抓包渗透

Wireshark的抓包渗透抓包窗口里，一串HTTP请求明晃晃地挂着。抓包渗透用户名和密码，抓包渗透明文。抓包渗透那是抓包渗透2016年，一个地方门户网站的抓包渗透登录接口，连HTTPS都没上。抓包渗透我当时坐在出租屋里，抓包渗透盯着屏幕愣了几秒——原来真有人这么写代码。抓包渗透

这不是抓包渗透什么高深技术。抓包就是抓包渗透把网卡收到的数据帧截下来，一层层剥开看。抓包渗透工具也简单，抓包渗透Windows上用Wireshark，抓包渗透Linux下tcpdump够用，抓包渗透手机端Fiddler配合代理证书也能抓。门槛低到离谱。

但低门槛不等于低风险。

我后来养成了一个习惯：拿到一个目标站点，先挂代理，开抓包，然后正常走一遍登录、搜索、下单流程。多数时候能看到些不该看到的东西。有一次，某电商App的优惠券接口，请求体里直接带了user_id和discount_amount。我试着把discount_amount从10改成1000，服务端居然认了。没做签名校验，没做金额范围检查。那次我没继续，截了图，发了封邮件给他们的安全响应中心。三天后接口加了HMAC校验。

抓包本身不违法，它只是观察。真正越界的是后续动作——重放、篡改、注入。渗透测试里，抓包是信息收集阶段最直接的手段，比扫端口来得快。你能看到服务端返回的Set-Cookie里有没有HttpOnly标志，能看到Authorization头用的是Bearer还是Basic，能看到API版本号藏在URL路径里。这些细节，扫描器扫不出来。

有个坑得提一下。现在不少App用了证书绑定（SSL Pinning），你装完代理证书，请求照样发不出去。得用Frida去hook掉校验逻辑，或者Xposed模块绕过。这步开始有点技术含量了，但网上教程一抓一大把。再往后，如果流量走了自定义协议或者加了应用层加密，抓包就只能看到一堆乱码。这时候得反编译APK，找加密函数，或者直接动态调试。到这一步，拼的是耐心和经验，不是工具。

我见过最离谱的案例，是一个后台管理系统的接口，所有请求参数用Base64编码就当加密了。解码后是{ "role":"admin"}。改一下，重新编码，发回去，权限就变了。开发者的安全意识停留在“别人看不懂”的层面。

抓包渗透的核心逻辑就一句话：找到客户端和服务端之间的信任边界，看服务端是否真的在验证每一个输入。多数漏洞出在服务端偷懒——它相信客户端传来的数据是合法的。抓包就是把这个信任关系摊开来看。

防御也简单。全站HTTPS，开HSTS，敏感接口加签名和时间戳防重放，服务端对每个参数做类型和范围校验。但这些话说了十年，还是有人不做。不是技术难，是觉得“没必要”。直到被人抓了包，改了金额，薅了羊毛，才想起来补。

我写这些不是教人搞破坏。抓包这事，你拿来调试自己的应用，没问题；你拿来测别人的系统，得先拿到授权。没授权就是黑产，别拿“技术无罪”骗自己。工具中立，人不是。

最后说个实用技巧。用tcpdump在服务器上抓包时，加-s 0抓完整包，不然默认只抓68字节，HTTP头都看不全。这个坑我踩过，抓了半天全是截断的，以为加密了，其实是参数没给对。