1. 項目概述為什么需要移動端流量分析矩陣在移動應(yīng)用安全評估和日常開發(fā)調(diào)試中流量分析是洞察應(yīng)用行為、發(fā)現(xiàn)潛在漏洞、優(yōu)化網(wǎng)絡(luò)性能的核心手段。很多開發(fā)者或安全研究員習(xí)慣單獨使用Fiddler或Burp Suite但這兩款工具各有側(cè)重單獨使用往往存在盲區(qū)。Fiddler以其直觀的界面和強大的腳本擴展能力在HTTP/HTTPS流量捕獲和前端調(diào)試上表現(xiàn)出色而Burp Suite則是Web應(yīng)用安全測試的“瑞士軍刀”其代理、掃描、重放、入侵模塊構(gòu)成了完整的測試鏈條。將兩者結(jié)合構(gòu)建一個協(xié)同工作的“流量分析矩陣”意味著你能同時獲得Fiddler的靈活可視化與Burp Suite的深度安全測試能力實現(xiàn)從“看得見”到“看得懂、測得了”的跨越。對于安卓平臺由于其應(yīng)用沙盒、證書鎖定、非標(biāo)準(zhǔn)端口通信等特性流量捕獲與分析比桌面端更具挑戰(zhàn)。本指南的核心就是教你如何巧妙地配置Fiddler與Burp Suite讓它們不再是孤立的工具而是形成一個前后銜接、互為補充的分析閉環(huán)。無論你是想分析某個App的API調(diào)用邏輯、測試其接口安全性還是排查網(wǎng)絡(luò)請求中的性能瓶頸這個矩陣都能為你提供遠超單一工具的視角和效率。接下來我將從環(huán)境搭建、核心配置、實戰(zhàn)技巧到問題排查完整拆解這套方案的每一個細節(jié)。2. 環(huán)境準(zhǔn)備與基礎(chǔ)代理配置構(gòu)建分析矩陣的第一步是建立一個穩(wěn)定的代理環(huán)境讓安卓設(shè)備的流量能夠同時、或按需流經(jīng)Fiddler和Burp Suite。這里我們采用“串聯(lián)代理”的思路即設(shè)備流量先經(jīng)過Fiddler再由Fiddler轉(zhuǎn)發(fā)至Burp Suite最后由Burp Suite發(fā)往互聯(lián)網(wǎng)。這樣做的好處是你可以在Fiddler層進行初步的過濾、統(tǒng)計和修改同時在Burp Suite層進行深度的安全測試。2.1 工具安裝與初始設(shè)置首先確保你的工作機通常是Windows或macOS上已安裝好以下工具Fiddler Classic/Everywhere建議使用Classic版因其自定義規(guī)則功能更強大。安裝后打開Tools - Options - Connections確保監(jiān)聽端口默認為8888未被占用并勾選“Allow remote computers to connect”。Burp Suite Professional/Community社區(qū)版已足夠用于代理和手動測試。安裝后啟動Burp在Proxy - Options中確保代理監(jiān)聽器Proxy listeners已啟用通常監(jiān)聽本機127.0.0.1的8080端口。安卓設(shè)備或模擬器推薦使用真機或Mumu、夜神等模擬器。確保設(shè)備與工作機在同一局域網(wǎng)內(nèi)。注意如果你的工作機防火墻開啟需要為Fiddler端口8888和Burp Suite端口8080添加入站規(guī)則允許TCP連接。2.2 構(gòu)建串聯(lián)代理鏈路關(guān)鍵步驟在于配置Fiddler將其作為上游代理把流量轉(zhuǎn)發(fā)給Burp Suite。配置Fiddler轉(zhuǎn)發(fā)規(guī)則在Fiddler中點擊菜單欄的Rules - Customize Rules...這會打開CustomRules.js腳本文件。我們需要在OnBeforeRequest函數(shù)中添加轉(zhuǎn)發(fā)邏輯。找到該函數(shù)在其中添加如下代碼// 將除特定調(diào)試流量外的所有請求轉(zhuǎn)發(fā)至Burp Suite if (!oSession.uriContains(localhost:8888) !oSession.uriContains(127.0.0.1:8888)) { oSession[x-overrideGateway] 127.0.0.1:8080; }這段代碼的意思是對于所有不是發(fā)往Fiddler自身localhost:8888的請求都將其網(wǎng)關(guān)Gateway重定向到本機Burp Suite監(jiān)聽的8080端口。這樣請求就會從設(shè)備 - Fiddler(8888) - Burp(8080) - 目標(biāo)服務(wù)器的路徑流動。配置Burp Suite上游代理可選但推薦為了在Burp中也能清晰看到流量的完整路徑可以配置Burp的上游代理。在Burp Suite中進入Project options - Connections - Upstream Proxy Servers點擊“Add”。在添加規(guī)則對話框中Destination host: 可以留空或填寫*表示對所有目標(biāo)生效。Proxy host:127.0.0.1Proxy port:8888類型選擇HTTP。 這個配置告訴Burp“所有從我這里發(fā)出去的請求都先交給127.0.0.1:8888即Fiddler處理”。這實際上形成了一個回路主要用于Burp Suite的日志記錄更清晰在實際轉(zhuǎn)發(fā)中由于Fiddler的腳本已經(jīng)強制轉(zhuǎn)發(fā)了此步驟非必須但有助于理解流量走向。2.3 安卓設(shè)備代理配置在安卓設(shè)備的Wi-Fi設(shè)置中修改當(dāng)前連接的無線網(wǎng)絡(luò)將其代理設(shè)置為手動。代理主機名填寫你工作機的局域網(wǎng)IP地址如192.168.1.100?？梢栽诠ぷ鳈C的命令行中輸入ipconfig(Windows) 或ifconfig(macOS/Linux) 查看。代理端口填寫Fiddler的監(jiān)聽端口即8888。保存設(shè)置。配置完成后在安卓設(shè)備上打開瀏覽器訪問http://你的工作機IP:8888例如http://192.168.1.100:8888。你應(yīng)該能看到Fiddler的歡迎頁面點擊頁面中的“FiddlerRoot certificate”鏈接下載并安裝證書。這是解密HTTPS流量的關(guān)鍵。實操心得很多抓包失敗的問題都源于證書未正確安裝。在安卓高版本7.0以上中系統(tǒng)對用戶安裝的證書信任有限你可能需要將Fiddler的證書安裝到系統(tǒng)信任的證書存儲區(qū)這通常需要root權(quán)限。對于非root設(shè)備一個變通方法是修改App的網(wǎng)絡(luò)安全配置或使用模擬器如Mumu其對證書處理更友好。3. 核心功能配置與協(xié)同工作流環(huán)境搭好后我們需要精細配置兩個工具讓它們各司其職高效協(xié)同。這個矩陣的核心工作流是Fiddler負責(zé)“抓、看、濾、改”側(cè)重應(yīng)用層和性能Burp Suite負責(zé)“斷、掃、重、爆”側(cè)重安全層。3.1 Fiddler流量捕獲、過濾與性能分析Fiddler的界面左側(cè)是會話列表所有流經(jīng)的請求都會在這里顯示。面對海量會話過濾是關(guān)鍵。精準(zhǔn)過濾會話右側(cè)過濾器Filters面板這是最常用的過濾方式。勾選“Use Filters”在“Hosts”區(qū)域選擇“Show only the following Hosts”然后在下方輸入你想監(jiān)控的域名或IP多個用分號隔開如api.example.com; static.example.com。這樣可以瞬間屏蔽掉所有第三方廣告、統(tǒng)計等無關(guān)流量。命令行快速過濾在會話列表下方的“QuickExec”框快捷鍵AltQ中可以輸入命令快速過濾。例如輸入?google會高亮包含“google”的會話輸入5000會篩選出響應(yīng)體大于5000字節(jié)的會話。自定義過濾規(guī)則在CustomRules.js中你可以編寫更復(fù)雜的邏輯。例如自動隱藏圖片請求或特定靜態(tài)資源if (oSession.uriContains(.jpg) || oSession.uriContains(.css)) { oSession[ui-hide] true; }解密HTTPS流量確保Fiddler的Tools - Options - HTTPS選項卡中已勾選“Decrypt HTTPS traffic”。Fiddler會扮演中間人用自己的根證書為每個HTTPS站點生成簽名證書。這就是為什么之前需要在設(shè)備上安裝Fiddler根證書的原因。性能分析與弱網(wǎng)模擬Statistics標(biāo)簽頁選中一組會話后查看Statistics頁可以清晰了解總耗時、各階段DNS、TCP、SSL、請求、響應(yīng)耗時、字節(jié)數(shù)等是性能瓶頸分析的利器。弱網(wǎng)模擬Rules - Performance - Simulate Modem Speeds勾選后Fiddler會限制上行/下行帶寬模擬惡劣網(wǎng)絡(luò)環(huán)境用于測試App的容錯機制和加載策略。3.2 Burp Suite安全測試與深度操控當(dāng)流量從Fiddler轉(zhuǎn)發(fā)到Burp Suite后你可以在Burp中開展深度安全測試。攔截與修改請求Proxy - Intercept打開Intercept的“Intercept is on”開關(guān)Burp會暫停所有經(jīng)過的請求允許你查看和修改任何部分URL、參數(shù)、Header、Body再決定轉(zhuǎn)發(fā)或丟棄。這是測試越權(quán)、注入漏洞的基礎(chǔ)操作。重放與漏洞探測Repeater將Proxy歷史或任何地方的請求右鍵發(fā)送到Repeater。在這里你可以對單個請求進行反復(fù)修改和重放觀察服務(wù)器響應(yīng)的變化手動測試SQL注入、XSS、邏輯漏洞等。主動掃描ScannerProfessional版功能?？梢詫⒁粋€站點或請求交給Scanner進行自動化漏洞掃描。在矩陣中你可以先用Fiddler過濾出目標(biāo)API流量再將關(guān)鍵的登錄、支付等請求從Fiddler會話右鍵-Copy-Full URL粘貼到Burp的Target scope中然后啟動掃描提高掃描效率。對比與碰撞Comparer/IntruderComparer比較兩個請求或響應(yīng)的差異在分析登錄態(tài)、令牌變化時非常有用。Intruder用于自動化參數(shù)爆破。例如發(fā)現(xiàn)某個4位數(shù)字驗證碼接口可以用Intruder加載字典進行暴力破解嘗試。3.3 雙工具協(xié)同實戰(zhàn)場景假設(shè)我們要測試一個安卓App的登錄接口安全性。場景設(shè)置在Fiddler的Filters中設(shè)置只顯示目標(biāo)域名login.app.com的流量。在安卓App上嘗試登錄。流量捕獲Fiddler會話列表中出現(xiàn)登錄請求通常是POST到/api/login。你可以在這里快速查看明文傳輸?shù)膮?shù)如果未加密、響應(yīng)時間、狀態(tài)碼。請求轉(zhuǎn)發(fā)與深度測試在Fiddler中右鍵點擊這個登錄會話選擇Copy - Full URL。切換到Burp Suite的Repeater將URL粘貼進去請求詳情會自動載入?，F(xiàn)在你可以在Burp中修改密碼參數(shù)嘗試SQL注入Payloadadmin OR 11。修改用戶ID測試是否存在水平越權(quán)。將請求發(fā)送到Intruder對密碼字段加載弱口令字典進行爆破。結(jié)果驗證所有的測試請求和響應(yīng)都會記錄在Burp的Proxy歷史中。同時由于流量經(jīng)過了Fiddler你仍然可以在Fiddler中看到這些測試請求的往返時間、大小等性能指標(biāo)形成一個完整的分析記錄。這種協(xié)同讓你既能利用Fiddler的流暢捕獲和過濾快速定位目標(biāo)又能借助Burp Suite的專業(yè)安全工具進行深度測試兩者數(shù)據(jù)互通效率倍增。4. 高級技巧與安卓特定問題處理基礎(chǔ)流程跑通后會遇到一些安卓平臺特有的棘手問題。掌握這些高級技巧才能讓分析矩陣在復(fù)雜環(huán)境中穩(wěn)定運行。4.1 處理證書綁定SSL Pinning許多安全意識較強的App會使用證書綁定技術(shù)只信任自己預(yù)設(shè)的證書拒絕Fiddler/Burp這類中間人證書。突破此限制有幾種方法使用高版本Burp Suite的自動繞過Burp Suite Pro 2024及更高版本其移動端助手Mobile Assistant有時能自動處理一些證書綁定。但并非萬能。使用 objection/Frida 動態(tài)注入這是更通用的方法。需要設(shè)備root或使用可調(diào)試的App。在設(shè)備上安裝Frida-server。在電腦上使用 objection 工具執(zhí)行命令objection -g 應(yīng)用包名 explore然后執(zhí)行android sslpinning disable。此命令會嘗試禁用常見的證書綁定庫如OkHttp Conscrypt的驗證邏輯。逆向修改App對于無法動態(tài)注入的App可能需要使用Apktool、dex2jar等工具進行反編譯定位并修改證書驗證相關(guān)的Smali代碼或so庫重新打包安裝。此方法門檻較高。注意事項繞過證書綁定可能違反應(yīng)用的使用條款請僅在你有合法測試權(quán)限的環(huán)境如自己開發(fā)的App、授權(quán)的滲透測試項目中進行。4.2 捕獲非HTTP(S)流量及WebSocketFiddler和Burp主要針對HTTP/HTTPS但安卓App可能使用原始TCP Socket、UDP或WebSocket。WebSocketFiddler和Burp Suite Professional版都能很好地捕獲和展示W(wǎng)ebSocket連接。在Fiddler中WebSocket會話會以特殊的圖標(biāo)顯示你可以查看握手過程和后續(xù)的數(shù)據(jù)幀。在Burp中可以在Proxy歷史中看到WebSocket的HTTP升級請求并在Proxy - WebSockets history中查看消息。原始TCP/UDP流量這兩款工具無能為力。此時需要借助更底層的工具如Wireshark。你可以在安卓設(shè)備上進行tcpdump抓包或?qū)⒃O(shè)備流量通過路由方式導(dǎo)到安裝了Wireshark的電腦上。一個常見的做法是在Fiddler/Burp分析完HTTP層邏輯后對于仍不明的通信再用Wireshark進行補充抓包分析。4.3 使用Fiddler腳本自動化處理Fiddler的CustomRules.js腳本能力極強可以實現(xiàn)自動化。自動修改請求/響應(yīng)例如所有請求自動添加一個特定的Header。static function OnBeforeRequest(oSession: Session) { oSession.oRequest.headers.Add(X-Debug-Mode, true); }自動替換內(nèi)容將響應(yīng)中的某個關(guān)鍵詞替換掉用于測試或繞過前端檢查。static function OnBeforeResponse(oSession: Session) { if (oSession.uriContains(example.com)) { var oBody oSession.GetResponseBodyAsString(); oBody oBody.replace(禁止訪問, 允許訪問); oSession.utilSetResponseBody(oBody); } }流量標(biāo)記與分類根據(jù)URL或內(nèi)容為會話添加自定義標(biāo)簽便于后續(xù)篩選。static function OnBeforeRequest(oSession: Session) { if (oSession.uriContains(/api/payment)) { oSession[ui-color] red; oSession[ui-bold] true; } }4.4 在模擬器中的特殊配置以Mumu模擬器為例其網(wǎng)絡(luò)橋接方式特殊配置代理可能無法直接連接到宿主機的IP。查找模擬器特殊IP在Mumu模擬器中adb shell ifconfig或adb shell netcfg查看網(wǎng)絡(luò)配置。你會發(fā)現(xiàn)一個類似10.0.2.15的IP這是模擬器內(nèi)部的通用IP。代理地址設(shè)置在模擬器的Wi-Fi代理設(shè)置中主機名不能填宿主機的局域網(wǎng)IP如192.168.x.x而應(yīng)該填寫宿主機的特殊別名對于Windows上的Mumu通常填寫10.0.2.2。這是Android模擬器約定俗成的、指向宿主機的別名。端口依然是Fiddler的8888。證書安裝在模擬器瀏覽器中訪問http://10.0.2.2:8888下載證書。由于模擬器環(huán)境相對開放證書安裝到用戶存儲區(qū)通常即可生效。5. 常見問題排查與實戰(zhàn)心得即使按照步驟操作也難免會遇到各種問題。下面是我在長期使用中總結(jié)的常見故障及解決方法。5.1 流量捕獲不到或連接失敗問題現(xiàn)象可能原因排查步驟與解決方案安卓設(shè)備無法訪問http://PC_IP:88881. 防火墻阻止連接。2. 工作機IP地址錯誤或變更。3. Fiddler未開啟遠程連接。1. 檢查防火墻為Fiddler8888端口添加入站規(guī)則。2. 在PC上使用ipconfig確認當(dāng)前局域網(wǎng)IP。3. 確認FiddlerOptions - Connections中 “Allow remote computers to connect” 已勾選。設(shè)備顯示代理連接錯誤1. 代理IP或端口填寫錯誤。2. Fiddler服務(wù)未啟動或崩潰。1. 仔細核對代理設(shè)置中的IP和端口8888。2. 重啟Fiddler檢查Windows任務(wù)管理器是否有Fiddler.exe進程。只有部分App流量可見1. App使用了證書綁定SSL Pinning。2. App使用了非HTTP協(xié)議如純Socket。3. 安卓高版本9對用戶證書限制。1. 嘗試使用objection禁用SSL Pinning。2. 使用Wireshark等工具捕獲非HTTP流量。3. 將證書安裝到系統(tǒng)證書目錄需root或使用安卓7.0以下模擬器/真機。Burp Suite收不到轉(zhuǎn)發(fā)流量1. Fiddler轉(zhuǎn)發(fā)腳本未生效或配置錯誤。2. Burp代理監(jiān)聽器未開啟或端口沖突。1. 檢查CustomRules.js腳本語法確保OnBeforeRequest函數(shù)內(nèi)的轉(zhuǎn)發(fā)代碼已保存并生效重啟Fiddler。2. 確認BurpProxy - Options中127.0.0.1:8080的監(jiān)聽器狀態(tài)為Running。5.2 HTTPS解密失敗或證書警告現(xiàn)象Fiddler中HTTPS會話顯示Tunnel to或帶有鎖形圖標(biāo)但無法查看內(nèi)容設(shè)備訪問網(wǎng)站出現(xiàn)證書警告。排查確認證書已安裝在設(shè)備系統(tǒng)設(shè)置中搜索“證書”或“加密與憑據(jù)”查看用戶憑據(jù)中是否存在名為“DO_NOT_TRUST_FiddlerRoot”或類似的證書。清除舊證書如果之前安裝過其他抓包工具的證書可能會沖突全部刪除后重裝Fiddler證書。檢查Fiddler HTTPS設(shè)置確保Tools - Options - HTTPS中“Decrypt HTTPS traffic”已勾選并且“...from all processes”和“...from remote clients”也被選中。針對特定App如果只是某個App無法解密大概率是證書綁定。需要按4.1節(jié)的方法處理。5.3 性能與穩(wěn)定性優(yōu)化Fiddler卡頓當(dāng)捕獲會話過多時Fiddler可能變慢。定期點擊菜單欄的File - Capture Traffic(快捷鍵F12) 可以暫停/繼續(xù)捕獲在分析時暫停捕獲能提升響應(yīng)速度。使用過濾器Filters減少無關(guān)會話也是根本解決方法。Burp Suite內(nèi)存不足Burp在處理大量請求時非常消耗內(nèi)存?？梢栽贠ptions - Memory中調(diào)高堆內(nèi)存分配如增加到-Xmx2048m。定期清理無用的Proxy歷史記錄和Target站點數(shù)據(jù)。串聯(lián)延遲流量經(jīng)過兩個代理必然增加延遲。在測試對延遲敏感的功能時可以考慮臨時只使用一個工具。例如性能測試時只用Fiddler深度安全測試時將設(shè)備代理直接設(shè)為Burp端口8080繞過Fiddler。5.4 個人實戰(zhàn)心得分而治之明確目標(biāo)不要一開始就打開所有功能。如果目標(biāo)是分析API調(diào)用順序就專注用Fiddler過濾和統(tǒng)計如果目標(biāo)是測試登錄漏洞就配置好Burp的攔截和重放。讓兩個工具在各自擅長的階段發(fā)力。善用“對比”功能無論是Fiddler的“Compare”功能還是Burp的“Comparer”在分析登錄態(tài)、會話變化、參數(shù)差異時極其有用。將正常請求和異常請求進行對比往往能快速定位問題關(guān)鍵。保存工作空間Fiddler可以保存會話存檔.saz文件Burp可以保存項目文件.burp。在進行重要測試前后記得保存狀態(tài)便于回溯和分享。保持工具更新特別是Burp Suite新版本往往會修復(fù)舊版本對最新安卓系統(tǒng)或加密庫的兼容性問題。同時關(guān)注Frida、objection等繞釘工具的動態(tài)它們的腳本也在不斷更新以應(yīng)對新的綁定方案。構(gòu)建Fiddler與Burp Suite的移動端流量分析矩陣本質(zhì)上是在搭建一個從“數(shù)據(jù)采集”到“深度分析”的流水線。這個過程中最寶貴的不是某個具體的配置命令而是你根據(jù)測試目標(biāo)靈活組合和切換工具的思路。當(dāng)你能熟練地在Fiddler的清晰視圖中快速定位目標(biāo)流量再無縫銜接到Burp Suite的復(fù)雜攻擊模塊中進行深度挖掘時你對移動應(yīng)用網(wǎng)絡(luò)行為的理解和安全評估的能力就已經(jīng)上了一個全新的臺階。這套組合拳足以應(yīng)對絕大多數(shù)安卓應(yīng)用的前后端交互分析與安全測試場景。