web抓包工具

浏览器按F12，包工Network面板里滚动的包工那些请求，就是包工抓包。抓包工具干的包工活，说白了就是包工站在你和服务器中间，偷听你们聊了什么。包工别觉得这词儿多高深——你手机连了WiFi，包工路由器里过的包工每个数据包，本质上都能被截下来看个明白。包工

我最早用抓包，包工是包工因为一个诡异bug。前端页面明明显示“下单成功”，包工后端数据库里却查不到订单。包工两边程序员互相甩锅，包工吵了半小时。包工最后用Charles把请求原样重放一遍，才发现前端传参时把用户ID写成了字符串“null”。真相就藏在那个不起眼的POST请求体里，不用抓包工具，这种问题能排查到天亮。

市面上的工具分两派。一派是Fiddler、Charles这种带图形界面的，适合人肉观察。另一派是Wireshark这种底层一点的，能看到TCP握手、TLS证书交换的原始字节流。我个人的经验是——80%的调试场景用不到Wireshark，F12自带的Network面板已经能解决大半问题。但真要分析某个App是否在后台偷偷上传通讯录，Wireshark配合代理才能抓到明明白白。

抓包有个核心痛点：HTTPS加密。早年大家裸奔用HTTP，抓包工具直接看明文。现在全站上TLS，抓包工具得先骗过客户端，让它信任你伪造的证书。Charles会弹个提示让你安装它的根证书，装完它就能解密流量。这个过程有个坑——有些App做了证书固定（SSL Pinning），就算你装了系统证书，它也不认。这时候得用Frida去hook掉它的校验逻辑，或者用太极、Xposed这类框架注入代码。玩到这个层面，已经接近逆向工程的边了。

别以为抓包只是程序员的专利。做运营的同事用抓包工具看H5活动页的接口返回，能直接改服务器响应里的金额数字，截图发朋友圈装“中奖用户”——当然这是违规操作，但确实有人这么干过。更常见的场景是，你发现某个视频App的VIP专享内容，其实只是前端隐藏了播放按钮，接口返回的MP4地址根本没做权限校验。用抓包工具改一下请求头里的会员字段，就能白嫖。这类漏洞现在越来越少，但偶尔还能在中小厂网站上碰到。

工具选型上，我常年保留三件套：Chrome DevTools处理日常前端调试，Charles对付手机App，mitmproxy跑自动化脚本。mitmproxy是命令行工具，能写Python脚本拦截并修改流量，适合批量测试接口安全性。比如写个脚本自动遍历所有API，把请求里的金额字段改成负数，看服务器会不会返回异常——这种活手工点鼠标得累死。

最后说个反直觉的观察：抓包工具越强大，越容易让人忽略业务逻辑本身。新手拿到Wireshark，盯着几百个TCP包看半天，其实他只想确认某个请求是否发出。真正高效的用法是——先用F12快速定位问题请求，再用Charles做深度分析，最后才轮到Wireshark去查底层网络异常。工具是拐杖，别拄着拐杖忘了怎么走路。