打开Yakit，包教第一眼看到的包教是左侧的“Web Fuzzer”标签。别急着点，包教先看右上角的包教“抓包”按钮——那个小蚊子图标。我习惯把浏览器的包教代理指向127.0.0.1:1080，Yakit默认监听这个端口。包教要是包教你连不上，八成是包教没开系统代理，或者端口被占用了。包教

抓包这事，包教说白了就是包教中间人。Yakit把HTTP流量截下来，包教让你能看见每个请求的包教头发了什么。我上周调试一个登录接口，包教前端死活报400错误。包教用Yakit一看，原来是Content-Type被浏览器自动改成了multipart/form-data，后端只认JSON。这种问题，不看原始包根本猜不到。

实操起来很简单。打开Yakit，点“抓包”按钮，浏览器里随便访问一个网站。左侧列表会刷出几十条记录，每行显示URL、状态码和耗时。双击任意一条，右边弹出详情面板——上半部分是请求，下半部分是响应。想改数据？直接在请求体里点一下，就能编辑。比如把POST的JSON字段从"isAdmin": false改成true，点“发送”按钮，看响应有没有变化。这就是最基础的越权测试。

有个坑得提醒你。Yakit默认只抓HTTP和HTTPS，但有些App用的是TCP长连接，或者WebSocket。这时候你得切到“抓包”旁边的“MITM”模式，装好CA证书才能解开加密流量。我第一次抓微信小程序时，忘了装证书，结果全是乱码，折腾了半小时才反应过来。

还有个实用技巧——过滤。打开一个复杂的网页，请求列表能刷出两三百条。全看着头疼，直接在顶部搜索框输入.js或者api，立马过滤出关键请求。我常干的事是搜password或者token，看看前端有没有把敏感信息明文传出来。

抓包不只是为了看，Yakit的“Web Fuzzer”才是重头戏。选中一个请求，右键“发送到Fuzzer”，就能对参数做模糊测试。比如把用户ID从1遍历到100，看有没有越权访问。我试过对一个论坛的私信接口跑ID遍历，结果第三十个就翻到了别人的聊天记录。这种漏洞，手工测根本发现不了。

最后说个细节。Yakit的抓包记录默认存在本地数据库，但别指望它自动清理。我一般跑完测试就手动清空，不然攒个把月，文件能涨到几个G。而且这些数据里可能带着cookie、session，万一电脑被人拿走，等于把测试目标的家底都送出去了。

抓包这事，熟练了就像骑自行车。真正有用的不是工具本身，而是你看每个请求时脑子里转的念头——这个参数能改吗？那个响应藏着什么？Yakit只是把车交到你手上，往哪骑，还得看你自己。