HTTPS抓包：玩转Charles，揭秘网站安全

2023-12-26 06:20:46

在互联网的汪洋大海中，HTTPS协议犹如一道坚固的护城河，守护着我们的隐私和安全。然而，在安全之外，对于开发者和测试人员来说，HTTPS却也成为了一道难以逾越的屏障。抓包，作为调试和分析网络请求的利器，在HTTPS时代却遭遇了重重阻碍。

本文将以Charles为例，手把手教你突破HTTPS的层层迷障，揭开抓包的神秘面纱。

Charles的魅力：HTTPS抓包的利刃

Charles是一款功能强大的网络抓包工具，是开发者和测试人员的必备神器。它可以拦截、记录和分析网络请求和响应，帮助我们深入了解网络通信的方方面面。

面对HTTPS的挑战，Charles提供了两种解决方案：SSL代理和中间人证书。SSL代理通过充当客户端和服务器之间的中间人，对HTTPS流量进行解密和重加密，从而实现抓包。中间人证书则通过安装到客户端，让Charles成为受信的证书颁发机构，从而绕过浏览器的HTTPS安全检查。

Charles的实战之旅

安装与授权

Charles的安装过程十分简单，下载安装包后双击安装即可。安装完成后，需要对Charles进行授权，才能使其拥有监听网络流量的权限。具体授权方法因系统不同而异，在Mac系统中，需要在“系统偏好设置”->“安全性与隐私”->“通用”中授予Charles权限。

手机配置

对于移动设备，需要配置代理服务器才能使用Charles抓包。在iOS设备中，需要在“设置”->“Wi-Fi”中将HTTP代理配置为Charles的IP地址和端口（默认端口为8888）；在Android设备中，需要下载并安装Charles代理应用，并按照应用中的说明进行配置。

证书申请与信任

为了使用中间人证书进行HTTPS抓包，需要向Charles申请并安装证书。打开Charles，在菜单栏中选择“Help”->“SSL Proxying”->“Install Charles Root Certificate”，按照提示操作即可完成证书安装。安装完成后，在浏览器中访问“charlesproxy.com/getssl”下载证书，并将其导入浏览器的受信任证书列表。

添加被监听的HTTPS域名

为了让Charles能够抓取特定的HTTPS域名，需要将其添加到被监听的域名列表中。在Charles中，选择“Proxy”->“SSL Proxying Settings”，在“Enable SSL Proxying”勾选框上点击右键，选择“Edit Locations”，在弹出的窗口中添加需要监听的域名即可。