东莞网站建设化工,seo营销策略,友情链接英语,唐山建设招聘信息网站1、Fiddler抓取HTTPS过程 第一步#xff1a;Fiddler截获客户端发送给服务器的HTTPS请求#xff0c;Fiddler伪装成客户端向服务器发送请求进行握手 。 第二步#xff1a;服务器发回相应#xff0c;Fiddler获取到服务器的CA证书#xff0c; 用根证书#xff08;这里的根证…1、Fiddler抓取HTTPS过程 第一步Fiddler截获客户端发送给服务器的HTTPS请求Fiddler伪装成客户端向服务器发送请求进行握手 。 第二步服务器发回相应Fiddler获取到服务器的CA证书 用根证书这里的根证书是CA认证中心给自己颁发的证书公钥进行解密 验证服务器数据签名 获取到服务器CA证书公钥。 然后Fiddler伪造自己的CA证书这里的CA证书也是根证书只不过是Fiddler伪造的根证书 冒充服务器证书传递给客户端浏览器。也就服务器发给客户端的证书被Fiddler留下了伪造了一个证书发给客户端 第三步与普通过程中客户端的操作相同客户端根据返回的数据进行证书校验、生成密码Pre_master、用Fiddler伪造的证书公钥加密并生成HTTPS通信用的对称密钥enc_key。 第四步客户端将重要信息传递给服务器又被Fiddler截获。 Fiddler将截获的密文用自己伪造证书的私钥解开获得并计算得到HTTPS通信用的对称密钥enc_key。 Fiddler将对称密钥用服务器证书公钥加密传递给服务器。 第五步与普通过程中服务器端的操作相同服务器用私钥解开后建立信任然后再发送加密的握手消息给客户端。 第六步Fiddler截获服务器发送的密文用对称密钥解开再用自己伪造证书的私钥加密传给客户端。 第七步客户端拿到加密信息后用公钥解开验证HASH。握手过程正式完成客户端与服务器端就这样建立了”信任“。
如果你想学习fiddler抓包我这边给你推荐一套视频这个视频可以说是B站播放全网第一的fiddler抓包教程同时在线人数到达1000人并且还有笔记可以领取及各路大神技术交流798478386
2024备战金三银四最新版fiddler抓包实战教程_哔哩哔哩_bilibili2024备战金三银四最新版fiddler抓包实战教程共计8条视频包括1、fiddler和F12抓包对比、2、Fiddler工作原理、3、配置证书抓取https包等UP主更多精彩视频请关注UP账号。https://www.bilibili.com/video/BV19j411J7oc/?spm_id_from333.337.search-card.all.click
2、拓展SSL/TLS证书握手原理
普及下SSL/TLS证书握手原理SSL/TLS证书分为单向认证和双向认证通过下面的两张图可以简单的了解一下原理。
单向认证 双向认证 3、Fiddler抓取https原理总结
在之后的正常加密通信过程中Fiddler如何在服务器与客户端之间充当第三者呢
服务器—客户端Fiddler接收到服务器发送的密文用对称密钥解开获得服务器发送的明文。再次加密发送给客户端。
客户端—服务端客户端用对称密钥加密被Fiddler截获后解密获得明文。再次加密发送给服务器端。由于Fiddler一直拥有通信用对称密钥enc_key 所以在整个HTTPS通信过程中信息对其透明。
4、Fiddler抓取HTTPS设置
因为Fiddler是一个HTTP代理服务它位于客户端和服务器端之间而安装好Fiddler的只可以对HTTP协议进行抓包。
如果需要对HTTPS的协议进行抓包分析就需要对Fiddler工具进行配置使得Fiddler工具也可以抓到HTTPS协议的包。
如果没有进行任何的配置就想用Fiddler来抓包分析是实现不了的即使抓出来也是看不懂的加密内容。因为没有受信任的Fiddler根证书不能让客户端相信Fiddler伪造的CA证书从而得到Pre_master。
步骤1配置证书
Tools菜单 — Options... — HTTPS — 勾选Decrypt HTTPS traffic
如下图 说明
勾选Decrypt HTTPS traffic选项
Decrypt HTTPS traffic意思是解密HTTPS流量请求。
然后会弹出一个对话框如下图 意思是为了能够拦截HITTPS通信Fiddler生成了唯一的根证书。您可以将Windows配置为信任此根证书以禁止显示安全警告。单击“是”以重新配置Windows的受信任CA列表。
然后接着弹出对话框如下点击是确认安装此证书。 是否确认将证书添加到计算机根目录列表点击是。 最后提示成功将Fiddler的根证书添加到计算机根列表中。 步骤2勾选设置
当勾选Decrypt HTTPS traffic选项的时候会提示你安装证书安装好证书之后HTTPS选项界面如下 我们在继续勾选Ignore server certificate errors (unsafe)选项忽略服务器证书错误不安全。
之后点击OK就可以抓取HTTPS的请求了我试过了不需要重启。
