fiddler双向认证

小百菜

已于 2022-11-24 16:48:24 修改

阅读量1.2k

点赞数

分类专栏： fiddler 文章标签： fiddler https

于 2022-08-10 12:28:43 首次发布

本文链接：https://blog.csdn.net/u014644574/article/details/126264036

版权

5 篇文章 0 订阅

订阅专栏

调试抓pc软件的包，可以使用 Proxifier 代理指定程序到fiddler。参考：

        if (oSession.HostnameIs("192.168.111.201")) {
             oSession["https-Client-certificate"] = "F:/client.crt";
        }

如果是在浏览器中访问，使用了fiddler的根证书，那么这一步就可以了。

下载并安装Fiddler证书生成器。
下载地址：http://www.telerik.com/docs/default-source/fiddler/addons/fiddlercertmaker.exe?sfvrsn=2
安装后实际是在fiddler的安装目录多了一个 CertMaker.dll

安装成功后，fiddler有如下提示：

如果没有服务器证书私钥是不可以的。

CertMaker.StoreCert("192.168.111.201", "F:/server.p12","123456" );

代码模拟请求

不管单向还是双向，都不存在中间人攻击问题，我这里能用fiddler抓包的前提是浏览器使用的了fiddler的根证书。或者知道服务端的私钥。

在浏览器中的https链接抓包：
方式一：用SSLKEYLOGFILE 解码 +Wireshark
方式二：fiddler + 信任fiddler的根证书。

app抓包（只信任自己的客户端连根证书都不信任）抓包：fiddler + 服务端私钥。

在浏览器中访问的系统，https可以抓包，app或者exe软件的https如果他只信任自己的客户端连根证书都不信任，这种情况是不能抓包的，网上哪些在app的手机上加入fiddler的根证书能抓包的是那款app的问题信任了根证书。唯一解决办法是app可以考虑hook和逆向更改证书判断。

关注

专栏目录