抓包神器Charles使用教程(一) 安装设置与界面

• • 目录
  • 概述
  • 安装
  • 显示模式
  • PC端抓包
  • 移动应用抓包
  • 其他技能
  • charles使用问题汇总
  • 参考目录

Charles是目前最强大的http调试工具，在界面和功能上远胜于Fiddler，同时是全平台支持，这么好用的软件可惜就是收费的，网上是有破解版的Charles，学习交流可下载。

首先需要下载java的运行环境支持。装好java环境后，可以直接去百度搜索并下载charles的破解版，下载到破解版之后，里面一般会有注册的jar文件，然后注册后就可以永久使用了（ps：不注册的话，每次使用30分钟，工具就会自动关闭），下载链接中是 V3.6版(http://pan.baidu.com/s/1h7xFL)，最新版本是V3.8.3没有破解包，所以不要升级到最新版。

charles抓包的显示，支持两种模式，Structure和Sequence。

(1) Structure形式如下图 优点：可以很清晰的看到请求的数据结构，而且是以域名划分请求信息的，可以很清晰的去分析和处理数据。

综上，两种形式各有千秋，structure 适合对单一系列的访问请求从宏观上进行把握，可以快速定位。sequence 适合精确定位内容，因为每条sequence 都有size，status等属性信息，方便快速定位这条结果的价值，楼主一般两者一起使用。

Charles支持抓去http、https协议的请求，不支持socket。

charles会自动配置浏览器和工具的代理设置，所以说打开工具直接就已经是抓包状态了。

下图显示的是Charles的主界面：

. 
3 圆圈中间红点的图标，功能是领抓去的数据显示或者不显示的设置。 这个本人认为是charles工具很方便的一个，一般都使其为不显示抓取状态，只有当自己测试的时候的前后，在令其为抓取并显示状态。这样可以快准狠的获取到相关自己想要的信息，而不必在一堆数据请求中去寻找。

4 那个小铅笔是编辑修改功能，可以对下图中的请求信息进行修改，修改完毕后点击Execute就可以发送一个修改后的请求数据包。如下图，博主把cookies删掉了

7 返回数据内容信息的显示。 

其中5、6、7中都有各种形式的数据显示形式，其中raw是原始数据包的状态。

这是博主应用最多的地方，除了手机端需要对http proxy 进行下设置，其他使用和PC端抓包基本类似，具体步骤如下：

1. 手下手机和电脑必须在一个局域网内，不一定非要是一个ip段，只要是同一个路由器下就可以了，比如电脑连接的有线网ip为192.168.16.12，然后手机链接的wifi ip为192.168.1.103，但是这个有线网和无线网的最终都是来自于一个外部ip，这样是可以的。 
   .
2. 具体配置，电脑端不用做任何配置，但是需要把防火墙关掉（这点很重要）！ 
   charles需要设置下代理端口：进入Proxy，点击Proxy Setting, 端口设置为8888（一般默认为这个）

4 好了，这样就配置完成就大功告成了，打开百度外卖就可以愉快的进行抓包了。

5.注意，使用完Charles之后，要点击off，关闭手机端设置，要不然，手机会出现访问异常的情况。

相信上面介绍的那些你已经学会了吧，下面再说说charles的一些其他常用的功能

选择请求后，右键可以看到一些常用的功能，这里说说Repeat 就是重复发包一次。 然后Advanced Repeat就是重复发包多次，这个功能用来测试短信轰炸漏洞很方便。

还有比如说修改referer测试CSRF漏洞，修改form内容测试XSS，修改关键的参数测试越权，修改url、form、cookie等信息测试注入等，都非常方便。

Charles是一款很好用的抓包修改工具，但是使用的时候肯定会遇到各种感觉很莫名其妙的问题，下面列出一些常见问题：

1 为什么下载后打不开/p>

2 为什么用着用着就自动关闭了概30分钟就会关闭一次/p>

3 为什么在操作的时候工具界面卡死，关不掉，只能用任务管理器才可以关掉/p>

4 为什么用了charles后，我就上不了网页了，但是qq可以。

5 为什么我用charles不能抓到socket和https的数据呢/p>

6 为什么我用charles抓取手机APP，什么都是配置正确的，但是却抓不到数据。

7 抓包后发现form中有些数据显示是乱码怎么办/p>

8 我用charles抓手机app的数据，但是同时也会抓去到电脑端的数据，可以设置吗/p>

9 为什么我用IE可以抓到数据，但是用360或者谷歌浏览器就不行/p>

10 想要复制粘贴某些数据的话，怎么办，右键没有相应功能啊/p>

来源：卜算