HTTPS隧道在Fiddler中的优势与局限性
一、引言
随着互联网技术的不断发展，网络安全问题日益受到关注。
HTTPS作为一种加密传输协议，广泛应用于网站、应用程序等领域，以确保数据传输的安全性和隐私性。
Fiddler是一款流行的网络调试工具，可以对HTTP和HTTPS流量进行抓包和分析。
在HTTPS隧道方面，Fiddler具有一定的优势和局限性。
本文将详细探讨HTTPS隧道在Fiddler中的优势与局限性，帮助用户更好地理解和应用这一工具。
二、HTTPS隧道在Fiddler中的优势
1. 加密流量解析
Fiddler作为一款强大的网络调试工具，可以对HTTP和HTTPS流量进行抓包。
尽管HTTPS采用了加密技术，但Fiddler仍然可以解析加密流量，使用户能够查看和分析HTTPS请求和响应。
这对于网络安全分析、性能优化等方面具有重要意义。
2. 抓包分析便捷
Fiddler提供了一个友好的用户界面，方便用户进行抓包分析。
通过Fiddler，用户可以轻松查看HTTPS请求的详细信息，包括请求头、请求体、响应头、响应体等。
Fiddler还支持强大的过滤功能，用户可以根据需要过滤出特定的HTTPS请求，便于分析和调试。
3. 支持会话重放
Fiddler支持会话重放功能，用户可以将捕获的HTTPS请求保存为会话文件，并在需要时重新发送。
这对于测试、模拟攻击场景等方面非常有用。
通过会话重放，用户可以轻松复现问题，并进行深入分析。
4. 强大的插件支持
Fiddler具有良好的扩展性，支持各种插件。
通过安装插件，Fiddler可以扩展其功能，实现对HTTPS流量的更深入分析和处理。
例如，用户可以安装SSL插件，以实现对HTTPS流量的解密功能。
三、HTTPS隧道在Fiddler中的局限性
1. 安全性问题
虽然Fiddler可以解析HTTPS流量，但这并不意味着它是完全安全的。
在使用Fiddler进行HTTPS流量分析时，可能存在敏感信息泄露的风险。
因此，用户需要注意保护个人信息和隐私。
恶意用户可能会利用Fiddler的漏洞进行攻击，因此用户需要保持警惕并定期检查Fiddler的安全性。
2. 对SSL/TLS加密的支持有限
虽然Fiddler可以解析HTTPS流量，但它对SSL/TLS加密的支持有限。
在某些情况下，Fiddler可能无法解析使用最新加密算法或协议的HTTPS流量。
Fiddler的解密功能也可能受到证书限制，无法解密所有HTTPS通信。
3. 性能影响
由于Fiddler是一个代理服务器，它会对网络流量进行拦截和分析，这可能会对网络性能产生一定影响。
在大型项目或高并发场景下，Fiddler可能会成为性能瓶颈。
因此，在性能敏感的应用中，用户需要谨慎使用Fiddler。
四、如何应对局限性
1. 加强安全防护
为了应对安全性问题，用户需要采取一系列安全措施，如使用强密码、定期更新Fiddler版本、限制访问权限等。
用户还可以考虑使用其他安全工具，如防火墙、入侵检测系统等，以提高系统的安全性。
2. 使用其他工具进行补充
针对Fiddler对SSL/TLS加密的支持有限的问题，用户可以考虑使用其他工具进行补充。
例如，可以使用浏览器插件来解析HTTPS流量，或使用专门的网络安全分析工具来处理复杂加密的HTTPS流量。
3. 优化性能
为了减少Fiddler对网络性能的影响，用户可以采取一些优化措施。
例如，关闭不必要的抓包功能、使用更快的硬件和网络环境、合理安排抓包时间等。
用户还可以考虑使用其他高性能的网络调试工具来替代Fiddler。
五、结论
HTTPS隧道在Fiddler中具有一定的优势和局限性。
用户在选择使用Fiddler时，需要充分了解其优势和局限性，并根据实际需求进行合理配置和使用。
通过加强安全防护、使用其他工具进行补充以及优化性能等措施，用户可以更好地利用Fiddler进行网络调试和分析工作。
如何配置能让fiddler抓去https的请求
首先，打开 Fiddler，在菜单栏中依次选择 【Tools】->【Fiddler Options】->【HTTPS】，勾上如下图的选项。 勾上后，Fiddler 会提示你安装一个证书。 安装完后点击上图中的 Export Root.. 按钮，将证书下载到桌面。 接着将证书导入到浏览器。 这里以 chrome 举例，依次选择 【设置】->【管理证书..】 将保存在桌面的证书导入即可（其他浏览器类似，通常有个“证书”选项设置）。 也可以直接双击下载下来的证书，进行安装。 我们打开 ，这时就可以愉快地捕获 https 请求了！细心的你可能会发现，在 https 的请求中夹杂着一些 http 的请求，并且该 session 的 Host 参数是个诡异的 Tunnel to”，什么鬼？ StackOverflow 里早已有 精彩解答 ，或者可以直接看 这里 ，简单地说 fiddler 当做代理转发 https 请求的时候，就会产生 CONNECT Tunnels，所以大可忽略它。
怎样看懂fiddler捕捉的http包
1、fiddler捕获浏览器的会话：能支持http代理的任意程序都能被fiddler捕获到，由于fiddler的运行机制就是监听本机上的8888端口的http代理，所以我们要将浏览器的IE代理设置为127.0.0.1:8888，我们就以360浏览器为例设置浏览器的代理：点击【工具】—【Internet选项】—【连接】—【局域网设置】，再点击代理服务器的【高级】按钮，将HTTP代理服务器地址改为127.0.0.1:8888。 2、使用fiddler捕获HTTPS会话：默认情况下，fiddler是不会捕获https会话的，所以需要自行设置一下。 启动软件，点击【工具】—【fiddler选项】，在弹出的新窗口中，点击HTTPS选项卡，将捕获HTTPS连接这一选项前面全打上勾，点击OK就操作成功了。 3、fiddler主界面介绍：启动fiddler，我们就会看到该软件的主界面，软件窗口大体可以分为六大部分：菜单栏、工具栏、会话列表、命令行工具栏、HTTP Request显示栏、Http Response显示栏。 让你在捕获数据的时候一目了然。 4、查看HTTP统计视图：通常fiddler会话列表中会显示捕获的所有的http通信量，并以列表的形式展示出来，点击你想查看的一个或者多个会话，再点击软件右边的【统计】菜单，你就可以很轻松的查看到请求数、发送字节数等信息。 如果你选择第一个请求和最后一个请求，还可以获得页面加载所消耗的总体时间，还可以从图表中分辩出那些请求耗时最多，从而可以对页面的访问速度进行优化。 5、QuickExec命令行的使用：QuickExec命令行是会话列表下边的黑色区域，你可以在里面输入命令，回车之后即可执行你的命令，非常方便，在这里为大家介绍几个常用的命令：help 打开官方的使用页面介绍，所有的命令都会列出来cls 清屏 (Ctrl+x 也可以清屏)select 选择会话的命令? 用来选择png后缀的图片bpu 截获request6、如何在fiddler中设置断点修改Response：主要有两种方法：1、点击【设置】菜单—【自动断点】—【响应之后】，这种方法是中断所有的会话，如果你想消除断点的话，就点击【设置】—【自动断点】—【禁用】就可以了。 2、在QuickExec命令行中输入：bpuafter 网址/会话名，这种方法是中断某一具体的会话，如果想消除命令的话，在命令行中输入bpuafter。 7、如何在fiddler中创建AUTOResponder规则：设置AUTOResponder规则的好处是允许你从本地返回文件，而不用将http request发送到服务器上。 我们就以访问博客园网站为例说明一下该功能的用法。 1) 打开博客园首页，把博客园的LOGO图片保存在本地，并把图片修改一下。 2) 打开fiddler找到刚才我们有该LOGO图片的会话，然后点击软件右边的自动响应选项卡，在Enable authomatic reponses和permit passthrought unmatched requests前面都打上勾，将会话拖到自动响应列表框中。 3) 在右下角的Rule Editor的第二个文本框选择Find a File……，然后选择本地保存的图片，点击SAVE按钮保存就可以了。 4) 我们再次打开博客园首页，注意观察LOGO图片已经变成我们所修改的那张了。 8、fiddler的会话比较功能的使用：选中两个会话，右键点击Compare，就可以利用WinDiff来比较两个会话有什么不同了。 （注：使用这个功能的前提是你要安装有WinDiff）9、fiddler还有编码小工具，下面我们来看一下应该怎么使用：1）单击工具栏的编码器按钮2）在弹出的新窗口中，你就可以操作了10、fiddler查询会话：1）点击【编辑】菜单—【查询会话】或者使用快捷键Ctrl+F。 2）在弹出的新窗口中输入你要查询会话，点击find session按钮之后，你就会发现查询到的会话会用黄色标注出来。 11、如何在VS调试网站的时候使用Fiddler：如果你想在用visual stuido 开发网站的时候也用Fiddler来分析HTTP， 但是默认的Fiddler是不能嗅探到localhost的网站。 有两个方法可以供你选用：1）你只要在localhost后面加个点号，Fiddler就能嗅探到。 例如：原本的地址是localhost:2391/， 加个点号后，变成 localhost.:2391/ 之后就可以被fiddler捕获到了。 2）在hosts文件中加入127.0.0.1 localsite这样也可以被捕获到。
如何实现使用fiddler对手机https 进行抓包
配置fiddler, 允许远程连接打开fiddler, tools-> fiddler options 。 （配置完后记得要重启fiddler）.选中decrpt https traffic, fiddler就可以截获https请求选中allow remote computers to connect. 是允许别的机器把http/https请求发送到fiddler上来获取fiddler所在机器的ip地址这个简单吧。 我fidder所在的机器地址是: 192.168.1.104iphone上安装fiddler证书这一步是为了让fiddler能捕获https请求。 如果你只需要截获http请求， 可以忽略这一步1. 首先要知道fiddler所在的机器的ip地址： 假如我安装了fiddler的机器的ip地址是:192.168.1.1002. 打开iphone 的safari, 访问 ， 点fiddlerroot certificate 然后安装证书iphone上配置fiddler为代理打开iphone, 找到你的网络连接， 打开http代理， 输入fiddler所在机器的ip地址(比如:192.168.1.104) 以及fiddler的端口号8888大功告成，开始抓包现在iphone上的应用（比如safari, firefox, itunes, app store）发出的http/https都可以被fiddler获取。