Mac Charles手机抓包时，如何解决SSL证书不被信任的问题？

Question

在使用Mac上的Charles进行手机抓包时，常遇到SSL证书不被信任的问题。这是因为Charles作为中间人代理，需要安装其自签名的SSL证书到目标设备上以解密HTTPS流量。解决方法如下：首先，在Charles中点击“Help”->“SSL Proxying”->“Install Charles Root Certificate”，将证书下载并安装到手机系统或浏览器中。对于iOS设备，需通过Safari访问Charles提供的证书安装页面（通常为chls.pro/ssl），完成证书安装后，还需在“设置”->“通用”->“关于本机”中启用完全信任该证书。此外，确保在Charles的“Proxy”设置中启用了SSL代理，并添加了目标域名。注意，部分应用可能启用证书钉扎技术，这种情况下无法通过上述方法抓取其HTTPS流量。

Answer 1

1. 问题概述

在使用Mac上的Charles进行手机抓包时，常遇到SSL证书不被信任的问题。这是由于Charles作为一个中间人代理（MITM），需要通过其自签名的SSL证书解密HTTPS流量。然而，许多设备和应用默认不信任这种自签名证书，因此需要手动安装并配置。

• 关键点：Charles作为中间人代理的作用。
• 挑战：如何让目标设备信任Charles的自签名证书。

2. 技术分析

HTTPS协议的核心是通过SSL/TLS加密来保护数据传输的安全性。当Charles介入HTTPS通信时，它会用自己的证书重新加密数据，导致客户端无法直接验证服务器的真实性。为了解决这一问题，必须将Charles的根证书添加到目标设备的信任列表中。

以下是常见技术问题及原因：

问题	原因
证书未被信任	目标设备缺少对Charles根证书的信任配置。
部分应用无法抓包	这些应用可能启用了证书钉扎技术（Certificate Pinning），禁止中间人代理。

3. 解决方案

以下是解决SSL证书不被信任问题的具体步骤：

1. 下载并安装证书：在Charles中点击“Help”->“SSL Proxying”->“Install Charles Root Certificate”，将证书下载到目标设备。
2. iOS设备配置：通过Safari访问chls.pro/ssl页面，完成证书安装后，在“设置”->“通用”->“关于本机”中启用完全信任该证书。
3. 启用SSL代理：确保在Charles的“Proxy”设置中启用了SSL代理，并添加了目标域名。

注意：如果目标应用启用了证书钉扎技术，上述方法可能无效。此时需要考虑其他方式，如修改应用代码或使用更高级的工具。

4. 配置流程图

以下是整个配置过程的流程图：

graph TD;
            A[开始] --> B{是否需要抓HTTPS流量};
            B --是--> C[下载并安装Charles根证书];
            C --> D{目标设备类型};
            D --iOS--> E[通过Safari访问chls.pro/ssl并启用信任];
            D --Android--> F[手动导入证书到系统];
            E --> G[启用Charles中的SSL代理];
            F --> G;
            G --> H[添加目标域名];
            H --> I[完成];

5. 注意事项

在实际操作过程中，还需要注意以下几点：

• 确保Charles的代理设置正确，包括端口和IP地址。
• 对于某些特殊应用，可能需要额外配置，例如调整DNS解析规则。
• 测试完成后，建议移除Charles证书以避免潜在安全风险。

此外，证书钉扎技术的存在使得部分应用无法通过常规手段抓包。在这种情况下，可以尝试联系开发者获取更多信息，或者探索其他解决方案。