Fiddler基础

Fiddler基础设置

Fiddler如何进行安全性测试

Fiddler抓包之前的准备工作

抓取HTTPS请求

1. 打开菜单栏：Tools>Options选择HTTPS标签页
2. 勾选Decrypt HTTPS traffic，里面的两个子菜单也一起勾选了
3. 点击右上角Actions按钮，选第二个选项，导出到桌面，此时桌面上会多一个文件：FiddlerRoot.cer
4. 在浏览器上的导入证书

抓取APP请求

1. Tools>Options>Connections勾选Allow remote computers to connect，Fiddler默认端口号：8888
2. 将电脑和手机处在同一wifi网络环境下，手动修改网络代理
   • 主机名：与主机电脑IP地址保持一致
   • 端口号：与Fiddler端口号保持一致
3. 抓取APP上的HTTPS请求
   1. 打开手机浏览器，输入http://主机IP地址:Fiddler端口号
   2. 点击FiddlerRoot certificate下载证书
   3. 在设置->安全->信任的凭据->用户中安装证书

打断点

• 请求前断点：
  • Rules>Automatic Breakpoints>Before Requests
    • 取消：Rules>Automatic Breakpoints>Disabled
  • 在命令行输入：bpu 地址（后面可以添加完整的地址或者关键字）
    • 取消：bpu+回车
• 响应后断点：
  • Rules>Automatic Breakpoints>After Requests
    • 取消：Rules>Automatic Breakpoints>Disabled
  • 在命令行输入：bpafter 地址（后面可以添加完整的地址或者关键字）
    • 取消：bpafter+回车
• 其他命令
  • Bpafter xxx: 中断 URL 包含指定字符的全部session响应
  • Bps xxx: 中断 HTTP 响应状态为指定字符的全部session响应
  • Bpv xxx: 中断指定请求方式的全部session响应
  • Bpm xxx: 中断指定请求方式的全部session响应 同于bpv xxx
  • Bpu xxx:与bpafter类似

弱网测试

• 启动弱网：Rules>Performance>Simulate Modem Speeds勾选

• Rules>Customize Rules

  • 搜索m_SimulateModem关键字

    if (m_SimulateModem) {
    	// Delay sends by 300ms per KB uploaded.
    	oSession["request-trickle-delay"] = "300";   # 上传速度
    	// Delay receives by 150ms per KB downloaded.
    	oSession["response-trickle-delay"] = "150";   # 下载速度
    	}
    
    // Delay sends by 300ms per KB uploaded.
    //   每延迟300ms上传1KB           
    //      300ms    1KB
    //      1000ms   ?KB
    //    300ms* ?=1000ms *1KB
    //    ?=(1000ms *1KB) /300ms --->3.3KB
    
    // Delay receives by 150ms per KB downloaded.
    //   每延迟150ms 下载 1KB
    //       150ms   1KB
    //       1000ms   ?KB
    //       ?--->1000/150--->约6.7KB
    
    //  2G网速:
    //  上传：2.7K/bps             1 Byte=  8 bit
    //         ?ms       1KB
    //       1000ms      2.7K/bps
    //     ?=(1000ms *1K*8bit)/2.7K/bps-->8000/2.7-->2962
    //     ?=1000ms * 1KB/(2.7K/8)--->2962
    //  下载：9.6K/bps
    //          ?ms       1KB
    //       1000ms      9.6K/bps
    //     ?=(1000ms *1K*8bit)/9.6K/bps-->8000/9.6-->833
    

AutoResponder模拟返回本地数据（mock）

修改返回的数据

• 抓取需要mock的请求，并将请求拖拽到AutoResponder页面中，勾选Enable rules和Unmatched requests passthrough

• 在AutoResponder中，鼠标右键单击需要mock的请求，选择AutoResponder,选择Edit Response编辑返回的内容，修改网页显示内容后，点击保存，再次刷新网页查看，可以看到百度首页中的换一换变成了测试。

添加规则

• 抓取需要mock的请求，并将请求拖拽到AutoResponder页面中，勾选Enable rules和Unmatched requests passthrough，设置规则跳转

• 刷新网页后，自动跳转目标网站

其它

• Fiddler还可以模拟状态码、创建新的响应、原有图片替换等多种方式，请自行尝试。