今天Kitty主要与大家分享Fiddler抓包工具与协议捕获编辑工具来与大家讲解Session欺骗原理过程，咱们主要通过Fiddller协议捕获工具来对比HTTPWatch两款工具之间的差别，最主要的是我们可以通过捕获到的请求进行二次编辑重新发送给服务器，这中间我们做了一个请求的截获，这样就能够通过人工的方式改变捕获的接口请求本身，通过前端的界面拼装好默认的标准，按照自己的想法来组装请求，这样就能够发现客户端的一些潜在的问题。
当然,我们也可以通过请求的编辑，编辑sessionID或者cookie信息发送给服务器，甚至可以达到绕开浏览器界面的验证，从而达到欺骗服务器的目的。
咱们今天主要通过Fiddler工具来进行讲解，Fiddler这个工具可以搞定，大家也可以使用其它的编程语言开发一个能够发送HTTP请求的代码，同样我们也可以达到与服务器进行交互的目的，客户端要发送什么请求都可以自己来定义，这样我用编程语言来搞定，然后通过加入可选的不同的数据输入，这样就能够达到自动化测试的目的，并且通过代码自动化来获取我特征库里面的值，这个实现原理就是我们现在很多安全性测试扫描工具的实现的基本原理。
就是将数据包组装好发送给服务器，来分析服务器的响应，根据服务器的响应的内容来提取一些有含量的值来判断，这个服务器是否存在安全性漏洞，安全性扫描工具都是基于这个原理来实现的，至于拼装什么样的数据包，取决于工具本身特征库的认定。
通过这些工具主要帮助大家巩固之前所学的知识，另外我们需要进入更深层面技术方面的学习，我们不能一直停留在简单层次的学习，这样提升起来会比较慢，我们需要逐渐深入底层逐渐的进入到更深的技术层面。
Fiddler的安装过程自己网上自行下载安装即可，在本次课程就不详细讲解，安装过程一路下一步下一步完成即可，安装完成之后大家注意不同的Fiddler版本需要安装Fiddler的证书，为什么要安装证书呢？因为我们平时测试的项目不仅是针对于HTTP协议来抓包分析，还有HTTPS协议的相关包也就是HTTP协议的加密过程，需要安装秘钥才能正常抓取HTTPS的包。
安装完成之后就可以直接打开Fiddler进行抓包，在File上勾选Capture Traffic,因为只有勾选这个才能监控浏览器的数据包，然后大家可以打开任意一个浏览器进行抓包，Fiddler就能监控到请求。
接下来将捕获用户的请求，对请求进行编辑并发布，修改请求的参数并选择执行，就会生成一个新的请求，从而达到向服务发送请求的目的，分析相应返回的数据。
大家可以编辑捕获到的请求修改内容向服务器发送请求，服务器将发送的请求进行响应，那如果说我可以获取到别人的sessionID，我就可以将sessionID放在cookie中发送给服务器，服务器看到我是登录状态，我就直接可以绕开登录界面，直接进入登录状态，这样就达到了欺骗服务器的目的。
例如：如果我复制一个假的证件给服务器，服务器并不知道，只能认为是同一个人，这样就完全可以获取到持有证件人的所有登录信息，从而达到欺骗服务器的目的。
当然除了使用Fiddler工具来获取项目的协议数据，自己可以通过编程语言代码编写一些接口来获取接口的权限验证相关信息，从而使用Fiddler来修改协议数据包，达到欺骗服务器的目的。
Fiddler不仅仅是一款抓包工具，同样也可以用来捕获协议并且对协议进行修改从而达到欺骗服务器的目的，也可以当做一款安全性测试的工具，现在市场上所使用的安全性扫描工具也是基于Fiddler抓包工具的原理来实现的，Fiddler除了可以用来抓PC端的HTTP或者HTTPS的包，还可以抓取移动端网页的数据包，在今天这堂课程我们就不做过多讲解。
如果想抓移动端的包，一定要勾选远程连接的一些选择项，一定要确认本机的网络与手机在同一个wifi下才能正常抓包。
那HTTPWatch也是一款抓包工具，这款工具更多时候用做抓包分析，当然Fiddler同样能够达到接口测试的目的，所以大家只需要掌握一款核心工具即可，学习工具更重要的是倾向于原理的学习，无论一款工具做得多么强大，我们的目标仅仅是抓包，只要能够满足日常工作需要即可。
综上所述，今天主要对Fiddler这款协议捕获工具的抓包包原来及Session欺骗的原理过程与大家进入深入的讲解，希望大家通过今天的学习能够让自己的知识面提升到一定的层面，后期更多干货内容敬请期待。
想了解更多精彩内容，快来关注
举报/反馈
