• 过滤器

过滤器.png

• 前言

fiddler是一个很好的抓包工具，默认是抓http请求的，对于pc上的https请求，会提示网页不安全，这时候需要在浏览器上安装证书。

一、网页不安全
1.用fiddler抓包时候，打开百度网页：https://www.baidu.com
2.提示：网页不安全

网页不安全.png

二、fiddler设置(抓取所有https请求)
1.打开菜单栏：Tools>Fiddler Options>HTTPS
2.勾选Decrypt HTTPS traffic，里面的两个子菜单也一起勾选了

fiddler设置.png

导出证书.png

导入到firefox浏览器.png

勾选文件.png

勾选三个选项.png

• PS:如果还不能成功，那就重启浏览器，重启电脑了。

Fiddler抓包2-只抓APP的请求

• 前言

fiddler抓手机app的请求，估计大部分都会，但是如何只抓来自app的请求呢？
把来自pc的请求过滤掉，因为请求太多，这样会找不到重要的信息了。

• 环境准备：

1.电脑上已装fiddler

2.手机和电脑在同一局域网

一、设置

1.fiddler>Tools>Fiddler Options>Connections 勾选Allow remote computers to connect。

2.记住这里的端口号：8888，后面会用到。

Allow remote computers to connect.png

ipconfig

查看电脑IP.png

三、设置代理
1.手机设置->WLAN设置->选择该wifi，点右边的箭头（有的手机是长按弹出选项框→修改网络→显示高级选项）。

设置代理.png

2.选择修改网络配置：
配置主机名：与主机电脑IP地址保持一致
端口号：8888
3.保存后就可以抓到来自手机的请求了。

选择修改网络配置.png

四、抓APP上的HTTPS请求
1.如果app都是http请求，是不需要安装证书，能直接抓到的，如果是https请求，这时候手机就需要下载证书了。
2.打开手机浏览器输入：http://10.224.xx.xx:8888 ，这个中间的host地址就是前面查到的本机地址。
3.出现如下画面，点箭头所指的位置，点击安装就可以了。

点箭头所指的位置.png

五、设置过滤
1.手机上设置代理后，这时候fiddler上抓到的是pc和app所有的请求，如果pc上打开网址，会很多，这时候就需要开启过滤功能了。
2.打开fiddler>Tools>Fiddler Options>HTTPS>...from remote clients only,勾选这个选项就可以了
...from all processes :抓所有的请求
...from browsers only ：只抓浏览器的请求
...from non-browsers only :只抓非浏览器的请求
...from remote clients only:只抓远程客户端请求

过滤器.png

（注意：如果手机设置代理后，测完之后记得恢复原样，要不然手机无法正常上网。）

• 前言
  前面两篇关于Fiddler抓包的一些基本配置，配置完之后就可以抓到我们想要的数据了，接下来就是如何去分析这些数据。
  本篇以博客园的请求为例，简单分析get与post数据有何不一样，以后也能分辨出哪些是get，哪些是post了。

一、get请求[图片上传中...(get请求.png-2ac7c-1529389857624-0)]

1.打开fiddler工具，然后浏览器输入博客首页地址：http://www.cnblogs.com/yoyoketang/
2.点开右侧Inspectors下的Headers区域，查看Request Headers
3.Request Headers区域里面的就是请求头信息，可以看到打开博客园首页的是get请求

get请求.png

post请求.png

如何找出需要的请求.png

查看fiddler会话框.png

四、get和post请求参数区别
1.关于get和post的功能上区别就不说了，大家自己查资料，这里主要从fiddler抓包的层面查看请求参数上的区别
2.get请求的Raw参数查看，主要分三部分：
--第1部分是请求url地址
--第2部分是host地址
--第3部分是请求头部信息header

get和post请求参数区别.png

post的信息.png

Fiddler抓包4-工具介绍（request和response）

• 前言

本篇简单的介绍下fiddler界面的几块区域，以及各自区域到底是干什么用的，以便于更好的掌握这个工具

一、工具简介

1.第一块区域是设置菜单，这个前面2篇都有介绍

2.第二块区域是一些快捷菜单，可以点下快捷功能键

3.第三块左边是抓捕的请求会话列表，每一个请求就是一个会话

4.第四块右边上方区域是request请求的详细信息，可以查看headerd、cookies、raw、json等

5.第五块右边下方区域就是response信息，可以查看服务端返回的json数据或其它信息

6.第六块区域左下角黑色的那块小地方，虽然很不起眼，容易被忽略掉，这地方是命令行模式，可以输入简单的指令如：cls，执行清屏的作用等

fiddler界面的几块区域.png

会话框包含内容.png

三、Request 和Response
1.Request是客户端发出去的数据，Response是服务端返回过来的数据，这两块区域功能差不多

Request 和Response.png

No Authorization Header is present.

5.cookies:查看cookie详情
6.raw:查看一个完整请求的内容，可以直接复制
7.json:查看json数据
8.xml:查看xml文件的信息

四、decode解码
1.如果response的TextView区域出现乱码情况，可以直接点下方黄色区域解码

decode解码.png

点击快捷菜单decode自动解码.png

• 前言
  • Fiddler最大的优势在于抓包，我们大部分使用的功能也在抓包的功能上，fiddler做接口测试也是非常方便的。
  • 对应没有接口测试文档的时候，可以直接抓完包后，copy请求参数，修改下就可以了。

一、Composer简介
点开右侧Composer区域，可以看到如下界面，就是测试接口的界面了

Composer简介.png

二、模拟get请求
1.在Composer区域地址栏输入博客首页：http://www.cnblogs.com/yoyoketang/
2.选择get请求，点Execute执行，请求就可以发送成功啦
3.请求发送成功后，左边会话框会生成一个会话记录，可以查看抓包详情
4.右侧history区域会多一个历史请求记录

模拟get请求.png

查看测试结果.png

Json数据.png

模拟post请求.png

查看测试结果post.png

• 前言
  • 上一篇介绍了Composer的功能，可以模拟get和post请求，get请求有些是不带参数的，这种比较容易，直接放到url地址栏就行。有些get请求会带有参数，本篇详细介绍url地址格式。

一、url详解
1.url就是我们平常打开百度在地址栏输入的：https:www.baidu.com,如下图，这个是最简单的url地址，打开的是百度的主页

url详解.png

稍微复杂一点的url.png

二、url解析
1.以"https://www.baidu.com/s?wd=上海悠悠博客园"这个url请求的抓包为例

url解析.png

三、请求参数（params）
1.在url里面请求参数一般叫params，但是我们在fiddler抓包工具看到的参数是：QueryString
2.QueryString是像服务端提交的参数，其实跟params是一个意思，每个参数对应的都有name和value值
3.多个参数情况如下

请求参数（params）.png

UrlEncode编码.png

• 前言
  • 上一篇讲过get请求的参数都在url里，post的请求相对于get请求多了个body部分，本篇就详细讲解下body部分参数的几种形式。

一、body数据类型
常见的post提交数据类型有四种：
1.第一种：application/json：这是最常见的json格式，也是非常友好的深受小伙伴喜欢的一种，如下
{"input1":"xxx","input2":"ooo","remember":false}

2.第二种：application/x-www-form-urlencoded：浏览器的原生 form 表单，如果不设置 enctype 属性，那么最终就会以 application/x-www-form-urlencoded 方式提交数
input1=xxx&input2=ooo&remember=false

3.第三种：multipart/form-data:这一种是表单格式的，数据类型如下
------WebKitFormBoundaryrGKCBY7qhFd3TrwA

Content-Disposition: form-data; name="text"

title

------WebKitFormBoundaryrGKCBY7qhFd3TrwA

Content-Disposition: form-data; name="file"; filename="chrome.png"

Content-Type: image/png

PNG ... content of chrome.png ...

------WebKitFormBoundaryrGKCBY7qhFd3TrwA-
4.第四种：text/xml:这种直接传的xml格式

<methodcall>
<methodname>examples.getStateName</methodname>
<params>
<param>
<value><i4>41</i4></value>
</params>
</methodcall>

二、json格式
1.打开博客园的登录页面，输入账号密码后抓包，查看post提交数据，点开Raw查看整个请求的原始数据

json格式.png

查看json格式的树状结构.png

三、x-www-form-urlencoded
1.登录博客园后，打开新随笔，随便写一个标题和一个正文后保存，抓包数据如下

x-www-form-urlencoded.png

在WebFrom里面查看.png

四、WebFrom
1.为什么登录请求的WebFrom的body部分为空呢？

WebFrom.png

五、xml
1.如果遇到text/xml这种格式的body，那就如下图这样的了

textxml格式的body.png

• 前言
  先给大家讲一则小故事，在我们很小的时候是没有手机的，那时候跟女神聊天都靠小纸条。某屌丝A男对隔壁小王的隔壁女神C倾慕已久，于是天天小纸条骚扰，无奈中间隔着一个小王，这样小王就负责传小纸条了。有一天小王忍不住偷偷打开A男表白的纸条，把里面内容改了下，改成了：我的同桌小王喜欢你。最后女神C和小王走在了一起。。。这是一个悲伤的故事！

一、断点
1.为什么要打断点呢？
比如一个购买的金额输入框，输入框前端做了限制100-1000，那么我们测试的时候，需要测试小于100的情况下。很显然前端只能输入大于100的。这是我们可以先抓到接口，修改请求参数，绕过前端，传一个小于100的数，检查服务端的功能是否OK。
也就是说接口测试其实是不需要管前端的，主要测后端的功能。Fiddler作为代理服务器的作用其实就相当于上面故事里面的小王，传纸条的作用，Fiddler(小王）修改了请求参数（小纸条），是为了验证服务端功能（女神C）。
2.Fiddler可以修改以下请求
--Fiddler设置断点，可以修改HTTP请求头信息，如修改Cookie，User-Agent等
--可以修改请求数据，突破表单限制，提交任意数字，如充值最大100,可以修改成10000
--拦截响应数据，修改响应体，如修改服务端返回的页面数据

二、断点的两种方式
1.before response：这个是打在request请求的时候，未到达服务器之前
--屌丝A传给小王的时候，小王在这个时候拦截了小纸条，未传给女神C

断点的两种方式.png

after response.png

全局断点.png

断点成功.png

3.打完断点后，会发现所有的请求都无法发出去了，这时候，点下Go按钮，就能走下一步了

点下Go按钮.png

4.找到需要修改的请求后，选中该条会话，右侧打开WebFroms,这时候里面的参数都是可以修改的了

修改请求.png

四、单个断点

已经知道了某个接口的请求地址，这时候只需要针对这一条请求打断点调试，在命令行中输入指令就可以了

请求前断点（before response)： bpu

1. 论坛登录接口：https://passport.cnblogs.com/user/signin

2. 命令行输入：bpu https://passport.cnblogs.com/user/signin 回车
   

   单个断点.png
   
   3.请求登录接口的时候，就会只拦截登录这个接口了，此时可以修改任意请求参数

4.取消断点，在命令行输入： bpu 回车就可以了

响应后断点（after requests）： bpafter

1. 论坛登录接口：https://passport.cnblogs.com/user/signin

2. 在命令行输入：bpafter https://passport.cnblogs.com/user/signin 回车

3.登录博客园，会发现已经拦截到登录后服务器返回的数据了，此时可以修改任意返回数据

4.取消断点，在命令行输入： bpafter 回车就可以了

五、拦截来自某个网站所有请求

1.在命令行输入：bpu www.cnblogs.com
2.打开博客园任意网页，发现都被拦截到了

3.打开博客园其他网站，其它网站可以正常请求

4.说明只拦截了来自部落论坛（www.cnblogs.com）的请求

5.清除输入bpu回车即可

六、命令行其它相关指令

Bpafter， Bps, bpv, bpm, bpu

这几个命令主要用于批量设置断点

Bpafter xxx: 中断 URL 包含指定字符的全部 session 响应

Bps xxx: 中断 HTTP 响应状态为指定字符的全部 session 响应
Bpv xxx: 中断指定请求方式的全部 session 响应

Bpm xxx: 中断指定请求方式的全部 session 响应 、、同于 bpv xxx

Bpu xxx:与bpafter类似

当这些命令没有加参数时，会清空所有设置了断点的HTTP请求。

更多的其他命令可以参考Fiddler官网手册

• 前言
  • 为什么要保存会话呢？举个很简单的场景，你在上海测试某个功能接口的时候，发现了一个BUG，而开发这个接口的开发人员是北京的一家合作公司。你这时候给对方开发提bug，
    如何显得专业一点，能让对方心服口服的接受这个BUG呢？如果只是截图的话，不是很方便，因为要截好几个地方还描述不清楚，不如简单粗暴一点把整个会话保存起来，发给对方。

一、保存为文本
1.以博客园登录为例，抓到登录的请求会话
2.点左上角File>Save>Selected Sessions>as Text，保存到电脑上就是文本格式的

保存为文本.png

可以直接打开的文本格式.png

三、乱码问题（decode）
1.打开博客园首页：http://www.cnblogs.com/yoyoketang/，保存之后查看，会发现返回的是乱码

乱码问题（decode）.png

decode方法解码.png

四、保存与导入全部会话
1.我们可以打开fiddler，操作完博客园后，选中save>All Sessions,保存全部会话
2.保存后，在fiddler打开也很方便，直接把刚才保存的会话按住拽进来就可以了

保存与导入全部会话.png

3.也可以选择File>Load Archive导入这个文件

Load Archive导入文件.png

Repaly.png

Fiddler抓包10-会话框添加查看get与post请求类型

• 前言

  • 在使用fiddler抓包的时候，查看请求类型get和post每次只有点开该请求，在Inspectors才能查看get和post请求，不太方便。于是可以在会话框直接添加请求方式。

一、添加会话框菜单

1.点会话框菜单（箭头位置），右键弹出选项菜单

添加会话框菜单.png

2.选择Customize columns选项，Collection选项选择Miscellaneous

选择Miscellaneous.png

选RequestMethod.png

添加成功.png

隐藏会话菜单.png

让隐藏的菜单显示出来.png

调整会话框菜单顺序.png

会话排序.png

• 前言
  • 在点Actions时候出现Export Failed:The root certificate could not be located.最近有很多小伙伴在fiddler导出证书的时候，遇到无法导出的问题，收集了几种解决办法，供参考。

一、证书无法导出
1.在点Actions时候出现Export Failed:The root certificate could not be located.

证书无法导出.jpeg

1.首先确保安装的 Fiddler 是较新的版本，先关闭fiddler

2.下载并安装Fiddler证书生成器

下载地址：http://www.telerik.com/docs/default-source/fiddler/addons/fiddlercertmaker.exe?sfvrsn=2

3.点Tools>Fiddler Options
[图片上传中...(题解决方案.png-8feaea-1529396286097-0)]

问题解决方案.png

4.勾选Capture HTTPS traffic

勾选Capture HTTPS traffic.png

导出到桌面.png

• 方法一：从fiddler里打开证书管理界面

  
  
  打开证书管理界面.png

• 方法二、从文件管理器输入：certmgr.msc并回车

  
  
  文件管理器输入.png
  
  

  2.搜索之前安装的fiddler证书，找到之后全部删除

  
  
  删除旧证书.png

3.重新下载证书生成器：http://www.telerik.com/docs/default-source/fiddler/addons/fiddlercertmaker.exe?sfvrsn=2

一路傻瓜式安装，遇到警告什么的直接忽略就行。

4.安装好证书后，安装1.1章节Fiddler抓包1-抓firefox上https请求的浏览器导入证书就行了（弄好之后，重启电脑就OK了）