抓包解析

抓包这事儿，抓包解析说穿了就是抓包解析偷看别人家快递。只不过这快递是抓包解析网络上的数据包，而“别人家”往往就是抓包解析你的手机或电脑。我第一次真正上手抓包，抓包解析是抓包解析因为一个诡异的问题：App 里的广告明明点关闭，却总是抓包解析跳转到应用商店。代码翻了三遍，抓包解析毫无头绪。抓包解析直到用 Wireshark 抓了包，抓包解析才发现那“关闭”按钮的抓包解析响应数据里，偷偷藏着一个 302 跳转地址。抓包解析那一刻我后背发凉——原来界面上的抓包解析东西，远没有数据里的抓包解析东西诚实。

抓包工具挺多，抓包解析Wireshark 是重型武器，Fiddler 和 Charles 则像手术刀。但工具只是表面，核心是思路。你得先搞懂数据是怎么流的：你的请求先到路由器，再到运营商，最后抵达服务器。服务器回应后，原路返回。抓包就是在某个节点上，把经过的数据复制一份。本地抓包最容易，因为数据要经过你自己的网卡。但想抓 HTTPS 就得装证书，这相当于给加密的快递配了一把备用钥匙。很多 App 会做证书校验，就是防着你偷看，这时候就得用 Frida 这类工具去 hook 掉校验逻辑，像撬锁一样，但更优雅。

有一次，我帮朋友分析一个抢票软件。那软件界面简陋，但抢票成功率极高。抓包后发现，它每次请求都会携带一个极长的加密字符串，看似随机，实则暗藏时间戳和用户 ID 的某种变形。我试着把字符串里的时间改成昨天的，服务器立刻返回错误。这说明它做了时间校验。但有意思的是，它校验的是字符串里的时间，而不是服务器本地时间。于是我写了个脚本，让字符串里的时间永远比真实时间快 30 秒。结果，那软件在开售前 30 秒就能提前锁定票源——因为服务器以为时间已经到了。你看，抓包不只是看，还能想。

抓包最迷人的地方，在于它让你看到系统真实的一面。界面上的按钮可能只是摆设，真正的逻辑全在数据流里。有些 App 号称“极速启动”，抓包却发现它在后台偷偷上传通讯录。有些网页看着简洁，实际每个鼠标移动都在往服务器发数据。这些事，不抓包你永远不知道。当然，抓包也有灰色地带。你抓自己的数据没问题，但抓别人的，哪怕只是同一 WiFi 下的，也可能违法。技术上不难，难的是分寸感。

现在我的电脑里常年开着抓包工具，倒不是每时每刻都盯着看，而是习惯性地留个后台记录。有时候排查问题，翻翻历史数据，能发现很多当时没注意的细节。比如某个服务半夜会自己唤醒一次，发一条心跳包。又比如某个第三方 SDK 每隔五分钟就上传一次位置，哪怕你关了定位权限——它用的是基站信息。这些事，写代码的人未必知道，但抓包的人一眼就能看穿。网络世界从来不像它表面那么干净，而抓包，就是那面照妖镜。