Charles配置时如何解决SSL代理导致的证书信任问题？

Question

在使用Charles进行HTTP/HTTPS抓包时，SSL代理常导致证书信任问题。这是因为Charles通过中间人方式拦截并解密HTTPS流量，需使用自签名证书。解决此问题的关键是安装Charles根证书。 首先，在Charles中点击“Help > SSL Proxying > Install Charles Root Certificate”，根据提示完成证书安装。然后，在目标应用或系统中信任该证书。例如，在iOS设备上，将证书下载到设备，通过“设置 > 通用 > 描述文件”安装，并在“信任的根证书颁发机构”中启用。 此外，确保在Charles中启用SSL代理功能（Proxy > SSL Proxying Settings），添加目标域名和端口。若仍有问题，检查系统时间是否准确，以及目标应用是否启用了证书固定（Certificate Pinning）。若启用了证书固定，可能需要修改应用代码或使用Xposed模块绕过验证。

Answer 1

1. Charles抓包基础

Charles是一款强大的网络流量分析工具，广泛应用于HTTP/HTTPS协议的抓包与调试。然而，在使用SSL代理时，常会遇到证书信任问题。这是因为Charles通过中间人（Man-in-the-Middle, MITM）方式拦截并解密HTTPS流量，这需要依赖自签名证书。

解决这一问题的关键在于正确安装并配置Charles根证书。以下是基本步骤：

1. 在Charles中点击“Help > SSL Proxying > Install Charles Root Certificate”，根据提示完成证书安装。
2. 将证书导出并在目标设备上安装，例如iOS设备可通过Wi-Fi共享或邮件下载证书。
3. 在iOS系统中，通过“设置 > 通用 > 描述文件”完成证书安装，并在“信任的根证书颁发机构”中启用。

以上步骤确保了Charles根证书被目标设备信任。

2. 配置SSL代理功能

除了安装根证书，还需要在Charles中启用SSL代理功能。具体操作如下：

• 打开Charles菜单栏，选择“Proxy > SSL Proxying Settings”。
• 在弹出窗口中，添加目标域名和端口（如 *.example.com:443）。
• 确保目标应用的流量能够通过Charles代理服务器进行转发。

如果仍然无法正常抓取流量，可能需要检查以下几点：

检查项	描述
系统时间	确保系统时间准确，因为证书验证依赖于时间戳。
证书固定	部分应用启用了证书固定技术，需特殊处理。

3. 解决证书固定问题

当目标应用启用了证书固定（Certificate Pinning）时，即使安装了Charles根证书，也无法正常抓取流量。以下是两种常见解决方案：

    // 方法一：修改应用代码
    在应用源码中禁用证书固定逻辑。
    
    // 方法二：使用Xposed模块
    安装Xposed框架及相关模块（如JustTrustMe），绕过证书固定验证。
    

需要注意的是，Xposed框架仅适用于Android系统，且可能需要Root权限。

4. 抓包流程图

为了更清晰地展示整个抓包过程，以下是对应的流程图：

sequenceDiagram
        participant User as 用户
        participant Device as 设备
        participant Charles as Charles工具
        User->>Device: 设置代理到Charles
        Charles->>User: 导出根证书
        User->>Device: 安装根证书
        Device->>Charles: 发送HTTPS请求
        Charles->>Device: 返回解密流量

此流程图展示了从用户到设备再到Charles的完整抓包路径。