fiddler使用

最新推荐文章于 2024-05-20 16:09:37 发布
最新推荐文章于 2024-05-20 16:09:37 发布
阅读量1.1k 收藏 8
点赞数 2
分类专栏： 技术类
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_17200461/article/details/104748562
版权

fiddler作用

1、捕获本机、app请求，查看请求数据和相应数据
2、做接口测试
3、伪造响应数据，快捷满足业务数据
4、并发发送请求，分析接口性能
5、对APP进行弱网测试

fiddler工作原理

fiddler是浏览器和服务器之间的代理服务器，能够捕获通过fildder的http(s)请求。fiddler启动后会自动设置代理地址为本机，端口号为8888。
在这里插入图片描述

  1. 客户端像WEB服务器发送HTTP(S)请求时，请求会先经过代理Fiddler代理服务器。
  2. Fiddler代理服务器截取客户端的请求报文，再转发到WEB服务器，转发之前可以做一些请求报文参数修改的操作。
  3. WEB服务器处理完请求以后返回响应报文，Fiddler代理服务器会截取WEB服务器的响应报文。
  4. Fiddler处理完响应报文后再返回给客户端。

fiddler抓取https原理

app的数据传输基本都是使用https传输，而且数据基本都是加密的。https传输数据需要使用CA证书，所以抓取https包时需要特殊的配置。
在这里插入图片描述

  1. 客户端请求建立HTTPS链接，发送客户端支持的加密协议及版本列表等信息给服务器端。
  2. Fiddler接受客户端请求并伪装成客户端向WEB服务器发送相同的请求。
  3. WEB服务器收到Fiddler的请求以后，从请求中筛选合适的加密协议。并返回服务器CA证书，证书中包括公钥信息。
  4. Fiddler收到WEB服务器的响应后保存服务器证书并自签名一个CA证书，伪装成服务器，把该证书下发给客户端。
  5. 客户端验证证书合法性。（Fiddler能否抓取到HTTPS报文关键看这一步）
  6. 客户端生产对称密钥，通过证书的公钥加密发送给服务器。
  7. Fiddler拦截客户端的请求以后，使用私钥解密该报文，获取对称加密秘钥，并使用服务器证书中带的公钥加密该对称密钥发送给WEB服务器。此时对称密钥已经泄露了，以后可以使用该秘钥界面客户端和服务器端传输的数据。
  8. WEB服务器接收到客户端发送的加密的对称密钥后使用私钥解密，并使用对称密钥加密测试数据传给客户端。
  9. Fiddler使用前面获取的对称密钥解密报文。
  10. 客户端验证数据无误以后HTTPS连接就建立完成，客户端开始向服务器发送使用对称密钥加密的业务数据
  11. Fiddler使用前面获取的对称密钥解密客户端发送的数据并重新加密转发给客户端。

fiddler 监听本地浏览器http请求

打开Fiddler即可直接使用，不需要做任何额外配置。

fiddler 监听https请求

1、打开Fiddler配置：Tools->Options->HTTPS：勾选Capture HTTPS CONNECTS和Decrypt HTTPS traffic选项。
第一次会弹出证书安装提示，若没有弹出提示，勾选Actions-> Trust Root Certificate
DO_NOT_TRUST_FiddlerRoot ,这个就是证书的名称。
设置完成以后点击OK，重启Fiddler。
2、如果只是想抓取本机或者远程终端的数据报文，可以在…from all processes这个下拉框中选择。
在这里插入图片描述

fiddler监听远程终端设备的请求

需要以下配置：
1、打开Fiddler，在菜单栏中选择Tools->Options->Connections，输入监听端口（默认是8888），
2、选择Allow remotecomputers to connect，点击确认然后重启Fiddler。
在这里插入图片描述

fiddler监听APP设备的http请求

1、要确保手机网络和安装Fiddler的电脑网络处于同一个wifi网络中。打开手机网络设置，在wifi高级设置中的代理栏下面选择手动设置，设置输入Fiddler主机的IP地址和监听端口号（8888）。配置完成后，手机端发送请求时fiddler上就可以看到请求信息。在fiddler的右边的Inspectors窗口中可以看到这个请求的请求报文和响应报文信息。

fiddler监听APP设备的https请求

1、在手机中把Fiddler自签名的证书导入到信任证书列表中
打开手机中的浏览器，在地址栏输入Fiddler监听的IP:端口，点击页面中的FiddlerRoot Certificate，下载并安装证书。
输入证书名称，这里命名fiddler，点击确认。
如果安装成功在系统安全->信任的凭据->用户中可以看到刚才安装的证书

查看Fiddler所在主机的主机名和IP地址

在这里插入图片描述

fiddler视图功能

在这里插入图片描述

快捷功能

在这里插入图片描述
快捷功能区
1：给会话添加备注信息
2：重新加载当前会话
3：删除会话选项
4：放行，和断点对应，后面详细讲解
5：响应模式。也即是，当Fiddler拿到远程的response后是缓存起来一次响应给客户端还是以stream的方式直接响应。
6：解码。有些请求是被编码的，点击这个按钮后可以根据响应的编码格式自动解码。
7：查找会话。
8：保存会话。
9：截屏。截屏后，会以会话的方式返回一个截图。

Statistic

关于HTTP请求的性能和其他数据分析：如DNS解析的时间消耗是8ms,建立TCP/IP连接的时间消耗是8ms等等信息。
在这里插入图片描述

Inspectors

提供headers、textview、hexview,Raw等多种方式查看单条http请求的请求报文的信息,分为上下两个部分，上半部分是请求头部分，下半部分是响应头部分。对于每一部分，提供了多种不同格式查看每个请求和响应的内容。
在这里插入图片描述

AutoResponder 重定向

允许你从本地返回文件，而不用将 request 发送到服务器上

断点请求/响应

在这里插入图片描述
方法一：
点击箭头所指的位置
空白：不设置断点。
箭头向上：表示断点请求。此时客户端的请求是无法直接到达目标服务器的，需要手动控制。
箭头向下：表示断点响应。此时目标服务器的响应是无法直接到达客户端的，需要手动控制。
方法二：
在命令行中输入命令:
bpu www.baidu.com （断点请求）
bpuafter www.baidu.com（断点响应）

断点请求修改

在这里插入图片描述
操作步骤:
1、设置断点请求，访问网页
2、点击对应的会话
3、查看请求报文信息
4、修改请求内容
5、完成断点，放行，把该请求发送给目标服务器。

断点响应修改

和断点请求操作类似，只是在响应区域修改报文信息即可。
在断点响应时，请注意超时时间。

伪造响应数据

选择右侧的AutoResponder
选择需要伪造相应的请求，点击“Add rules”，右侧列表会被添加进去，这样所有符合该url的请求，返回的结果就用用D:test.txt里的内容代替
伪造http状态和其他内容同理
在这里插入图片描述

地址转发，应对环境的复杂性

在Host Remapping中设置下需要转发的地址信息，如下
将指向百度的访问 转到内网的某个地址
在这里插入图片描述

并发请求

选中一个或者多个会话，点击replay 输入并发次数。
在这里插入图片描述

域名过滤

点击Filters并勾选UseFilters
在这里插入图片描述
只显示特定域名的记录
在这里插入图片描述
类型过滤，一般对各种图片、CSS、JS这类的静态素材也不需要看的情况下，直接全部过滤掉在这里插入图片描述
根据返回状态码，比如只想显示200的状态，其他的不显示
在这里插入图片描述

Composer 自定义请求发送服务器

手动创建一个新的请求，也可以在会话表中，拖拽一个现有的请求
在这里插入图片描述

会话列表

在这里插入图片描述

栏图说明

在这里插入图片描述

Fiddler 的内置命令

1、?
问号（?）后边跟一个字符串，Fiddler 将所有会话中存在该字符串匹配的全部高亮显示（下图输入的是 ?google.com）
温馨提示：匹配的字符串是 Protocol、Host 和 URL 中的任何子字符串。

2、> 和 <
大于号（>）和小于号（<）后边跟一个数值，表示高亮所有尺寸大于或小于该数值的会话。
比如我输入 >5000，按下回车后结果如下：

温馨提示：你可以直接输入 >5k 表示你想高亮所有尺寸大于 5KB 的会话。

3、=
等于号（=）后边可以接 HTTP 状态码或 HTTP 方法，比如 =200 表示高亮所有正常响应的会话。

下图输入了 =POST，表示希望高亮所有 POST 方法的会话：

4、@
@ 后边跟的是 Host，比如我想高亮所有鱼C论坛的连接，我可以 @bbs.fishc.com

温馨提示：下边 bpafter、bps、bpv、bpm 和 bpu 用于设置断点。

会话被中断下来之后，点击页面上方的 Go 按钮放行当前中断下来的会话，但新的匹配内容还是会被断下来，输入命令但不带参数表示取消之前设置的断点。

5、bpafter
bpafter 后边跟一个字符串，表示中断所有包含该字符串的会话。

比如我想中断所有包含 fishc 的响应，那么我输入 bpafter fishc，然后在浏览器输入 bbs.fishc.com，发现并没有收到服务器响应，因此都给 Fiddler 断下来了：

6、bps
bps 后边跟的是 HTTP 状态码，表示中断所有为该状态码的会话。

7、bpv 或 bpm
bpv 或 bpm 后边跟的是 HTTP 方法，表示中断所有为该方法的会话。

8、bpu
跟 bpafter 类似，区别：bpu 是在发起请求时中断，而 bpafter 是在收到响应后中断。

9、cls 或 clear
清除当前的所有会话。

10、dump
将所有的会话打包成 .zip 压缩包的形式保存到 C 盘根目录下。

11、g 或 go
放行所有中断下来的会话。

12、hide
将 Fiddler 隐藏。

13、show
将 Fiddler 恢复。

14、urlreplace
urlreplace 后边跟两个字符串，表示替换 URL 中的字符串。比如 urlreplace baidu fishc 表示将所有 URL 的 baidu 替换成 fishc。

温馨提示：直接输入 urlreplace 不带任何参数表示恢复原来的样子。

15、start
Fiddler 开始工作。

16、stop
Fiddler 停止工作。

17、quit
关闭 Fiddler。

18、select
select 后边跟响应的类型（Content-Type），表示选中所有匹配的会话。
比如希望 Fiddler 选中所有的图片，可以使用 select image；

而 select css 则选中所有的 css 文件；
当然，select htm 就是选中所有的 html 文件啦~

19、allbut 或 keeponly
跟 select 类似，不过 allbut 和 keeponly 会将所有无关的会话删除。
比如我只想看图片，那么我可以 keeponly image，表示将所有与图片无关的会话删除：

20、!dns
后边跟一个域名，执行 DNS 查找并在右边的 LOG 栏打印结果：

21、!listen
设置其他监听的端口，默认是 8888。。

导出jmx格式

1.下载fidder插件，https://pan.baidu.com/s/1mj9EDUK
2.将下载插件拷贝到ImportExport中
3.选中需要的链接，
4.选择菜单栏中file->Export Session ->Selected Session ->Jmeter-…

导出cURL格式

选择菜单栏中file->Export Session ->Selected Session ->cURL

Fiddler 自动导出请求的地址和数据

1、在Fiddler 的 FiddlerScript 中进行编辑
2、在OnBeforeRequest中插入代码，

//这里其实我们的项目是分为不同的传输方式的，所以有两种判断,根据自己的情况来定
if (oSession.fullUrl.Contains(“appUri”)){
var fso;
var file;
fso = new ActiveXObject(“Scripting.FileSystemObject”);
//文件保存路径，可自定义
file = fso.OpenTextFile(“C:\Users\user\Desktop\test.txt”,8 ,true,true);
//这里其实有好多方法，获取不同的数据，可以点击右上角的ClassView进行查看
//row[“data”] = oSession.GetRequestBodyAsString();
//row[“data”] = oSession.requestBodyBytes;
//row[“data”] = oSession.WriteRequestToStream;
//这里需要特别注意一下，导出的byte[]数组值范围是0255，不是java中的-128127，如果需要请看文章底部
var array = new Array(“postenc”,oSession.url, oSession.requestBodyBytes);
//file.writeLine("{“flag”:""+ row[“flag”] + “”,“url”:""+row[“url”] +"",“data”:""+row[“data”]+""}");
//这里为了方便，我就把所有的数据加到了数组中，然后用join方法，写到一行了，为了自动化脚本，根据自己情况定
file.writeLine(array.join("---------"));
/file.writeLine(“Request header:” + “\n” + oSession.oRequest.headers.HTTPMethod);
file.writeLine(“flag: postenc”);
file.writeLine(“Request url: " + oSession.url);
file.writeLine(“Request body: " + oSession.GetRequestBodyAsString());
file.writeLine(”\n”);/
file.close();
}
else if (oSession.fullUrl.Contains(“Uri1”)||oSession.fullUrl.Contains(“Uri2”)||oSession.fullUrl.Contains(“Uri3”)){
var fso;
var file;
fso = new ActiveXObject(“Scripting.FileSystemObject”);
//文件保存路径，可自定义
file = fso.OpenTextFile(“C:\Users\user\Desktop\test.txt”,8 ,true,true);
if(oSession.oRequest.headers.HTTPMethod.Equals(“POST”) || oSession.oRequest.headers.HTTPMethod.Equals(“GET”)){
//row[“flag”] =oSession.oRequest.headers.HTTPMethod;
//row[“url”] = oSession.url;
//row[“data”] = oSession.GetRequestBodyAsString();
var array = new Array(oSession.oRequest.headers.HTTPMethod,oSession.url, oSession.GetRequestBodyAsString());
file.writeLine(array.join("---------"));
/file.writeLine(“Request url: " + oSession.url);
file.writeLine(“Request body: " + oSession.GetRequestBodyAsString());
file.writeLine(”\n”);/
}
file.close();
}

测试开发知识积累
关注
  • 2
    点赞
  • 踩
  • 8
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Fiddler的使用.ppt
04-02
全网最好的Fiddler培训PPT
fiddler安装包+fiddler使用
05-12
总的来说，这个资源包将帮助你全面了解并掌握Fiddler的使用，从基础抓包到高级调试，再到接口测试和安全分析，都有所涉猎。通过学习，你将能够更有效地定位和解决问题，提升你的工作效率和质量。记得经常查阅...
Fiddler抓取https请求，解决“证书错误”警告
ailun7429的博客
08-25 1419
要抓取走HTTPS内容，Fiddler必须解密HTTPS流量。 但是，浏览器将会检查数字证书，并发现会话遭到窃听。为了骗过浏览 器，Fiddler通过使用另一个数字证书重新加密HTTPS流量。 Fiddler被配置为解密HTTPS流量后，会自动生成一个名为 DO_NOT_TRUST_FiddlerRoot的CA证书，并使用该CA颁发每个域名的TLS证书。 若 DO_NOT_TRUS...
fiddler4苹果手机证书无法使用的问题解决方案
╭ァ誓誩
05-27 3203
由于fiddler4新的版本，苹果手机安装证书后会发现无法认证SSL，这是由于新版本的fiddler4里面自带证书无法使用的原因，需要单独用一个证书管理软件来处理 1.先卸载本地
fiddler抓包设置和一些小坑总结
最新发布
weixin_44857268的博客
05-20 421
最近公司把测试环境所有域名走换成https了，就涉及到web，app各种抓包的问题，fiddler抓https网上有很多攻略可以参考，但是这里面还是有很多坑，稍微不注意就容易花很多时间。
在火狐浏览器中导入fiddlerroot证书，出现连接不安全的问题
jiangpeii的博客
09-27 5966
打开火狐浏览器中的选项→隐私与安全→查看证书→找到 DO_NOT_TRUST_FiddlerRoot→编辑信任→只需把编辑信任设置中所有的全都打上对勾 导入fiddlerroot证书 解决fiddler不能抓取firefox浏览器包的问题（https网址）。导入方法： https://blog.csdn.net/jimmyandrushking/article/details/8081910...
fiddler安装_Fiddler抓包软件基础安装及设置教程
weixin_39529128的博客
11-18 1338
1.下载fiddler官网：www.telerik.com/fiddler蓝奏云下载：lanzous.com/ib3bosh2.安装并运行3.设置解析HTTPS协议设置路径：Tools -> Options -> HTTPS勾选DecryptHTTPS traffic勾选Ignoreserver certificate errors(unsafe)4.允许来自局域网的设...
Fiddler指定抓取某个网址的包
m0_73758412的博客
11-01 1381
1、设置Show only the following Hosts 2、输入需要抓取的网址
Fiddler过滤指定域名的方法
AlienTech for better life!~
03-05 1万+
Fiddler过滤指定域名的方法 切换到fiddler右侧窗口的Filters选项卡，勾选顶部的“Use Filters”，找到Hosts区域，设置以下三个选项： 1.第一项有三个选项，不做更改： “No zone filter” “Show Only Intranet Hosts” “Show Only Internet Hosts” 2.第二个选项是只监控以下网址，
Fiddler使用文档
07-13
Fiddler 是最强大最好用的 Web 调试工具之一，它提供了详细的说明了 Fiddler 的使用方法。下面是 Fiddler 的主要知识点： 1. Fiddler 的工作原理：Fiddler 是以代理 web 服务器的形式工作的，它使用代理地址：...
Fiddler使用手册.doc
03-30
【Fiddler使用手册】 ...Fiddler通过充当Web代理服务器来实现这些功能，使用127.0.0.1作为代理地址，端口默认为8888，...熟练掌握Fiddler的使用，能帮助用户深入理解Web应用程序的工作原理，有效解决安全漏洞和性能问题。
三步解决fiddler升级后https无法通过证书验证问题
热门推荐
启
12-24 8万+
三步解决fiddler升级后https无法通过证书验证问题 1.      去掉 https 捕获选项   2.      删除ie下的fiddler证书 将证书下的所有DO_NOT_TRUST_FIDDER证书都删掉 3.      配置https捕获选项
使用fiddler工具进行安卓系统与iOS系统抓包配置
笔记记录
03-02 709
目录1.配置抓包安卓移动端1）Tools > Fiddler Options，打开“Fiddler Options”2）“HTTP”选项勾选Decrypt HTTPS traffic和Ignore servercertificate errors两项,点击OK（首次点击会弹出是否信任fiddler证书和安全提示，直接点击yes就行）3）在Fiddler Options”对话框切换到“Connections”选项卡，然后勾选“Allow romote computers to connect”后面的复选
接口监听工具 Fiddler 证书创建问题解决方式
寻找回来的世界
10-21 8327
https://www.zhaokeli.com/article/6360.html 在使用fiddler抓包的时候出现  creation of the root certificate was not successful  这个错误 出现这个错误会导致https包抓不到 手机上访问 192.168.1.100:8888(这里用你自己电脑的ip) 点击down the fid
【转】抓包工具Fiddler的使用教程（十二）下：Fiddler抓取HTTPS
weixin_34247299的博客
09-01 3871
在教程十二（上），我们也了解了HTTPS协议，该教程就和大家分享Fiddler如何抓取HTTPS 抓包工具Fiddler的使用教程（十二）：【转载】HTTPS协议 再次回忆一下关键内容： iddler如何在服务器与客户端之间充当第三者呢？ 服务器—&gt;客户端：Fiddler接收到服务器发送的密文， 用对称密钥解开， 获得服务器发送的明文。再次加密， 发送给客户端。 客户端—&gt;...
Fiddler Everywhere版本如何设置过滤器只抓取特定域名的网址？
大飞笔记（www.it100.site）
12-05 3213
今天在给同事安装Fiddler的时候，发现Fiddler现在已经升级到Fiddler Everywhere版本了，下载下来安装后，发现页面现代化了很多，界面变得漂亮了，有点像postman了。尤其模拟请求，更像postman的界面。 ...
Fiddler实现手机抓包——小白入门
lyj1005353553的专栏
03-03 4039
手机用fiddler抓包 Fiddler是一款非常流行并且实用的http抓包工具，它的原理是在本机开启了一个http的代理服务器，然后它会转发所有的http请求和响应，因此，它比一般的firebug或者是chrome自带的抓包工具要好用的多。不仅如此，它还可以支持请求重放等一些高级功能。显然它是可以支持对手机应用进行http抓包的。本文就来介绍下如何用fiddler对手机应用来抓包。
fiddler无法为windows配置根证书解决办法
网络安全领域优质创作者
03-25 2万+
win10系统中安装了fiddler，一直无法成功创建根证书，一直出现错误提示。无法为windos配置根证书。 解决办法： 打开cmd命令行 进入Fiddler的安装目录下。比如：D:\Program Files\Fiddler Web Debugger 输入命令： makecert.exe -r -ss my -n "CN=DO_NOT_TRUST_FiddlerRoot, O=DO_...
fiddler的使用
08-18
Fiddler是一个代理工具，可以在手机上网时充当代理服务器的角色。通过配置手机和Fiddler所在电脑处于同一网段，并将Fiddler设置为支持移动端连接，就可以捕获手机端发送的网络请求。具体配置方法如下： 1. 确保手机连接的Wi-Fi和Fiddler所在电脑处于同一网段。 2. 打开Fiddler工具，选择菜单中的“Fiddler”→“Tools”→“Options”命令。 3. 在打开的对话框中的“Connections”选项卡里勾选“Allow remote computers to connect”复选框。 4. 设置“Fiddler listens on port”为“8888”。 5. 单击“OK”按钮关闭Fiddler工具，然后重新打开Fiddler工具。 你可以在https://www.telerik.com/download/fiddler上下载Fiddler工具。一旦配置完成，Fiddler就可以捕获和分析手机端发送的网络请求。请注意，如果要抓取HTTPS请求，需要安装Fiddler证书。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *2* [Fiddler 工具的使用](https://blog.csdn.net/FloraCHY/article/details/131551459)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"] - *3* [Fiddler使用教程](https://blog.csdn.net/weixin_44330336/article/details/125522082)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值