Contains(“Uri1”)||oSession.fullUrl.Contains(“Uri2”)||oSession.fullUrl.Contains(“Uri3”)){
var fso;
var file;
fso = new ActiveXObject(“Scripting.FileSystemObject”);
//文件保存路径,可自定义
file = fso.OpenTextFile(“C:\Users\user\Desktop\test.txt”,8 ,true,true);
if(oSession.oRequest.headers.HTTPMethod.Equals(“POST”) || oSession.oRequest.headers.HTTPMethod.Equals(“GET”)){
//row[“flag”] =oSession.oRequest.headers.HTTPMethod;
//row[“url”] = oSession.url;
//row[“data”] = oSession.GetRequestBodyAsString();
var array = new Array(oSession.oRequest.headers.HTTPMethod,oSession.url, oSession.GetRequestBodyAsString());
file.writeLine(array.join("---------"));
/file.writeLine(“Request url: " + oSession.url);
file.writeLine(“Request body: " + oSession.GetRequestBodyAsString());
file.writeLine(”\n”);/
}
file.close();
}