共计 1974 个字符，预计需要花费 5 分钟才能阅读完成。
HTTPS 是平安通道。如果浏览器导航栏后面有一个绿如 A 股的小锁，那么感觉就会十分的释怀。
把本人见不得人的小心理和污言秽语，通通用这个小锁锁起来，随心所欲，想想就让人冲动。
然而等等，Charles 为什么能抓到 HTTPS 的包呢？
HTTPS 简略原理
咱们心愿数据传输过程，对用户来说是个黑盒，对攻击者来说也是个黑盒。这次要体现在两方面。
用户不心愿本人的敏感数据被获取到。比方本人的账号密码，比方本人发给女友的聊骚数据。
开发者不心愿本人的数据被用户获取到。比方本人的验签形式，被破解了用户就无能很多非法的事件。
HTTP 协定属于一问一答的协定，在传输过程中是以明文形式传递的。
如果攻击者截取了 Web 浏览器和网站服务器之间的传输报文，就能够间接读懂其中的信息。比方通过代理形式或者局域网嗅探形式获取了报文的内容。
相干的工具有很多，比方 wireshark、tcpdump、dsniff 等。
但如果传输的内容是加密的，那么即便你把所有的数据报文都抓到了，那么也没有什么价值。
HTTPS 就是一种传输加密数据的协定。如果咱们在 TCP 与 HTTP 两头，退出一个 TLS/SSL 层，那么就会变成 HTTPS。
HTTPS 包含握手阶段和传输阶段。其中握手阶段是最重要的协商阶段。
握手的指标，是平安的替换对称密钥，全程须要 3 个随机数的参加。在 Change Cipher Spec 之后，传输的就都是加密后的内容了。
这个过程能够应用 WireShark 抓包工具轻易抓取，有大量的文章剖析握手过程，在此不再赘述。
当然，HTTPS 的效率是非常低的。这里略微扩大一下。
HTTP3，也就是谷歌的 QUIC，除了解决了队头阻塞问题，还能够作为 TCP+TLS+HTTP/ 2 的一种代替计划。HTTP3 默认就是平安通道，采纳 UDP 协定。在 DH 秘钥替换算法的加持下，它能够缩小连贯建设工夫 – 在常见状况下为 0 次 RTT 往返。
这比 HTTPS 的握手速度快多了。
Charles 抓包
尽管 HTTPS 的传输过程是加密的，但如果咱们就是申请的发起方，设施也在本人手里，去抓包 HTTPS 连贯中的内容，也是非常容易的。
这让开发者很头疼。比方我应用云平台提供的 AK、SK 间接发动 HTTPS 调用，用户是可能抓到这两个要害明码的。所以个别开发者并不能间接把 AK、SK 在网络上传递，即便这样在性能上行得通。
我这里以在 MacOS 本机上抓包浏览器的 HTTPS 申请为例，来阐明 Charles 的应用。
启动 Charles 后，咱们须要把它设置成零碎代理。
而后，在 Help/ 菜单下，找到 Root 证书进行装置。
装置结束之后，咱们还要信赖这个证书。这样，当你的浏览器拜访咱们的 Charles 代理时，就能够畅通无阻。
装置到 System Keychains 中，而且肯定要信赖它哦。
通常状况下，我拜访一个 HTTPS 连贯，抓到的内容都是一团糟。
咱们还差最初一步。默认状况下，Charles 并没有任何过滤，我么还须要把要抓包的网址，退出 HTTPS 的代理配置中才能够。
右键找到这个连贯，而后抉择启动 SSL 代理即可。
此时，咱们再看一下这些连贯的内容，就可能变成人眼可能辨认的了。
当然，电脑上的代理没有什么意义。咱们做代理，个别是想要抓取手机上的利用产生的申请。
但办法是一样的，你只须要把这个 Root 证书，装置到你的手机中，而后信赖它就能够了。
为什么可能抓到数据？
在这个案例中，Charles 是作为中间人而存在的。对于 Charles 来说，对于服务端的申请，是由它发动的。
你能够把它设想成一个浏览器，它收回的申请和返回的内容，对于 Charles 本身来说天然是可见的。坑骗服务器很容易，重要的坑骗客户端。
Charles 通过伪造一个 CA 证书，来假冒一个服务端。当浏览器或者挪动手机拜访 Charles 假冒的服务端时，Charles 会携带 CA 证书返回给客户端。
对于一般的 CA 证书来说，浏览器和客户端是不信赖的。这也是为什么要进行 HTTPS 抓包，必须装置 CA 证书的起因 — 咱们须要把这个信赖关系建设起来。
这两局部是割裂的，能够说是由两条齐全不同的 SSL 通道。申请报文在全程是加密的，除了一个十分单薄的交接点。
在通道的粘合处，所有的信息却是明文的。Charles 掌控了这个过程，天然就可能把原始信息展现进去。
End
能够看到，Charles 是能够抓取到 HTTPS 的明文信息的。在中间人场景中，它既作为客户端发动申请，也作为服务端接管申请，而后在申请的转发处获取数据。
作为用户，咱们千万不能随便信赖来历不明的证书，否则你的很多隐衷数据将裸露在阳光之下。
作为开发者，也不能把敏感数据间接放在 URL 或者申请体里，避免用户抓包获取到这些信息，对服务造成毁坏。
当然，在 CN，隐衷可能是个伪命题。就比方 xjjdog，尽管我始终在暗藏本人，但还是有很多敌人晓得我到底是不是带把的。
这个时候，HTTPS 就没什么用。
