Fiddler与Yakit联动：从零构建移动端HTTPS流量抓包实战指南
1. 为什么需要Fiddler与Yakit联动抓包
移动应用开发和安全测试过程中，HTTPS流量分析是必不可少的环节。但Android 7.0以上版本引入了严格的证书固定机制，传统抓包工具经常遇到"看得见流量却解不开内容"的尴尬。我去年在分析某电商APP时，就曾因为证书问题卡了整整两天。
Fiddler作为老牌抓包工具，优势在于：
- 可视化操作：不需要记忆复杂命令
- 协议解析完善：自动解码常见数据格式
- 流量修改灵活：支持断点调试和请求重放
而Yakit的强项在于：
- 自动化检测：内置漏洞扫描模块
- 多协议支持：处理WebSocket等特殊协议
- 扩展性强：可通过插件增强功能
两者配合使用时，Fiddler负责流量捕获和基础解析，Yakit进行深度分析和安全检测，就像外科医生配合CT扫描仪——一个负责开刀，一个负责病灶定位。
2. 环境准备与工具配置
2.1 安装必备软件
建议使用Windows 10/11系统，需要准备：
- Fiddler Classic（最新版）：官网提供免费版本
- Yakit：从官网下载安装包
- 测试手机：Android 8.0以上真机或模拟器
安装时注意：
- 关闭杀毒软件避免误报
- 所有软件安装路径不要包含中文
- 记录安装目录备用
2.2 网络环境搭建
推荐使用以下两种网络拓扑：
电脑开热点模式：
- 电脑开启移动热点
- 手机连接该热点
- 优势：不需要路由器，出差也能用
同局域网模式：
- 电脑和手机连接同一WiFi
- 需要路由器支持AP隔离关闭
- 优势：网络更稳定
我习惯用第一种方式，在咖啡厅测试时特别方便。记得检查防火墙设置，开放Fiddler的监听端口（默认8888）。
3. Fiddler核心配置详解
3.1 基础代理设置
打开Fiddler进入Tools > Options > Connections：
- 勾选
Allow remote computers to connect - 修改监听端口为
8080（避免与常见服务冲突） - 勾选
Act as system proxy on startup
有个坑要注意：如果电脑开了VPN，需要先关闭，否则会出现端口冲突。上周帮同事排查时，就发现他的Clash代理占用了8080端口。
3.2 HTTPS解密配置
在HTTPS标签页：
- 勾选
Decrypt HTTPS traffic - 勾选
Ignore server certificate errors - 点击
Actions > Export Root Certificate导出证书
证书安装时选择"受信任的根证书颁发机构"，否则Android高版本会报证书错误。曾经有次忘记这个步骤，抓包时全是乱码，浪费了半天时间。
3.3 下游代理设置
这是联动Yakit的关键步骤：
- 在
Gateway设置中选择Manual Proxy Configuration - 输入地址
127.0.0.1，端口8083（Yakit默认端口） - 勾选
Override Host Header
测试时发现，部分APP会检测代理设置，这时可以尝试修改为其他非常用端口如8085。
4. Yakit配置与联动实战
4.1 基础劫持配置
启动Yakit后：
- 进入
MITM劫持模块 - 设置监听端口为
8083（与Fiddler下游代理一致） - 勾选
自动解码HTTPS - 点击
劫持启动
首次使用需要安装Yakit证书：
# 证书存放路径（Windows） C:\Users\[用户名]\.yakit\ca.crt把该证书安装到手机系统证书目录，具体方法后面会讲。
4.2 高级过滤技巧
在过滤器标签页可以：
- 按域名过滤：
*.weixin.qq.com - 按内容类型过滤：
application/json - 设置关键词高亮：
password
我常用的是状态码过滤，比如只显示500错误请求，快速定位问题接口。上周排查一个支付bug时，这个功能帮了大忙。
4.3 手机证书安装
Android 7.0+需要特殊处理：
- 手机访问
http://电脑IP:8080下载Fiddler证书 - 将证书移动到系统证书目录：
adb push FiddlerRoot.cer /system/etc/security/cacerts adb shell chmod 644 /system/etc/security/cacerts/FiddlerRoot.cer- 重启手机生效
如果是模拟器，可以直接拖拽证书文件到模拟器窗口。记得在设置中开启Root权限，否则会提示"Read-only file system"。
5. 常见问题排查指南
5.1 证书错误解决方案
现象：APP无法联网或提示"证书不受信任"
- 检查证书是否安装到系统目录
- 尝试关闭APP的证书固定（需反编译修改）
- 使用JustTrustMe模块（需Root）
上周测试某银行APP时，发现它用了双向证书校验，最后只能用Xposed框架绕过。
5.2 抓不到小程序流量
现象：Fiddler能看到请求但无内容
- 关闭微信重新打开
- 清除小程序缓存
- 检查是否开启了全局代理
有个取巧的方法：先用电脑版微信打开小程序，这样更容易抓到包。但部分功能可能会受限。
5.3 流量中断分析
典型错误链排查：
- 手机→Fiddler：检查代理IP和端口
- Fiddler→Yakit：确认下游代理设置
- Yakit→互联网：检查系统代理状态
我习惯用telnet 电脑IP 8080测试端口连通性，比肉眼检查更可靠。