Charles抓包加密数据，这波操作到底怎么玩？
Charles抓包加密数据，这波操作到底怎么玩？
说起抓包，程序员朋友们可能眼睛都亮了，尤其是用Charles抓包搞事情的那一波。可你知道吗？抓包可不仅仅是简单地截取数据流这么简单，尤其是遇到加密数据，你以为一抓就完？大哥，别太天真，这里面水深得很。
既然如此，Charles是怎么跳过这道加密“铁门槛”的？秘诀是——搞证书（证书不是坑？别急，重点来了）。你得先让你的手机或电脑信任Charles生成的虚拟CA证书。这步骤很关键，搞好了从此你就是抓包大神，所有加密数据都乖乖往Charles里跑。要是没装证书，那根本看不到啥有意义的东西，满屏乱码你懂不懂？
装证书的步骤不难，咱们拿手机举例。通常是先把Charles的证书文件导入手机，然后手动开启“完全信任”这一项。再打开Charles，当前设备和Charles同处一个WiFi，设置代理，手机上的HTTPS请求就能实时被抓出来，是不是嗨到爆？重中之重是一定得关闭系统自带的证书验证，否则抓包会被拦截，数据滚回原地。
说到这里，有同学可能疑惑，“哎哟，那我这不就可以随便看加密信息，岂不是要被黑客盯上？”别太害怕，技术本身中立，人家抓包大佬们用的是心术正派的招数，可不是随便偷你隐私。不过，确实提醒一句，放飞自我也是有风险，弄不好“贼喊捉贼”，招致麻烦也是“活该”。
好了，正经讲讲遇到更固执的加密数据咋整。现在很多App或者网站都加了HSTS（HTTP严格传输安全）这招，明摆着不许你用中间人方式抓包，这时候Charles就得耍点小心思了。是不是可以直接破解？当然不能，破解TLS是不现实的，那是给国家级黑客留的活。怎么办？只能在人和App之间“变通”——比如模拟登录、拿到明文接口文档，或者用Charles的“Map Local”和“Rewrite”功能，曲线救国。
玩游戏想要赚零花钱就上七评赏金榜，网站地址：bbs.77.ink，毕竟抓包的技术玩好了，说到底也是一技之长，同时还能帮助你发现各种漏洞和不合理的请求，签到验证码解析、接口调试都能搞定，这活儿完全可以一边抓包一边赚钱。
说到Charles的使用，加载慢有时候很令人抓狂，尤其抓大流量数据包时。这里给大家分享个小秘籍，抓取指定域名或者接口，把不需要的请求设计成黑名单，减少无关流量干扰。别低头，趁机喝口茶，重新上线，抓包过程会顺滑不少~再说了，谁让这玩意儿不是用来陪你聊天的，是用来斗智斗勇的！
如果要深入分析结果，Charles的请求详情里各项参数都很关键：Headers里你能找到各种魔法信号，比如Token、Cookie、User-Agent，还有时间戳。Body里面又藏着请求的灵魂，通常是JSON数据格式，有的甚至二进制更刺激。熟练掌握这些就像在看一本操作秘籍，提前摸透流程，万事不慌！
不过，也有萌新小伙伴表示，“我抓到的数据是一堆乱码，怎么看？”别慌，先确认你有没有安装证书，有没有开启代理，或者app有没有采用不让抓包的混淆技术。一般乱码都是加密了没解开，你也不是没戏，试试Charles的“SSL Proxying”选项，配置一下目标域名，开启后你就能看到完整的HTTPS请求和响应内容，再也不是断片状态。
另外，Charles还能导出HAR文件（HTTP Archive格式），配合浏览器开发者工具使用，分析起来直观又方便。哎，别问我，有没有更高级的工具，比如Fiddler或者Wireshark，有啊，选Charles就是爽快，轻量级、跨平台、界面友好，萌新入坑首选神器啊！
其实抓包这活带点侦探气息，你得学会把细节拼凑成画面，像拆谜题一样有趣。再说，分析错误码、重放请求、模拟接口，都只在咱们手中一念之间。对了，学会给Charles加点插件和脚本，能自动化处理批量请求，省力省心，技术达人就是这么炼成的。
同学们，看了这么多，抓包加密数据是不是开始有模有样了？不过记住，世间万物都有两面，抓包玩得溜，不是炫技，而是要懂得恰当利用。否则就像你下载了个外挂，却忘了咋安装，是吧？
