既然HTTPS会产生一个随机数存储在本地与服务器进行对称加密，那为什么Fidder和Charles不直接获取这个数进行解密呢？

Question

我们知道Fidder和Charles这类软件都是通过中间转发获取解密数据，
这种需要安装根证书。然后Https其实是非对称加密+对称加密，如果我们在
本地获得对称加密的密钥，是不是就不需要中间转发，直接通过密钥来解密？

Answer 1

确实可以直接通过密钥来解密，以windows系统+Chrome浏览器为例，首先要导出浏览器存储的密钥，通过计算机属性——高级系统设置——环境变量，新建一个变量名“SSLKEYLOGFILE”的变量，变量值是导出的密钥具体文件地址。安卓也可以使用Frida hook libssl.so来获取密钥，配合Wireshark可以直接解密HTTPS请求。