Fiddler抓包工具：HTTP/HTTPS调试与移动应用测试实战

1. Fiddler抓包工具概述

Fiddler是一款由Telerik公司开发的HTTP/HTTPS调试代理工具，它通过充当中间人角色来捕获和分析网络流量。作为Windows平台上最受欢迎的抓包工具之一，Fiddler在Web开发、移动应用测试和API调试等领域有着广泛应用。

Fiddler Classic（经典版）是当前最稳定的版本，相比Fiddler Everywhere（跨平台版本）具有更丰富的功能和插件支持。它能够拦截几乎所有基于HTTP/HTTPS协议的应用程序流量，包括但不限于：

• 浏览器请求（Chrome、Edge、Firefox等）
• 移动应用（通过代理设置）
• 桌面应用程序
• 游戏客户端
• 微服务间的API调用

注意：Fiddler的工作原理是在本地建立一个代理服务器（默认端口8888），所有经过该代理的网络请求都会被记录和分析。这意味着要捕获某个应用的流量，必须确保该应用正确配置了Fiddler作为代理。

2. Fiddler安装与基础配置

2.1 下载与安装步骤

1. 访问Fiddler官网（https://www.telerik.com/fiddler）下载最新版Fiddler Classic
2. 运行安装程序，建议选择"Complete"完整安装
3. 安装完成后首次启动会提示安装证书，这是解密HTTPS流量的关键步骤
4. 同意将证书安装到"受信任的根证书颁发机构"存储区

提示：如果遇到下载速度慢的问题，可以尝试使用官方提供的备用下载链接或通过国内镜像站获取安装包。

2.2 汉化设置（可选）

虽然Fiddler原生界面是英文的，但可以通过以下步骤实现汉化：

1. 下载汉化语言包（通常为.fll格式的插件文件）
2. 将文件复制到Fiddler安装目录的"Scripts"文件夹
3. 重启Fiddler，在菜单栏选择"Rules"→"Customize Rules"
4. 在打开的CustomRules.js文件中添加汉化代码
5. 保存后再次重启Fiddler即可生效

3. 核心功能与抓包实战

3.1 基础抓包操作

启动Fiddler后，默认会自动开始捕获流量。主界面主要分为以下几个区域：

• 会话列表（左侧）：显示所有捕获的请求
• 请求/响应详情（右侧）：显示选中请求的详细信息
• 状态栏（底部）：显示当前捕获状态和统计信息

要开始抓包：

1. 确保Fiddler正在运行且捕获功能已启用（左下角"Capturing"显示为绿色）
2. 在浏览器或目标应用中执行需要监控的操作
3. 观察Fiddler会话列表中出现的请求

3.2 HTTPS流量解密

Fiddler默认只能捕获HTTP请求的明文内容，要解密HTTPS流量需要：

1. 点击菜单栏"Tools"→"Options"→"HTTPS"
2. 勾选"Decrypt HTTPS traffic"
3. 选择"from all processes"（捕获所有进程的HTTPS流量）
4. 点击"Actions"→"Trust Root Certificate"信任根证书
5. 在移动设备上安装Fiddler根证书（通过访问http://ipv4.fiddler:8888下载）

重要提示：HTTPS解密会降低安全性，仅应在测试环境中使用。完成后务必关闭此功能并删除临时证书。

3.3 过滤无关请求

当目标应用产生大量请求时，可以通过过滤器聚焦关键流量：

1. 点击右侧"Filters"选项卡
2. 勾选"Use Filters"
3. 在"Hosts"区域设置过滤条件：
   • "Show only the following Hosts"：仅显示指定域名
   • "Hide the following Hosts"：隐藏指定域名
4. 可以按请求类型过滤（如只显示POST请求）
5. 可以按内容类型过滤（如隐藏图片/js/css等静态资源）

4. 移动设备抓包实战

4.1 Android设备配置

1. 确保PC和手机在同一局域网
2. 在手机WiFi设置中配置手动代理：
   • 主机名：PC的局域网IP
   • 端口：8888（Fiddler默认端口）
3. 在手机浏览器访问http://ipv4.fiddler:8888下载并安装Fiddler根证书
4. 在Android设置中信任该证书（位置因系统版本而异）
5. 开始捕获手机应用流量

4.2 iOS设备配置

1. 同样确保设备与PC在同一网络
2. 配置WiFi代理（与Android类似）
3. 访问http://ipv4.fiddler:8888下载证书
4. 在"设置→通用→关于本机→证书信任设置"中启用完全信任
5. 对于iOS 13+，可能需要在Info.plist中添加NSAllowsArbitraryLoads以绕过ATS限制

4.3 雷电模拟器抓包

雷电模拟器等Android模拟器的抓包配置稍有不同：

1. 在模拟器设置中找到网络配置
2. 设置手动代理为PC的局域网IP和8888端口
3. 在模拟器浏览器中下载证书
4. 可能需要将证书从下载目录移动到系统证书目录
5. 对于某些顽固应用，可能需要使用Xposed框架配合JustTrustMe模块

5. 高级功能与技巧

5.1 断点调试

Fiddler允许在请求发出前或响应返回前设置断点：

1. 点击菜单栏"Rules"→"Automatic Breakpoints"
2. 选择"Before Requests"（请求前中断）或"After Responses"（响应后中断）
3. 也可以针对特定URL设置断点：在命令行输入"bpu 网址"或"bpafter 网址"
4. 中断后可以修改请求/响应内容，用于测试不同场景

5.2 弱网模拟

Fiddler可以模拟各种网络条件：

1. 点击菜单栏"Rules"→"Performance"→"Simulate Modem Speeds"
2. 或自定义限速规则：
   • 打开"Rules"→"Customize Rules"
   • 修改OnBeforeRequest函数中的延迟和带宽参数
3. 可以模拟丢包、高延迟等复杂网络环境

5.3 自动响应

无需修改服务端即可模拟各种响应：

1. 选中目标请求，右键选择"AutoResponder"
2. 勾选"Enable rules"和"Unmatched requests passthrough"
3. 添加规则，将特定请求映射到本地文件或预设响应
4. 常用于模拟API返回、替换前端资源等场景

6. 常见问题排查

6.1 抓不到包的可能原因

1. 代理未正确配置：
   • 确认目标应用确实使用了系统代理设置
   • 某些应用（如微信小程序）可能使用自己的网络栈
2. 证书问题：
   • 确认已正确安装并信任Fiddler根证书
   • 某些Android版本需要将证书移动到系统证书目录
3. 防火墙/杀毒软件拦截：
   • 临时关闭防火墙测试
   • 将Fiddler添加到白名单
4. 端口冲突：
   • 检查8888端口是否被占用
   • 可以在Fiddler设置中更改默认端口

6.2 HTTPS解密失败

1. 证书不受信任：
   • 重新安装Fiddler根证书
   • 确保证书安装在正确的存储区
2. 证书固定（Certificate Pinning）：
   • 某些应用（如银行APP）使用证书固定技术
   • 需要配合Xposed框架或Frida等工具绕过
3. TLS 1.3问题：
   • 某些旧版Fiddler对TLS 1.3支持不完善
   • 更新到最新版本或降级TLS版本

6.3 性能问题

1. 捕获大量请求导致卡顿：
   • 使用过滤器减少无关请求
   • 定期清除会话（Ctrl+X）
2. 内存占用过高：
   • 限制捕获的会话数量
   • 关闭不必要的插件
3. 弱网模拟不生效：
   • 确认没有其他网络优化工具干扰
   • 检查CustomRules.js中的限速代码是否正确

7. 安全与最佳实践

1. 敏感数据处理：
   • 避免在生产环境使用Fiddler
   • 及时清除包含敏感数据的会话
2. 证书管理：
   • 测试完成后及时移除Fiddler根证书
   • 不要将含证书的设备用于正式业务
3. 性能优化：
   • 对大型项目使用过滤器提高效率
   • 定期清理历史会话数据
4. 合规使用：
   • 仅对自己的应用或授权应用进行抓包
   • 遵守相关法律法规和用户协议

在实际项目中，我发现合理使用Fiddler可以极大提升开发调试效率。特别是在移动端与后端联调时，能够直观看到请求和响应的完整内容，快速定位问题是前端传参错误还是后端处理问题。对于需要模拟特殊网络环境的场景，Fiddler的弱网模拟功能也非常实用。