Fiddler抓包小程序请求失败如何排查？

Question

使用Fiddler抓取微信小程序请求时，常出现无法捕获HTTPS流量的问题。主要表现为Fiddler仅显示HTTP请求，而关键的HTTPS接口无数据或连接失败。此问题通常由小程序强制校验SSL证书、未正确安装Fiddler根证书或未开启解密HTTPS选项导致。此外，小程序可能使用了TLS指纹校验或内置CA信任列表，拒绝通过代理的加密连接。需排查Fiddler的HTTPS解密设置、设备证书安装状态及系统代理配置，并确认小程序是否支持透明代理。部分情况还需检查手机或模拟器的时间日期设置是否准确。

Answer 1

使用Fiddler抓取微信小程序HTTPS请求的深度解析与解决方案

1. 问题背景与现象描述

在移动应用安全测试和接口调试过程中，Fiddler作为经典的HTTP/HTTPS流量抓包工具，被广泛用于分析客户端与服务端之间的通信。然而，在尝试通过Fiddler抓取微信小程序的网络请求时，开发者常遇到一个典型问题：仅能捕获HTTP明文流量，而关键的HTTPS请求无法显示或连接失败。

该现象的根本原因在于微信小程序运行于微信内置浏览器环境中，其网络层具备严格的SSL/TLS安全机制，包括但不限于证书校验、TLS指纹识别、CA信任链控制等，导致代理中间人（如Fiddler）的解密行为被拦截。

2. 常见原因分类与排查路径

• 未开启Fiddler的HTTPS解密功能
• Fiddler根证书未正确安装到目标设备的信任存储中
• 设备系统时间不准确，导致证书有效期验证失败
• 小程序启用了SSL Pinning（证书绑定）技术
• 微信客户端内置了CA白名单机制，拒绝非授信CA签发的证书
• TLS Client Hello指纹被检测并阻断（TLS Fingerprinting）
• 代理配置错误：IP地址或端口设置不当
• 防火墙或杀毒软件干扰Fiddler监听
• 模拟器或真机未正确配置系统级代理
• 小程序使用了非标准TLS协议版本或加密套件

3. Fiddler基础配置检查清单

检查项	正确配置示例	常见错误
启用HTTPS解密	Tools → Options → HTTPS → Decrypt HTTPS traffic	未勾选或提示权限不足
信任Fiddler根证书	Actions → Trust Root Certificate	Windows证书未导入或未受信
监听端口	默认8888，可自定义但需同步手机设置	端口被占用或防火墙阻止
允许远程连接	Connections → Allow remote computers to connect	未开启导致手机无法连接

4. 移动端证书安装流程（以Android为例）

1. 确保Fiddler正在运行并监听8888端口
2. 手机连接同一局域网，手动设置Wi-Fi代理为电脑IP + 端口（如192.168.1.100:8888）
3. 在手机浏览器访问 http://ipv4.fiddler:8888
4. 下载并安装“FiddlerRoot certificate”
5. 进入“设置 → 安全 → 加密与凭据 → 信任的凭据”查看是否包含Fiddler证书
6. 对于Android 7+，应用默认不再信任用户安装的CA证书，需将证书放入系统分区或使用Xposed模块绕过
7. 部分品牌手机（如华为、小米）需在“更多安全设置”中启用“允许安装未知来源证书”
8. 重启微信应用以刷新网络环境

5. 微信小程序特有的安全限制机制

微信小程序运行在受限的WebView容器中，其网络请求由微信客户端底层框架处理，具备以下安全特性：

• SSL Pinning：小程序代码中硬编码服务器公钥指纹，若代理替换证书则校验失败
• CA信任列表隔离：仅信任预置CA（如GlobalSign、DigiCert），忽略用户添加的根证书
• TLS指纹检测：通过Client Hello特征识别Fiddler/Charles等工具的行为模式
• 域名白名单机制：仅允许调用已备案的业务域名接口

6. 高级解决方案与技术绕过思路

当常规方法失效时，可采用以下进阶手段进行突破：

# 示例：使用mitmproxy + Frida进行动态Hook绕过SSL Pinning
import frida
import sys

def on_message(message, data):
    print(message)

js_code = """
Java.perform(function () {
    var OkHttpClient = Java.use('okhttp3.OkHttpClient');
    var TrustManagerImpl = Java.use('com.android.org.conscrypt.TrustManagerImpl');

    // Hook证书验证逻辑
    TrustManagerImpl.checkTrustedRecursive.implementation = function () {
        console.log("[*] Bypassing SSL Pinning");
        return;
    };
});
"""

process = frida.get_usb_device().attach("com.tencent.mm")
script = process.create_script(js_code)
script.on('message', on_message)
script.load()
sys.stdin.read()
    

7. 使用模拟器配合抓包的最佳实践

相较于真机，Android模拟器更易于实现系统级控制，推荐使用如下组合：

• 模拟器平台：Genymotion 或 Android Studio Emulator
• 操作系统镜像：选择Google APIs版本以便安装GMS服务
• Root权限获取：使用Magisk或SuperSU植入su二进制文件
• 证书处理：将Fiddler证书重命名为.0格式并复制至/system/etc/security/cacerts/
• 网络配置：设置静态IP与代理指向宿主机Fiddler实例

8. 时间同步对证书有效性的影响

数字证书的有效性依赖于精确的时间戳。若设备日期偏差超过证书有效期范围（通常±5分钟内），即使证书本身有效也会被判定为无效。

建议操作：

• 确保PC与手机均启用自动时间同步（NTP）
• 检查时区设置是否一致
• 避免在虚拟机中修改BIOS时间影响宿主机

9. 抓包流程图：从配置到成功捕获

graph TD
            A[启动Fiddler] --> B{开启HTTPS解密?}
            B -- 是 --> C[信任Fiddler根证书]
            B -- 否 --> D[勾选Decrypt HTTPS traffic]
            C --> E[配置允许远程连接]
            E --> F[手机连同一Wi-Fi]
            F --> G[设置代理为PC IP:8888]
            G --> H[访问fiddler:8888下载证书]
            H --> I[安装并信任证书]
            I --> J[打开微信小程序]
            J --> K{能否看到HTTPS请求?}
            K -- 能 --> L[成功抓包]
            K -- 不能 --> M[检查SSL Pinning/TLS指纹]
            M --> N[使用Frida/Xposed Hook绕过]
            N --> O[重新尝试请求]
            O --> K

10. 替代方案与工具对比

工具	支持HTTPS解密	支持移动端	对抗SSL Pinning能力	学习成本
Fiddler	✅	✅（需配置）	❌（原生不支持）	⭐⭐☆
Charles Proxy	✅	✅	⚠️（部分支持）	⭐⭐⭐
mitmproxy	✅	✅	✅（结合脚本）	⭐⭐⭐⭐
Burp Suite	✅	✅（Pro版支持）	✅（配合Extender插件）	⭐⭐⭐⭐☆
Packet Capture (Android)	✅（无需证书）	✅	✅（基于VpnService）	⭐⭐