移动端抓包实战：Wireshark配置与HTTPS解密全攻略

1. 项目概述：为什么移动端抓包是必备技能

在移动互联网时代，App不再是孤岛，它无时无刻不在与后端服务器、第三方服务、CDN节点进行着海量的数据交换。作为一名开发者、测试工程师或安全研究员，你是否曾遇到过这样的场景：App某个功能突然异常，前端同事说接口没问题，后端同事说日志正常，问题到底出在哪？或者，你想分析某个App的网络行为，了解其数据流向和协议格式，却无从下手。这时，移动端抓包就成了你手中最锋利的“手术刀”。

Wireshark，这款久负盛名的网络协议分析工具，无疑是这把手术刀中的“瑞士军刀”。它功能强大、协议支持全面，但很多朋友一提到用它抓取手机流量，就觉得步骤繁琐、配置复杂，尤其是面对iOS设备时更是望而却步。实际上，一旦理清思路，整个过程会变得清晰而高效。本文将手把手带你完成在Android和iOS两大移动平台上，使用Wireshark进行抓包的全套配置，不仅告诉你每一步怎么做，更会深入解释背后的原理，分享我踩过的坑和总结的实战技巧。无论你是想调试自家App，还是进行安全评估，这篇文章都能让你从入门到精通。

2. 核心思路与方案选型：代理抓包 vs. 镜像抓包

在开始动手之前，我们必须先理解移动端抓包的两种核心思路：代理抓包和流量镜像（或称为端口镜像）。这两种方案的选择，直接决定了后续的配置复杂度和抓包效果。

2.1 代理抓包方案解析

代理抓包是目前最主流、最便捷的方式。其核心原理是：让移动设备的所有HTTP/HTTPS流量，都经过一个我们指定的“中间人”（即代理服务器）进行转发。Wireshark就运行在这个代理服务器所在的电脑上，监听代理端口，从而捕获所有流经的流量。

它的工作流程通常是这样的：

1. 在电脑上启动一个代理服务（常用Fiddler、Charles，或Wireshark自身监听）。
2. 将手机连接到与电脑相同的Wi-Fi网络。
3. 在手机的Wi-Fi设置中，手动配置代理，指向电脑的IP地址和代理端口。
4. 此时，手机发出的网络请求会先到达电脑的代理，再由代理转发到真正的目标服务器；回包路径反之。
5. Wireshark在电脑上抓取本地网卡或环回地址上该代理端口的流量。

这种方案的优势非常明显：

• 配置简单：无需root或越狱，大部分App的HTTP(S)流量都能抓到。
• 过滤方便：可以直接在代理工具或Wireshark中按域名、IP过滤。
• 便于解密HTTPS：配合安装代理的CA证书，可以解密HTTPS流量内容（这是关键，后文会详述）。

但它的局限性也需要了解：

• 无法捕获非HTTP(S)流量：例如，一些游戏使用TCP/UDP自定义协议、音视频流媒体协议（如RTMP、QUIC），或者系统底层的心跳包，可能不走系统代理。
• App可能绕过代理：一些安全意识较强的App会检测并禁用系统代理，使用自己的网络库直连。
• 需要设备与电脑在同一网络：对网络环境有一定要求。

2.2 流量镜像（端口镜像）方案解析

当代理方案失效时，我们就需要更底层的方案——流量镜像。这种方案不改变手机的流量路径，而是在网络链路中的某个节点（通常是路由器或网关）上，复制一份经过的所有数据包，发送到运行Wireshark的电脑上。

实现方式主要有两种：

1. 路由器支持端口镜像：这是最理想的情况。如果你的路由器（尤其是一些企业级或刷了OpenWrt等第三方固件的路由器）支持该功能，可以在路由器管理界面将连接手机的Wi-Fi端口的流量，镜像到连接电脑的LAN端口。
2. 在电脑上创建虚拟Wi-Fi热点：使用电脑的无线网卡创建一个Wi-Fi热点，让手机连接到此热点。然后利用一些工具（如Npcap驱动配合Wireshark，或AirPcap等）来捕获经过这块虚拟网卡的所有流量。Windows的“移动热点”功能结合Wireshark抓取“本地连接* X”虚拟网卡，就是一种简易实现。

镜像方案的优势在于：

• 捕获所有流量：无论是HTTP、HTTPS、TCP、UDP还是其他任何协议，只要经过该网络链路，都能被抓到，真正做到“一览无余”。
• 对App透明：App无法感知和绕过，因为它根本没有改变手机的出口。

其缺点也很突出：

• 配置复杂：依赖路由器功能或需要复杂的软件配置。
• HTTPS内容仍是密文：即使抓到了HTTPS包，由于没有进行“中间人”解密，其应用层数据仍然是加密的，需要额外的私钥才能解密（条件苛刻）。
• 可能带来性能开销：镜像大量流量可能影响网络性能。

方案选型建议：对于绝大多数应用层调试和分析，代理抓包方案是首选。它平衡了易用性、功能性和解密能力。因此，本教程将重点详解基于代理的抓包配置，并在最后补充流量镜像方案的思路作为进阶参考。我们会分别针对Android和iOS的特性，给出具体的配置路径和避坑指南。

3. 基础环境准备与核心工具

工欲善其事，必先利其器。在开始手机配置前，我们需要在电脑端打好基础。这里以Windows/macOS平台为例，Linux思路类似。

3.1 Wireshark的安装与关键配置

首先，前往Wireshark官网下载并安装最新稳定版。安装过程中有一个至关重要的选项：必须勾选安装Npcap（Windows）或ChmodBPF（macOS）。这是允许Wireshark捕获网络数据包的核心驱动/组件，没有它，抓包功能将无法使用。

安装完成后，打开Wireshark，我们先进行几项关键配置：

1. 设置抓包过滤器（Capture Filter）：在开始捕获前，可以设置一个过滤器以减少噪音。例如，如果你电脑的IP是192.168.1.100，打算在8888端口开代理，可以设置过滤器为：host 192.168.1.100 and port 8888。这样只会抓取进出你电脑8888端口的包，非常干净。但初期为了排查问题，可以不设过滤器，抓全部流量再分析。
2. 配置协议解析：Wireshark默认会尝试解码各种协议。确保Analyze -> Enabled Protocols中，HTTP、SSL（它包含TLS/HTTPS的解密设置）等是开启状态。
3. 熟悉界面：主界面主要分为“捕获接口列表”、“捕获数据包列表”、“数据包详情树”、“原始数据字节流”几个区域。抓包后，我们主要会在“数据包详情树”中逐层展开，查看从以太网帧到应用层的数据。

3.2 代理服务器的选择与设置

虽然Wireshark可以直接监听一个端口作为代理，但更常见的做法是使用一个专门的代理工具，因为它通常提供了更友好的HTTPS解密证书管理和请求重放等功能。这里推荐两款，你可以任选其一：

• Fiddler Classic (Windows)：老牌且强大，配置简单。安装后，打开Tools -> Options -> Connections，记住默认的8888端口（可修改），并勾选Allow remote computers to connect（允许远程连接，这是关键）。然后在HTTPS选项卡中，勾选Decrypt HTTPS traffic，它会提示你安装Fiddler的根证书到电脑受信任的根证书颁发机构。这一步必须做，它是后续手机安装证书的基础。
• Charles Proxy (跨平台)：界面更现代，功能与Fiddler类似。安装后，打开Proxy -> Proxy Settings，设置HTTP代理端口（如8888）。同样，在Proxy -> SSL Proxying Settings中，添加需要解密的域名（如*:*表示全部），并确保Enable SSL Proxying打开。Charles也会生成一个根证书，你需要通过Help -> SSL Proxying -> Install Charles Root Certificate将其安装到电脑的信任库。

选择哪一款？如果你主要用Windows，Fiddler免费且足够；如果你需要跨平台或更喜欢其UI，Charles是很好的选择。它们在本教程中的核心作用是一致的：提供一个代理服务器端口，并生成一个用于HTTPS解密的CA根证书。

3.3 获取电脑的本地IP地址

这是手机配置代理时必须用到的信息。在命令提示符（CMD）或终端中输入：

• Windows:ipconfig，找到“无线局域网适配器 WLAN”或“以太网适配器”下的IPv4 地址。
• macOS/Linux:ifconfig或ip addr，找到对应网卡下的inet地址。

通常是一个192.168.x.x或10.x.x.x的内网地址。记下它，例如192.168.1.100。

注意：请确保你的电脑和手机连接的是同一个Wi-Fi网络。如果电脑用的是有线网络，手机用Wi-Fi，只要它们处于同一子网（通常由同一台路由器分配IP），也可以通信。你可以用手机ping一下电脑的IP来测试连通性。

4. Android设备抓包配置全流程

Android系统相对开放，配置流程标准化程度高，但不同版本和厂商定制系统仍有细节差异。

4.1 配置系统Wi-Fi代理

1. 进入手机的设置->WLAN，长按当前已连接的Wi-Fi网络，选择修改网络（或类似选项）。
2. 在高级选项（可能需要点击“高级选项”或展开图标）中，将代理设置为手动。
3. 代理服务器主机名：填写你在3.3步骤中获取的电脑IP地址，如192.168.1.100。
4. 代理服务器端口：填写你在Fiddler或Charles中设置的端口，如8888。
5. 保存设置。

此时，手机所有的HTTP流量应该已经路由到你的电脑代理了。你可以在电脑的代理工具（Fiddler/Charles）中看到手机的请求开始出现。但HTTPS请求会显示为Tunnel to ...或证书错误，因为还未安装解密证书。

4.2 安装HTTPS解密证书（CA证书）

这是解密HTTPS流量的关键。由于代理工具充当了“中间人”，它需要用自己的CA证书为每个访问的站点签发一个“假”的证书，手机必须信任这个CA证书，才能正常建立连接并让解密成为可能。

通用方法（Android 7.0之前及部分定制系统）：

1. 在手机浏览器中访问代理工具提供的证书下载地址。这个地址通常是：
   • Fiddler:http://电脑IP:端口，例如http://192.168.1.100:8888。打开后页面会有一个链接下载FiddlerRoot certificate。
   • Charles:chls.pro/ssl。在手机浏览器中输入此地址，会自动下载charles-proxy-ssl-proxying-certificate.pem证书文件。
2. 下载完成后，系统会提示安装证书。你需要在设置->安全性与位置信息（或更多安全设置） ->加密与凭据->从存储设备安装证书（或安装证书）中，找到下载的证书文件（通常在Downloads目录），然后安装为CA证书。
3. 安装时，系统可能会要求你设置锁屏密码（如果尚未设置），这是Android的安全策略。

Android 7.0+ 的挑战与解决方案：从Android 7.0 (Nougat) 开始，系统引入了一项名为“网络安全配置”的变更。默认情况下，App（特别是targetSdkVersion >= 24的App）将不再信任用户安装的CA证书，只信任系统预装的证书。这意味着，即使你安装了Fiddler/Charles的证书，很多App的HTTPS流量依然无法解密。

解决此问题有几种途径：

1. 修改App的网络安全配置（仅限你拥有源码的App）：在App的res/xml目录下创建network_security_config.xml文件，并在AndroidManifest.xml中引用它，配置其信任用户证书。这对于调试自家App是标准做法。
2. 将CA证书安装到系统证书目录（需要Root权限）：这需要将证书文件重命名并放到/system/etc/security/cacerts/目录，并设置正确的权限。过程复杂且有风险，不推荐普通用户操作。
3. 使用低版本Android模拟器或测试机：这是最省事的方案。准备一台系统版本低于7.0的物理测试机或模拟器（如Android 6.0），上述用户证书方法完全有效。
4. 对未Root的物理手机，尝试“平行空间”等虚拟环境：有些虚拟化App会创建一个独立环境，其内部的网络安全策略可能更宽松，可以尝试在这些环境中安装代理证书。

实操心得：对于日常调试，我强烈建议准备一台专用于抓包的Android 6.0测试机，或使用Android Studio的模拟器（创建时选择较低API版本）。这会为你省去大量兼容性麻烦。如果必须用高版本手机抓取第三方App流量，可能需要结合流量镜像方案（见第7章），但无法解密HTTPS内容。

4.3 验证抓包效果与初步过滤

配置完成后，在手机上打开浏览器访问一个HTTP网站（如http://neverssl.com）和一个HTTPS网站（如https://www.baidu.com）。

回到电脑上的Wireshark：

1. 在接口列表中选择你电脑正在使用的物理网卡（Wi-Fi或以太网）或者loopback（环回，如果代理工具和Wireshark都在本机）。
2. 开始捕获。
3. 你应该能看到大量的数据包。为了快速找到手机流量，可以在Wireshark顶部的过滤栏输入：ip.addr == 你的手机IP。手机IP可以在手机Wi-Fi设置中查看，或通过代理工具（Fiddler/Charles）的连接列表看到。
4. 找到HTTP请求（协议列显示HTTP），展开详情树，你可以清晰地看到GET /请求、Host头、以及服务器的响应状态码和内容。
5. 对于HTTPS请求，如果你成功安装了证书，在Wireshark中，你需要配置SSL/TLS解密密钥。在Fiddler/Charles中，HTTPS请求的内容可以直接看到。在Wireshark中，对于代理抓包，由于流量在到达Wireshark时已经是解密后的（经过代理工具），所以通常直接就是HTTP协议。如果你用镜像抓包抓到了TLS包，则需要配置RSA密钥来解密，这非常复杂，代理方案完美规避了此问题。

5. iOS设备抓包配置全流程

iOS系统以其封闭性和安全性著称，抓包配置的步骤与Android有所不同，但逻辑是相通的。

5.1 配置Wi-Fi代理

iOS的代理设置入口更统一：

1. 进入设置->无线局域网，点击当前已连接Wi-Fi右侧的i信息图标。
2. 滑动到最底部，找到配置代理，选择手动。
3. 在服务器栏填入电脑的IP地址，端口栏填入代理端口（如8888）。
4. 点击右上角的存储。

5.2 安装HTTPS解密证书

这是iOS抓包的核心步骤，且比Android更直观，但多了一步“完全信任”的操作。

1. 下载证书：同样，在iOS设备的Safari浏览器中，访问证书下载地址：
   • Fiddler:http://电脑IP:端口，例如http://192.168.1.100:8888。
   • Charles:chls.pro/ssl。
2. Safari会提示“此网站正尝试下载一个配置描述文件。您要允许吗？”，点击允许。
3. 下载完成后，系统会自动跳转到设置，或者你手动进入设置，顶部会出现已下载描述文件的提示，点击进入。
4. 点击右上角的安装，输入设备密码，再次点击安装完成证书安装。
5. 关键一步：启用完全信任。仅仅安装还不够，必须手动启用对根证书的完全信任。
   • 进入设置->通用->关于本机->证书信任设置。
   • 在“针对根证书启用完全信任”列表中，找到你刚刚安装的证书（例如“Fiddler Root”或“Charles Proxy…”），打开其开关。

如果不执行第5步，iOS App在发起HTTPS请求时，会因证书链验证不通过而失败（表现为连接错误或白屏），你只能抓到TCP握手包而看不到HTTP内容。

5.3 应对App Transport Security (ATS) 限制

与Android的网络安全配置类似，iOS也有自己的安全机制——App Transport Security (ATS)。从iOS 9开始，ATS默认强制要求App使用HTTPS，并对HTTPS连接有严格的安全要求（如TLS版本、密码套件等）。第三方代理工具签发的证书可能不完全满足ATS的要求，导致某些App（特别是未正确配置ATS例外的App）无法通过代理连接网络。

解决方案：

1. 对于自己开发的App：在Info.plist中配置ATS例外，允许不安全的HTTP连接或降低安全要求（仅用于调试环境）。例如添加NSAllowsArbitraryLoads键。
2. 对于无法修改的App：可以尝试关闭代理，使用流量镜像方案（见第7章）。或者，有些网络调试工具（如Stream）可以直接在iOS设备上安装一个VPN配置文件来捕获流量，这绕过了系统代理和ATS的限制，是另一种思路。

5.4 验证与排查

配置完成后，在iOS上打开Safari访问网页。在Charles或Fiddler中，你应该能看到清晰的HTTP/HTTPS请求列表。在Wireshark中，同样使用ip.addr == 你的手机IP过滤器来观察流量。

如果遇到问题，一个常见的排查顺序是：

1. 检查连通性：在iOS上，确保能ping通电脑IP。
2. 检查代理设置：确认设置->无线局域网->代理中的IP和端口无误。
3. 检查证书信任：再次确认设置->通用->关于本机->证书信任设置中，对应的根证书已启用完全信任。
4. 检查代理工具：确认Fiddler/Charles正在运行，且Allow remote connections已开启，防火墙没有阻止相关端口。
5. 重启大法：有时候重启代理工具、重启Wireshark、甚至重启手机和电脑，能解决一些玄学问题。

6. Wireshark高级过滤与协议分析技巧

成功抓到包只是第一步，从海量的数据包中快速找到你需要的信息，才是Wireshark的真正威力所在。这里分享几个最常用、最高效的过滤和分析技巧。

6.1 捕获过滤器 vs. 显示过滤器

这是两个核心概念，作用阶段不同：

• 捕获过滤器 (Capture Filter)：在抓包开始之前设置，语法遵循BPF（Berkeley Packet Filter）。它决定了哪些包能被抓取到内存中。优点是节省内存和CPU，避免抓到无关流量。缺点是设置过于严格可能漏掉关键包。语法示例：host 192.168.1.5 and port 80。
• 显示过滤器 (Display Filter)：在抓包之后设置，语法是Wireshark自有的，更强大灵活。它只改变显示的内容，不会丢弃已抓取的包。我们绝大部分时间都在使用显示过滤器。

6.2 常用且强大的显示过滤器

掌握这些过滤器，能极大提升效率：

1. 按IP和端口过滤：

   • ip.addr == 192.168.1.5（显示所有源或目的IP是该地址的包）
   • ip.src == 192.168.1.5（仅显示源IP）
   • ip.dst == 192.168.1.5（仅显示目的IP）
   • tcp.port == 443（显示TCP源或目的端口是443的包）
   • tcp.srcport == 8080（仅显示TCP源端口）

2. 按协议过滤：

   • http（显示所有HTTP协议包）
   • tls或ssl（显示所有TLS/SSL握手及应用数据包）
   • dns（显示DNS查询和响应包）
   • icmp（显示ping命令的ICMP包）

3. 组合条件过滤：

   • http and ip.addr == 192.168.1.5（该IP的HTTP流量）
   • tcp.port == 443 and tls.handshake.type == 1（显示所有Client Hello包，用于分析TLS握手）
   • http.request.method == "POST"（显示所有HTTP POST请求）

4. 按包内容过滤（字符串搜索）：

   • http contains "login"（在HTTP协议中搜索包含“login”字符串的包）
   • tcp contains "GET /api"（在TCP负载中搜索，适用于非标准端口的HTTP）

6.3 追踪TCP流与HTTP流

这是分析一个完整会话的神器。

• 右键点击一个TCP包（或HTTP包） ->追踪流->TCP流（或HTTP流）。
• Wireshark会自动过滤出该TCP连接的所有包，并将应用层数据重组，在一个单独的窗口中显示完整的请求和响应对话。这对于分析API调用、下载上传过程非常直观。
• 窗口中的红色和蓝色文本分别代表两个方向的数据流。

6.4 统计与图表功能辅助分析

• 统计->对话：查看所有通信对（IP:Port <-> IP:Port）之间的流量统计，快速找出哪个连接流量最大、包最多。
• 统计->HTTP->请求/应答序列：以时间线方式展示HTTP请求和响应，便于分析请求顺序和耗时。
• 统计->捕获文件属性：了解抓包文件的基本信息，如持续时间、平均包速率等。
• 统计->IO图表：可以生成流量随时间变化的曲线图，对于分析流量波动、发现异常峰值非常有用。

6.5 解密HTTPS流量（针对镜像抓包场景）

如果你使用的是流量镜像方案，抓到的HTTPS（TLS）流量在Wireshark中默认是加密的。要解密它，理论上需要获取到服务器的私钥，这在生产环境中几乎不可能。但在一种特殊情况下可以做到：调试本地开发环境或你拥有私钥的测试服务器。

1. 在Wireshark中，进入编辑->首选项->Protocols->TLS（或SSL）。
2. 在(Pre)-Master-Secret log filename中，指定一个文件路径（如C:\sslkey.log）。
3. 在运行你的客户端（如浏览器、App）或服务器时，设置环境变量SSLKEYLOGFILE指向同一个文件路径。例如，在启动Chrome时，可以设置此变量。
4. Wireshark会自动读取该文件中的密钥，并解密对应的TLS流量。

注意：此方法仅适用于你能控制客户端或服务器环境的情况。对于抓取手机上的第三方App流量，此路不通。这也是为什么代理抓包（在代理层解密）对于应用层调试更为实用的原因。

7. 进阶：流量镜像抓包方案实操

当代理方案遇到阻碍时（如App禁用代理、需要抓取非HTTP流量），流量镜像方案是终极武器。这里介绍两种相对可行的实操方法。

7.1 利用支持端口镜像的路由器

这是最标准、对设备影响最小的方案，但依赖硬件。

1. 确认路由器支持：登录你的路由器管理后台（通常是192.168.1.1），在“高级设置”、“系统工具”或“网络设置”中寻找“端口镜像”、“端口监控”或“SPAN”功能。
2. 配置镜像：一般需要指定两个端口：
   • 源端口：连接手机的Wi-Fi所对应的物理端口或SSID。
   • 目的端口：连接电脑的网线所对应的物理端口。
3. 将电脑用网线连接到目的端口，并在Wireshark中选择对应的有线网卡开始抓包。手机连接Wi-Fi，所有流量都会被复制一份发送到你的电脑。

7.2 在Windows/macOS上创建虚拟热点并抓包

这是一种软件方案，无需特殊路由器。

1. 创建热点：
   • Windows 10/11：设置->网络和Internet->移动热点，打开热点并设置名称密码。记住，此时用于共享的网络连接（比如你的有线网卡）会创建一个新的虚拟网卡。
   • macOS：通过“系统偏好设置” -> “共享” -> “互联网共享”，将你的以太网共享给Wi-Fi。这会创建一个虚拟接口。
2. 连接手机：让手机连接到这个新创建的Wi-Fi热点。
3. Wireshark抓包：在Wireshark的接口列表中，找到对应的虚拟网络适配器（在Windows上名称可能包含“本地连接*”或“VirtualBox”等；在macOS上可能是bridge100之类的）。选择它并开始捕获。
4. 关键点：通过这种方式，你电脑的这块虚拟网卡能看到手机与外界通信的所有流量。但请注意，电脑本身如果也通过这个热点上网，其流量也会被捕获，可以使用显示过滤器not ip.addr == 你的电脑IP来排除自身流量。

7.3 镜像方案的局限与应对

• HTTPS内容加密：这是最大局限。你只能看到TCP/IP层的元数据（如连接建立、传输速率、数据包大小序列），而无法直接看到HTTP请求和响应的具体内容。分析重点在于行为分析：例如，发现App在后台与某个非常用IP建立了大量小包通信（可能是心跳或上报），或者连接了某个可疑域名。
• 数据量巨大：镜像会捕获所有流量，数据文件增长迅速。务必使用捕获过滤器（如not arp and not port 53过滤掉ARP和DNS广播包）来精简数据。
• 分析角度：在无法解密的情况下，可以关注：
  • dns查询：了解App访问了哪些域名。
  • tls.handshake：观察TLS握手过程，了解连接的服务器和使用的加密套件。
  • tcp.analysis：查看TCP重传、零窗口、重复ACK等，分析网络质量。
  • 流量时序和大小模式：推断应用行为。

8. 常见问题排查与实战心得

移动端抓包的路上坑不少，这里汇总了一些典型问题和我积累的实战经验。

8.1 抓不到任何包

• 检查代理配置：确认手机Wi-Fi代理的IP和端口绝对正确。端口是否被其他程序占用？可以在电脑上用netstat -ano | findstr :8888（Windows）或lsof -i :8888（macOS/Linux）检查。
• 检查防火墙：电脑的防火墙可能阻止了外部对代理端口的连接。临时关闭防火墙或添加入站规则允许该端口。
• 检查网络环境：确保手机和电脑在同一子网。如果公司网络有多个VLAN或做了客户端隔离，代理可能无法连通。尝试使用手机开热点，让电脑连接手机热点，然后电脑开代理，手机配置代理为电脑IP（通常是192.168.43.1或类似）。这是最可靠的“同一网络”环境。
• 代理工具未监听：确认Fiddler/Charles已启动并正确配置了监听远程连接。

8.2 能抓到HTTP包但抓不到HTTPS包/HTTPS报错

• 证书未安装或未信任：这是最常见原因。回顾第4.2和5.2节，确保证书已正确安装并（在iOS上）启用了完全信任。
• App使用了证书绑定：一些金融类、高安全要求的App会使用SSL Pinning（证书绑定）。它会将服务器证书的公钥或哈希值硬编码在App内，仅信任特定的证书。此时，即使你安装了代理的CA证书，App也会拒绝连接。对付此情况，通常需要逆向修改App（涉及越狱/Jailbreak和动态调试），已超出基础抓包范畴。
• ATS/网络安全配置限制：如5.3节所述，检查并尝试对应方案。

8.3 抓到的包杂乱无章，难以找到目标流量

• 善用显示过滤器：这是Wireshark的核心技能。首先用ip.addr == [手机IP]过滤出手机流量。如果想看特定App，可以先在手机上操作该App，同时在Wireshark中观察新增的、目标IP陌生的流量，然后针对该IP或端口进行过滤。
• 先看DNS：在过滤器中输入dns，查看手机发起了哪些域名解析请求，这能快速定位App使用的后端服务域名。
• 使用“追踪流”：找到一个疑似目标包，右键“追踪TCP流”，能立刻将整个会话提取出来，非常清晰。

8.4 性能问题与抓包文件管理

• 长时间抓包导致文件巨大：在捕获->选项中，可以设置“捕获文件”选项，如“多个文件，每X兆字节换一个新文件”，或“每X秒换一个新文件”，便于管理。
• 使用捕获过滤器：如果只关心特定IP或端口，务必在开始前设置捕获过滤器，能极大减少系统负载和文件大小。
• 及时保存和清理：抓包完成后，及时将需要的包另存为，并关闭不用的捕获文件，释放内存。

8.5 个人实战心得

1. 双机搭配，效率翻倍：我习惯用一台电脑专门运行Fiddler/Charles进行HTTP(S)层的查看、断点和重放，同时用另一台电脑（或同一台电脑的另一个Wireshark实例）进行原始网络包的捕获和分析。两者结合，一个看应用层内容，一个看网络层行为，互补性极强。
2. 模拟器是好帮手：对于Android开发，Android Studio的模拟器抓包极其方便。只需在电脑上设置好代理，然后在模拟器的“设置” -> “网络和互联网” -> “高级” -> “代理”中，设置为“同一网络”，并填入10.0.2.2（这是模拟器内部对宿主机的特殊映射）和代理端口即可。无需担心证书兼容性问题（模拟器镜像通常可轻松安装用户证书）。
3. 关注非HTTP流量：不要只盯着HTTP。很多App的即时消息、推送、音视频通话使用TCP长连接或UDP。当你发现HTTP层面一切正常但功能仍异常时，在Wireshark中过滤tcp或udp，观察是否有连接异常断开、重传过多、或收到异常响应码（如ICMP不可达）。
4. 保存过滤表达式：将常用的复杂过滤表达式（如(http or tls) and ip.addr==手机IP）保存下来，下次直接点击使用，省时省力。在Wireshark过滤栏输入表达式后，点击右侧的书签图标即可保存。
5. 理解TCP重传：在Wireshark中，TCP重传包会用黑色背景或特殊标记显示。如果看到大量重传，说明网络质量差，这是导致App卡顿、加载慢的常见原因，比在应用层日志里瞎猜有效得多。