4.4、小程序抓包
小程序抓包需要使用mumu模拟器,并且处于调试阶段才能抓取或者使用ios或者android7.0以后的系统,微信开发平台设置证书信任。
4.5、web_PC抓包
对于使用mac电脑的人，Charles应该是非常熟悉的，这是一款十分好用的抓包工具。现在windows上也能够使用了。Charles在Windows下，默认只代理IE浏览器，对Chrome需要设置后才能抓包：
1、谷歌应用中心下载switchy sharp；对于无法访问谷歌应用商店的，可以下载谷歌访问助手。
2、Charles设置Proxy Settings
3、打开swithcy sharp，设置手动代理
4、选择预先设置好的情景模式，并开启Charles的windows proxy即可对浏览器进行抓包。
五、抓包工具之Fiddler
Fiddler完整设置抓取HTTP协议
● 设置fiddler允许抓取http
○ tools（工具）——>options（选项）——>connection（连接）——>勾选allow remote computer to connect（允许远程连接到fidder）
● 设置手机
○ 手机与电脑置于同一网络，设置手动代理并输入IP+端口号
● 设置fiddler允许抓取https，并安装证书到电脑
○ tools——>options——>https——>勾选detry https traffic（允许https）
■ 若自动弹出信任证书的询问框，点击yes进行证书安装
■ 若不自动弹出，actions——>reset all certificate（重置所有证书），查看是否弹出信任证书的提示框，弹出点击yes进行安装
● 若依旧未弹出询问框，actions——>点击trust root certificate（手动信任证书）
○ 勾选ignore server certificate errors（忽略服务器证书错误）
● 手机浏览器输入IP+端口号，将证书安装到手机上
● 在抓取http设置的基础上进行以下的设置
○ tool——>options——>https
■ 勾选decrypt https…>可能会弹出安装证书的询问框（信任fidder证书吗？）
● 选择信任
● 若没有弹框，action——>reset all ca(重置，删除证书)
六、Charles与Fiddler的区别
1、charles可以实时过滤请求,fiddler添加过滤器后再发送请求才能起作用
2、charles可以树状或者列表查看各个请求,fiddler只能列表查看
3、charles可以对某个请求进行断点操作,而fiddler是对所有的请求进行断点
4、charles模拟弱网是限制带宽,并且可选择只对某个app进行限速;而fiddler是延长时间,并且是对整个手机进行限制
七、抓包常见问题
——致敬那些踩过的坑
● 是不是所有的app都能被抓取到数据?
○ 如果一个上线的app能够被抓取到数据 本身就是不安全的
○ 一个上线的app是不应该被抓取到数据的
● 避免被抓包的方式:
○ 可以判断是否使用了代理服务器,如果使用代理服务器不继续网络请求
○ 前端（客户端）程序员还可以判断证书的正确性,如果是假证书不继续发送请求,也抓取不到
○ 抓取出来的请求和响应全都是加密的乱码数据,不是明文
● app抓取不到数据的表现:
○ 不开代理服务器charles,app正常能够使用
○ 开了代理服务器之后,发现app总是提示网络异常提示证书错误
八、抓包测试的意义
● 分析接口响应时间及响应速度是否满足要求(2-5-8原则),接口响应时间一般1s内。
○ 举例:其他页面打开都会正常显示,但是其中一个页面需要等待5s左右才显示?
○ 1、接口响应时间长 2、前端（客户端）程序员接受到数据之后，解析渲染到页面的时间长
● 分析接口中关键的数据(请求+响应)有没有进行加密传递 — 安全性
● 抓包工具还可以进行断点操作，可以判断app有没网络重连机制
● 断请求可以修改请求方式、请求参数等，来达到接口测试效果
● 断响应可以通过修改响应的数据来模拟修改后台服务器的数据，来查看前端（客户端）页面是否对应改变
● map local可以通过修改本地数据，来模拟修改后台服务器数据，来查看前端（客户端）页面是否对应改变
● 前后台联调测试的时候
○ 可以模拟弱网来进行弱网测试
○ 可以定位bug是在前台还是后台
■ 举例：进入页面展示空白，其他页面都没有问题，bug属于前端（客户端）还是服务端？
● 定位bug过程
○ 抓取请求，分析请求参数、路径、方式等，跟接口文档中的接口进行对比，如果有问题，说明前端（客户端）程序员发送的请求是有问题的，bug出在前端（客户端）
○ 查看响应内容，如果有问题说明后台返回数据有问题bug属于服务端
○ 若服务端返回数据正常，说明前端（服务端）程序员在接受到数据之后的解析展示有问题，则bug属于前端（客户端）
本文内容不用于商业目的，如涉及知识产权问题，请权利人联系51Testing小编(021-64471599-8017)，我们将立即处理
