浅谈HTTPS以及Fiddler抓取HTTPS协议-CFANZ编程社区

最近想尝试基于Fiddler的录制功能做一些接口的获取和处理工作，碰到的一个问题就是简单连接Fiddler只能抓取HTTP协议，关键的登录请求等HTTPS协议都没有捕捉到，所以想让Fiddler能够同时抓取到HTTPS和HTTP协议，设置只是很小的一步，关键是了解HTTPS协议的原理、Fiddler抓取HTTPS协议的原理，然后才能更好的理解如何进行设置。本文主要由三部分组成，第一部分用比较通俗形象的方式简述了HTTPS的原理，第二部分则是在第一部分的基础上介绍Fiddler抓取HTTPS协议的原理，最后第三部分就是如何对Fiddler及手机进行设置让其捕捉HTTPS协议。

一、浅谈HTTPS

我们都知道HTTP并非是安全传输，在HTTPS基础上使用SSL协议进行加密构成的HTTPS协议是相对安全的。目前越来越多的企业选择使用HTTPS协议与用户进行通信，如百度、谷歌等。HTTPS在传输数据之前需要客户端（浏览器）与服务端（网站）之间进行一次握手，在握手过程中将确立双方加密传输数据的密码信息。网上有诸多资料，有些写得过于晦涩难懂，尤其是需要密码学的一些知识。我做了一下简单的整理，刨除复杂的底层实现，单从理解SSL协议的角度宏观上认识一下HTTPS。一言以弊之，HTTPS是通过一次非对称加密算法（如RSA算法）进行了协商密钥的生成与交换，然后在后续通信过程中就使用协商密钥进行对称加密通信。HTTPS协议传输的原理和过程简图如下所示：

一共有8个步骤，我们针对每一步，具体看看发生了什么事：

这里客户端与服务器互相发送加密的握手消息并验证，目的是为了保证双方都获得了一致的密码，并且可以正常的加密解密数据，为后续真正数据的传输做一次测试。另外，HTTPS一般使用的加密与HASH算法如下：非对称加密算法：RSA，DSA/DSS对称加密算法：AES，RC4，3DESHASH算法：MD5，SHA1，SHA256其中非对称加密算法用于在握手过程中加密生成的密码，对称加密算法用于对真正传输的数据进行加密，而HASH算法用于验证数据的完整性。由于浏览器生成的密码是整个数据加密的关键，因此在传输的时候使用了非对称加密算法对其加密。非对称加密算法会生成公钥和私钥，公钥只能用于加密数据，因此可以随意传输，而服务器的私钥用于对数据进行解密，所以服务器都会非常小心的保管自己的私钥，防止泄漏。

二、Fiddler抓取HTTPS协议原理

我们都知道，Fiddler是个很好的代理工具，可抓取协议请求用于调试。关于Fiddler抓取HTTP协议的原理和配置比较简单，对Fiddler和客户端稍作配置，便能使得Fiddler轻易地获取HTTP请求。但是由于HTTPS协议的特殊性，要进一步地配置Fiddler，我们首先要了解一下fiddler抓取HTTPS协议的原理才能更好地理解如何对fiddler进行配置。Fiddler本身就是一个协议代理工具，在上一节HTTPS原理图上，客户端与服务器端进行通信的过程全部都由Fiddler获取到，也就是如下图所示：

我们看到Fiddler抓取HTTPS协议主要由以下几步进行：

在之后的正常加密通信过程中，Fiddler如何在服务器与客户端之间充当第三者呢？

从上面可以看到，Fiddler抓取HTTPS协议成功的关键是根证书（具体是什么，可Google）,这是一个信任链的起点，这也是Fiddler伪造的CA证书能够获得客户端和服务器端信任的关键。
接下来我们就来看如果设置让Fiddler抓取HTTPS协议。

三、Fiddler抓取HTTPS设置

注意以下操作的前提是，手机已经能够连上Fiddler，这部分的配置过程简单就不赘述了，可参考：手机如何连接Fiddler 。
如何继续配置让Fiddler抓取到HTTPS协议呢？
（一）首先对Fiddler进行设置：打开工具栏->Tools->Fiddler Options->HTTPS

选中Capture HTTPS CONNECTs，因为我们要用Fiddler获取手机客户端发出的HTTPS请求，所以中间的下拉菜单中选中from remote clients only。选中下方Ignore server certificate errors.
（二）然后，就是手机安装Fiddler证书。
这一步，也就是我们上面分析的抓取HTTPS请求的关键。
操作步骤很简单，打开手机浏览器，在浏览器地址输入代理服务器IP和端口，会看到一个Fiddler提供的页面。