1. 项目概述为什么需要移动端流量分析矩阵在移动应用安全评估和日常开发调试中流量分析是洞察应用行为、发现潜在漏洞、优化网络性能的核心手段。很多开发者或安全研究员习惯单独使用Fiddler或Burp Suite但这两款工具各有侧重单独使用往往存在盲区。Fiddler以其直观的界面和强大的脚本扩展能力在HTTP/HTTPS流量捕获和前端调试上表现出色而Burp Suite则是Web应用安全测试的“瑞士军刀”其代理、扫描、重放、入侵模块构成了完整的测试链条。将两者结合构建一个协同工作的“流量分析矩阵”意味着你能同时获得Fiddler的灵活可视化与Burp Suite的深度安全测试能力实现从“看得见”到“看得懂、测得了”的跨越。对于安卓平台由于其应用沙盒、证书锁定、非标准端口通信等特性流量捕获与分析比桌面端更具挑战。本指南的核心就是教你如何巧妙地配置Fiddler与Burp Suite让它们不再是孤立的工具而是形成一个前后衔接、互为补充的分析闭环。无论你是想分析某个App的API调用逻辑、测试其接口安全性还是排查网络请求中的性能瓶颈这个矩阵都能为你提供远超单一工具的视角和效率。接下来我将从环境搭建、核心配置、实战技巧到问题排查完整拆解这套方案的每一个细节。2. 环境准备与基础代理配置构建分析矩阵的第一步是建立一个稳定的代理环境让安卓设备的流量能够同时、或按需流经Fiddler和Burp Suite。这里我们采用“串联代理”的思路即设备流量先经过Fiddler再由Fiddler转发至Burp Suite最后由Burp Suite发往互联网。这样做的好处是你可以在Fiddler层进行初步的过滤、统计和修改同时在Burp Suite层进行深度的安全测试。2.1 工具安装与初始设置首先确保你的工作机通常是Windows或macOS上已安装好以下工具Fiddler Classic/Everywhere建议使用Classic版因其自定义规则功能更强大。安装后打开Tools - Options - Connections确保监听端口默认为8888未被占用并勾选“Allow remote computers to connect”。Burp Suite Professional/Community社区版已足够用于代理和手动测试。安装后启动Burp在Proxy - Options中确保代理监听器Proxy listeners已启用通常监听本机127.0.0.1的8080端口。安卓设备或模拟器推荐使用真机或Mumu、夜神等模拟器。确保设备与工作机在同一局域网内。注意如果你的工作机防火墙开启需要为Fiddler端口8888和Burp Suite端口8080添加入站规则允许TCP连接。2.2 构建串联代理链路关键步骤在于配置Fiddler将其作为上游代理把流量转发给Burp Suite。配置Fiddler转发规则在Fiddler中点击菜单栏的Rules - Customize Rules...这会打开CustomRules.js脚本文件。我们需要在OnBeforeRequest函数中添加转发逻辑。找到该函数在其中添加如下代码// 将除特定调试流量外的所有请求转发至Burp Suite if (!oSession.uriContains(localhost:8888) !oSession.uriContains(127.0.0.1:8888)) { oSession[x-overrideGateway] 127.0.0.1:8080; }这段代码的意思是对于所有不是发往Fiddler自身localhost:8888的请求都将其网关Gateway重定向到本机Burp Suite监听的8080端口。这样请求就会从设备 - Fiddler(8888) - Burp(8080) - 目标服务器的路径流动。配置Burp Suite上游代理可选但推荐为了在Burp中也能清晰看到流量的完整路径可以配置Burp的上游代理。在Burp Suite中进入Project options - Connections - Upstream Proxy Servers点击“Add”。在添加规则对话框中Destination host: 可以留空或填写*表示对所有目标生效。Proxy host:127.0.0.1Proxy port:8888类型选择HTTP。 这个配置告诉Burp“所有从我这里发出去的请求都先交给127.0.0.1:8888即Fiddler处理”。这实际上形成了一个回路主要用于Burp Suite的日志记录更清晰在实际转发中由于Fiddler的脚本已经强制转发了此步骤非必须但有助于理解流量走向。2.3 安卓设备代理配置在安卓设备的Wi-Fi设置中修改当前连接的无线网络将其代理设置为手动。代理主机名填写你工作机的局域网IP地址如192.168.1.100。可以在工作机的命令行中输入ipconfig(Windows) 或ifconfig(macOS/Linux) 查看。代理端口填写Fiddler的监听端口即8888。保存设置。配置完成后在安卓设备上打开浏览器访问http://你的工作机IP:8888例如http://192.168.1.100:8888。你应该能看到Fiddler的欢迎页面点击页面中的“FiddlerRoot certificate”链接下载并安装证书。这是解密HTTPS流量的关键。实操心得很多抓包失败的问题都源于证书未正确安装。在安卓高版本7.0以上中系统对用户安装的证书信任有限你可能需要将Fiddler的证书安装到系统信任的证书存储区这通常需要root权限。对于非root设备一个变通方法是修改App的网络安全配置或使用模拟器如Mumu其对证书处理更友好。3. 核心功能配置与协同工作流环境搭好后我们需要精细配置两个工具让它们各司其职高效协同。这个矩阵的核心工作流是Fiddler负责“抓、看、滤、改”侧重应用层和性能Burp Suite负责“断、扫、重、爆”侧重安全层。3.1 Fiddler流量捕获、过滤与性能分析Fiddler的界面左侧是会话列表所有流经的请求都会在这里显示。面对海量会话过滤是关键。精准过滤会话右侧过滤器Filters面板这是最常用的过滤方式。勾选“Use Filters”在“Hosts”区域选择“Show only the following Hosts”然后在下方输入你想监控的域名或IP多个用分号隔开如api.example.com; static.example.com。这样可以瞬间屏蔽掉所有第三方广告、统计等无关流量。命令行快速过滤在会话列表下方的“QuickExec”框快捷键AltQ中可以输入命令快速过滤。例如输入?google会高亮包含“google”的会话输入5000会筛选出响应体大于5000字节的会话。自定义过滤规则在CustomRules.js中你可以编写更复杂的逻辑。例如自动隐藏图片请求或特定静态资源if (oSession.uriContains(.jpg) || oSession.uriContains(.css)) { oSession[ui-hide] true; }解密HTTPS流量确保Fiddler的Tools - Options - HTTPS选项卡中已勾选“Decrypt HTTPS traffic”。Fiddler会扮演中间人用自己的根证书为每个HTTPS站点生成签名证书。这就是为什么之前需要在设备上安装Fiddler根证书的原因。性能分析与弱网模拟Statistics标签页选中一组会话后查看Statistics页可以清晰了解总耗时、各阶段DNS、TCP、SSL、请求、响应耗时、字节数等是性能瓶颈分析的利器。弱网模拟Rules - Performance - Simulate Modem Speeds勾选后Fiddler会限制上行/下行带宽模拟恶劣网络环境用于测试App的容错机制和加载策略。3.2 Burp Suite安全测试与深度操控当流量从Fiddler转发到Burp Suite后你可以在Burp中开展深度安全测试。拦截与修改请求Proxy - Intercept打开Intercept的“Intercept is on”开关Burp会暂停所有经过的请求允许你查看和修改任何部分URL、参数、Header、Body再决定转发或丢弃。这是测试越权、注入漏洞的基础操作。重放与漏洞探测Repeater将Proxy历史或任何地方的请求右键发送到Repeater。在这里你可以对单个请求进行反复修改和重放观察服务器响应的变化手动测试SQL注入、XSS、逻辑漏洞等。主动扫描ScannerProfessional版功能。可以将一个站点或请求交给Scanner进行自动化漏洞扫描。在矩阵中你可以先用Fiddler过滤出目标API流量再将关键的登录、支付等请求从Fiddler会话右键-Copy-Full URL粘贴到Burp的Target scope中然后启动扫描提高扫描效率。对比与碰撞Comparer/IntruderComparer比较两个请求或响应的差异在分析登录态、令牌变化时非常有用。Intruder用于自动化参数爆破。例如发现某个4位数字验证码接口可以用Intruder加载字典进行暴力破解尝试。3.3 双工具协同实战场景假设我们要测试一个安卓App的登录接口安全性。场景设置在Fiddler的Filters中设置只显示目标域名login.app.com的流量。在安卓App上尝试登录。流量捕获Fiddler会话列表中出现登录请求通常是POST到/api/login。你可以在这里快速查看明文传输的参数如果未加密、响应时间、状态码。请求转发与深度测试在Fiddler中右键点击这个登录会话选择Copy - Full URL。切换到Burp Suite的Repeater将URL粘贴进去请求详情会自动载入。现在你可以在Burp中修改密码参数尝试SQL注入Payloadadmin OR 11。修改用户ID测试是否存在水平越权。将请求发送到Intruder对密码字段加载弱口令字典进行爆破。结果验证所有的测试请求和响应都会记录在Burp的Proxy历史中。同时由于流量经过了Fiddler你仍然可以在Fiddler中看到这些测试请求的往返时间、大小等性能指标形成一个完整的分析记录。这种协同让你既能利用Fiddler的流畅捕获和过滤快速定位目标又能借助Burp Suite的专业安全工具进行深度测试两者数据互通效率倍增。4. 高级技巧与安卓特定问题处理基础流程跑通后会遇到一些安卓平台特有的棘手问题。掌握这些高级技巧才能让分析矩阵在复杂环境中稳定运行。4.1 处理证书绑定SSL Pinning许多安全意识较强的App会使用证书绑定技术只信任自己预设的证书拒绝Fiddler/Burp这类中间人证书。突破此限制有几种方法使用高版本Burp Suite的自动绕过Burp Suite Pro 2024及更高版本其移动端助手Mobile Assistant有时能自动处理一些证书绑定。但并非万能。使用 objection/Frida 动态注入这是更通用的方法。需要设备root或使用可调试的App。在设备上安装Frida-server。在电脑上使用 objection 工具执行命令objection -g 应用包名 explore然后执行android sslpinning disable。此命令会尝试禁用常见的证书绑定库如OkHttp Conscrypt的验证逻辑。逆向修改App对于无法动态注入的App可能需要使用Apktool、dex2jar等工具进行反编译定位并修改证书验证相关的Smali代码或so库重新打包安装。此方法门槛较高。注意事项绕过证书绑定可能违反应用的使用条款请仅在你有合法测试权限的环境如自己开发的App、授权的渗透测试项目中进行。4.2 捕获非HTTP(S)流量及WebSocketFiddler和Burp主要针对HTTP/HTTPS但安卓App可能使用原始TCP Socket、UDP或WebSocket。WebSocketFiddler和Burp Suite Professional版都能很好地捕获和展示WebSocket连接。在Fiddler中WebSocket会话会以特殊的图标显示你可以查看握手过程和后续的数据帧。在Burp中可以在Proxy历史中看到WebSocket的HTTP升级请求并在Proxy - WebSockets history中查看消息。原始TCP/UDP流量这两款工具无能为力。此时需要借助更底层的工具如Wireshark。你可以在安卓设备上进行tcpdump抓包或将设备流量通过路由方式导到安装了Wireshark的电脑上。一个常见的做法是在Fiddler/Burp分析完HTTP层逻辑后对于仍不明的通信再用Wireshark进行补充抓包分析。4.3 使用Fiddler脚本自动化处理Fiddler的CustomRules.js脚本能力极强可以实现自动化。自动修改请求/响应例如所有请求自动添加一个特定的Header。static function OnBeforeRequest(oSession: Session) { oSession.oRequest.headers.Add(X-Debug-Mode, true); }自动替换内容将响应中的某个关键词替换掉用于测试或绕过前端检查。static function OnBeforeResponse(oSession: Session) { if (oSession.uriContains(example.com)) { var oBody oSession.GetResponseBodyAsString(); oBody oBody.replace(禁止访问, 允许访问); oSession.utilSetResponseBody(oBody); } }流量标记与分类根据URL或内容为会话添加自定义标签便于后续筛选。static function OnBeforeRequest(oSession: Session) { if (oSession.uriContains(/api/payment)) { oSession[ui-color] red; oSession[ui-bold] true; } }4.4 在模拟器中的特殊配置以Mumu模拟器为例其网络桥接方式特殊配置代理可能无法直接连接到宿主机的IP。查找模拟器特殊IP在Mumu模拟器中adb shell ifconfig或adb shell netcfg查看网络配置。你会发现一个类似10.0.2.15的IP这是模拟器内部的通用IP。代理地址设置在模拟器的Wi-Fi代理设置中主机名不能填宿主机的局域网IP如192.168.x.x而应该填写宿主机的特殊别名对于Windows上的Mumu通常填写10.0.2.2。这是Android模拟器约定俗成的、指向宿主机的别名。端口依然是Fiddler的8888。证书安装在模拟器浏览器中访问http://10.0.2.2:8888下载证书。由于模拟器环境相对开放证书安装到用户存储区通常即可生效。5. 常见问题排查与实战心得即使按照步骤操作也难免会遇到各种问题。下面是我在长期使用中总结的常见故障及解决方法。5.1 流量捕获不到或连接失败问题现象可能原因排查步骤与解决方案安卓设备无法访问http://PC_IP:88881. 防火墙阻止连接。2. 工作机IP地址错误或变更。3. Fiddler未开启远程连接。1. 检查防火墙为Fiddler8888端口添加入站规则。2. 在PC上使用ipconfig确认当前局域网IP。3. 确认FiddlerOptions - Connections中 “Allow remote computers to connect” 已勾选。设备显示代理连接错误1. 代理IP或端口填写错误。2. Fiddler服务未启动或崩溃。1. 仔细核对代理设置中的IP和端口8888。2. 重启Fiddler检查Windows任务管理器是否有Fiddler.exe进程。只有部分App流量可见1. App使用了证书绑定SSL Pinning。2. App使用了非HTTP协议如纯Socket。3. 安卓高版本9对用户证书限制。1. 尝试使用objection禁用SSL Pinning。2. 使用Wireshark等工具捕获非HTTP流量。3. 将证书安装到系统证书目录需root或使用安卓7.0以下模拟器/真机。Burp Suite收不到转发流量1. Fiddler转发脚本未生效或配置错误。2. Burp代理监听器未开启或端口冲突。1. 检查CustomRules.js脚本语法确保OnBeforeRequest函数内的转发代码已保存并生效重启Fiddler。2. 确认BurpProxy - Options中127.0.0.1:8080的监听器状态为Running。5.2 HTTPS解密失败或证书警告现象Fiddler中HTTPS会话显示Tunnel to或带有锁形图标但无法查看内容设备访问网站出现证书警告。排查确认证书已安装在设备系统设置中搜索“证书”或“加密与凭据”查看用户凭据中是否存在名为“DO_NOT_TRUST_FiddlerRoot”或类似的证书。清除旧证书如果之前安装过其他抓包工具的证书可能会冲突全部删除后重装Fiddler证书。检查Fiddler HTTPS设置确保Tools - Options - HTTPS中“Decrypt HTTPS traffic”已勾选并且“...from all processes”和“...from remote clients”也被选中。针对特定App如果只是某个App无法解密大概率是证书绑定。需要按4.1节的方法处理。5.3 性能与稳定性优化Fiddler卡顿当捕获会话过多时Fiddler可能变慢。定期点击菜单栏的File - Capture Traffic(快捷键F12) 可以暂停/继续捕获在分析时暂停捕获能提升响应速度。使用过滤器Filters减少无关会话也是根本解决方法。Burp Suite内存不足Burp在处理大量请求时非常消耗内存。可以在Options - Memory中调高堆内存分配如增加到-Xmx2048m。定期清理无用的Proxy历史记录和Target站点数据。串联延迟流量经过两个代理必然增加延迟。在测试对延迟敏感的功能时可以考虑临时只使用一个工具。例如性能测试时只用Fiddler深度安全测试时将设备代理直接设为Burp端口8080绕过Fiddler。5.4 个人实战心得分而治之明确目标不要一开始就打开所有功能。如果目标是分析API调用顺序就专注用Fiddler过滤和统计如果目标是测试登录漏洞就配置好Burp的拦截和重放。让两个工具在各自擅长的阶段发力。善用“对比”功能无论是Fiddler的“Compare”功能还是Burp的“Comparer”在分析登录态、会话变化、参数差异时极其有用。将正常请求和异常请求进行对比往往能快速定位问题关键。保存工作空间Fiddler可以保存会话存档.saz文件Burp可以保存项目文件.burp。在进行重要测试前后记得保存状态便于回溯和分享。保持工具更新特别是Burp Suite新版本往往会修复旧版本对最新安卓系统或加密库的兼容性问题。同时关注Frida、objection等绕钉工具的动态它们的脚本也在不断更新以应对新的绑定方案。构建Fiddler与Burp Suite的移动端流量分析矩阵本质上是在搭建一个从“数据采集”到“深度分析”的流水线。这个过程中最宝贵的不是某个具体的配置命令而是你根据测试目标灵活组合和切换工具的思路。当你能熟练地在Fiddler的清晰视图中快速定位目标流量再无缝衔接到Burp Suite的复杂攻击模块中进行深度挖掘时你对移动应用网络行为的理解和安全评估的能力就已经上了一个全新的台阶。这套组合拳足以应对绝大多数安卓应用的前后端交互分析与安全测试场景。
