Charles应用实践之篡改请求和响应

发表于:2021-3-19 09:25

字体: | 上一篇 | 下一篇 | 我要投稿

 作者:小喷壶    来源:CSDN

  通常我们在测试过程中可以使用Charles拦截请求,篡改请求和响应,检查服务端是否有校验的情况;检查是否存在漏洞,就看拦截之后修改过的数据是否写进了数据库
  使用方法:
  举例一:上传文件
  1、先打开charles工具(如下图,第4个开放断点的按钮要打开)——然后去浏览器中输入我们要访问的地址——会发现charles中会出现浏览器中访问的地址(这个时候你在浏览器操作,charlse就会记录下来)。
  2、然后到你需要设置断点或拦截请求的页面后——在需要拦截请求的那一步操作之前(比如上传一个材料的操作,先点击上传材料按钮,然后就去抓包工具里面打断点),给访问地址文件夹设置断点(右键--Breakpoints,不要对具体的某个请求设置断点,而是整个访问地址文件夹)。
  3、如果只是拦截请求,就回到浏览器中去刷新下——会发现charles中这个地址前面变红,无论浏览器中做什么操作,charles中都不改变,并且浏览器中会一直转圈圈,访问不了。
  4、如果需要拦截请求并篡改请求,跳过第3步,(步骤:打开charles——浏览器访问网页——访问到网页中需要拦截的那一步——charles打断点——浏览器中进行操作(比如上传某个文件)——回到charles进行篡改)。
  4.1、在浏览器页面操作上传文件,比如1.txt
  4.2、然后会自动跳转到或手动打开charles断点操作页面Breakpoints的概述,右侧会出现Edit Request的编辑框——点击Edit Request。
  4.3、点击Text,对上传的文件进行修改,比如改成1.asp这个文件。
  4.4、点击1次execute,进入到Edit Response页面中,点击JSON Text可以查看到,刚刚我们修改过的文件后缀已经变成了asp这个后缀。
  4.5、再次点击Execute,再回到网页上去看,刚刚上传的1.txt是否变成了你修改过后的名字,并且去看下数据库里面是否有插入一条你修改过后的数据,如果有,则表示请求被篡改了,需要修改。
  其实4.4的步骤中已经看到上传.asp这个文件的情况了,展示的情况就是数据库里面展示的文件名之类的,大家可以去数据库,也可以去附件存储路径里面能查到.asp文件。
  5、如果需要拦截请求并篡改响应:跳过第3步,直接在页面操作上传文件1.txt,然后会自动跳转到或手动打开charles断点操作页面Breakpoints的概述,右侧会出现Edit Request的编辑框——直接点击Execute——会出现Edit Reponse——找到响应中的JSON Text输出结果,进行修改,点击Execute,浏览器是会输出篡改后的请求,数据库里面是篡改之前的,这个是正常的情况,(感觉这个篡改响应没什么用)。
  总结:看这个程序有没有问题,就看数据库到底有没有入库。
  如果篡改请求后,得到的响应结果和实际结果不一致,则表示是有问题的。
  举例二:检查密码是否密文传输,在Edit Request的Text里面可以看到是否加密处理了
  1、域名映射
  请求地址a会快速到达请求地址b上,一般是为了快速把请求转发到另外一个环境上,比如正式环境的接口和测试环境的接口不一样时,测试环境测试通过之后需要用到正式环境的接口去进行测试,开发重新打包比较浪费时间,可以采用这种域名映射。
  使用方法:
  Tools——Map Remote——勾选Enable Map Remote——Add添加后,输入from的域名,和to的域名,如果必要要写请求协议,点击OK再去访问from的域名会发现,访问的是a的地址,但是页面是b的页面。
  注意:访问完成之后,Enable Map Remote前面的勾选框一定要去掉,不要勾选。
  2、弱网测试
  使用方法:
  Proxy--Throttle Settings--勾选--设置弱网测试。
  3、过滤请求
  只想看你想看的域名,就可以设置包括include的内容。
  使用方法:
  Proxy——Recording Settings——Include——域名输入*sss*,一定要加通配符——网页中只要域名中包含sss的,在charles中都能抓到。
  4、抓手机的包
  通过配置后,手机访问浏览器,charles工具也可以抓到信息。
  使用方法:
  ①、确定手机和电脑在同一个局域网,能互相ping通(charles中Help--Local Ip Address查看)。
  ②、手机在连wifi的地方设置代理,配置代理改为手动--服务器ip连1中查看到的ip,端口默认是8888,点击右上角的存储--charles中会弹框说是否允许--允许后手机端访问浏览器,抓包工具中就会出现抓包信息。

  本文内容不用于商业目的,如涉及知识产权问题,请权利人联系51Testing小编(021-64471599-8017),我们将立即处理
《2023软件测试行业现状调查报告》独家发布~

关注51Testing

联系我们

快捷面板 站点地图 联系我们 广告服务 关于我们 站长统计 发展历程

法律顾问:上海兰迪律师事务所 项棋律师
版权所有 上海博为峰软件技术股份有限公司 Copyright©51testing.com 2003-2024
投诉及意见反馈:webmaster@51testing.com; 业务联系:service@51testing.com 021-64471599-8017

沪ICP备05003035号

沪公网安备 31010102002173号