1. HTTP/HTTPS抓包基础与工具选型当你用手机点外卖或刷短视频时数据就像快递包裹在网络中穿梭。抓包工具就是快递站的X光机能让你看清每个包裹里的内容。不同于快递安检的是我们需要主动配置环境才能窥见这些数据。Burp Suite像瑞士军刀般的全能选手社区版免费但功能毫不含糊。安装后首次运行会提示生成CA证书这一步千万不能跳过。把证书导入系统信任库后你就能看到HTTPS流量明文了。我常用它的Proxy模块拦截请求右键菜单的Send to Repeater简直是测试接口的神器。Fiddler的优势在于对移动端更友好。在Windows上配置好代理后手机连接同一WiFi手动设置代理为电脑内网IP和8888端口。记得在Fiddler的Tools Options HTTPS里勾选Decrypt HTTPS traffic否则看到的全是加密乱码。实测抓取微信小程序流量时发现它自动添加了X-WECHAT等特有请求头。Wireshark则是协议分析终极武器。某次排查API偶发超时用它的IO图表功能发现TCP重传率高达15%最终定位到交换机端口故障。不过它的学习曲线最陡峭建议先掌握过滤表达式语法比如http.request.methodPOST能快速筛选POST请求。工具对比表工具适用场景HTTPS解密移动端支持学习成本Burp SuiteWeb安全测试需装证书中等中Fiddler移动端调试需装证书优秀低Wireshark网络层故障诊断需私钥复杂高提示在测试环境使用这些工具生产环境抓包需获得授权。我曾见过开发在线上环境开Wireshark导致服务器CPU飙满的案例。2. 数据包结构深度解析一个完整的HTTP请求就像精心包装的快递盒。以这个登录请求为例POST /api/login HTTP/1.1 Host: example.com Content-Type: application/json User-Agent: Mozilla/5.0 {username:test,password:123456}请求行的POST决定了快递运输方式方法/api/login是收货地址URIHTTP/1.1是运输协议版本。有次排查API性能问题发现客户端误用HTTP/1.0导致无法启用长连接改成1.1后QPS直接提升3倍。请求头相当于快递面单的备注信息。Content-Type: application/json告诉服务器怎么拆包裹。某次对接支付接口对方要求Content-Type必须带charset参数少个分号都会返回400错误。请求体才是真正的货物。上面例子中的JSON数据在传输时可能被压缩用Burp的Decode功能可以自动解压。曾发现某APP把用户GPS坐标明文传到了统计接口这就是典型的数据泄露风险。响应包同样包含关键信息HTTP/1.1 200 OK Set-Cookie: sessionidabc123; Secure {code:0,data:{token:xyz}}状态码200是快递签收回执Set-Cookie是商家附赠的会员卡。特别注意Secure属性表示该cookie仅限HTTPS传输能有效防止中间人窃取会话。3. 实战攻防封包与重放攻击去年某电商平台的优惠券漏洞就是典型的重放攻击案例。攻击者抓取到领券请求后用Burp的Intruder模块批量重放最终刷出上百万无门槛券。修改关键参数是最基础的攻击手法。用Burp拦截投票请求POST /vote HTTP/1.1 X-Forwarded-For: 192.168.1.100把X-Forwarded-For改成随机IP就能绕过服务端的IP限制。这种漏洞的修复方案是改用JWT等带签名的认证方式。时间戳爆破更隐蔽。某金融APP的转账接口使用6位时间戳做防重放我用Python脚本生成最近5分钟的所有可能值import time timestamps [int(time.time()) - i for i in range(300)]签名绕过需要些技巧。有次审计APP时发现其签名算法只是简单MD5拼接参数写个Burp插件就能自动生成有效签名String sign md5(param1 param2 static_salt);防护方案对比表攻击类型防护措施实施难度效果参数篡改参数签名中★★★★重放攻击一次性Token时间窗高★★★★★暴力破解限流验证码低★★★注意所有测试必须获得授权。有次我忘记关Burp的主动扫描把客户测试环境搞挂了教训深刻。4. 高级技巧HTTPS流量解密实战HTTPS不是绝对安全就像保险箱也可能被撬。某次渗透测试中目标APP的证书校验存在缺陷让我成功解密了流量。证书锁定Pinning绕过有三种方法反编译APP修改证书校验逻辑使用Frida等工具hook验证函数在越狱/root设备上替换系统证书Android 7.0之后系统不再信任用户证书这时候需要把Burp证书装入系统分区。记得某次在模拟器上执行mount -o remount,rw /system cp cacert.cer /system/etc/security/cacerts/ chmod 644 /system/etc/security/cacerts/xxxx.0SSL/TLS协议漏洞也值得关注。比如降级攻击强制使用TLS 1.0再利用BEAST等漏洞解密。Wireshark的Protocol Hierarchy功能能快速分析协议版本分布。对付高级混淆方案如WebSocket over TLS可以用Burp的WebSockets history选项卡编写Python中间人脚本解码自定义协议在Wireshark中跟踪TCP流重组数据某次分析某款游戏的封包协议发现其使用XOR加密密钥硬编码在so文件中用IDA Pro静态分析最终破解了通信协议。5. 防御体系构建与最佳实践安全是场持续攻防战。去年给某银行做加固时我们实施了以下方案输入验证要像海关安检般严格。某登录接口曾因未过滤\0字符导致SQL注入修复后采用白名单校验import re if not re.match(r^[\w.-]$, username): raise ValueError(Invalid username)防重放机制我推荐时间戳随机数签名三件套。示例实现String nonce UUID.randomUUID().toString(); long timestamp System.currentTimeMillis()/1000; String sign HMACSHA256(secret, timestampnoncebody);网络层防护方面建议全站HTTPS且启用HSTS关键接口使用双向证书认证配置WAF规则拦截可疑流量某次应急响应中我们发现攻击者利用Burp扫描器特征进行入侵通过在Nginx中添加以下规则成功拦截if ($http_user_agent ~* Burp) { return 403; }监控系统要像雷达般全天候值守。ELKSuricata组合能实时分析网络流量某次正是靠Suricata的ET WEB_SPECIFIC_APPS Burp Suite规则发现了内网渗透行为。