有人可以使用fiddler查看通过https传输的数据吗？

Question

有人请告诉我这不对。阅读this链接，似乎可以通过提琴手解密https流量。这是否意味着如果我通过https进行网上银行，可以拦截此流量的人可以读取我的帐户并锁定关键信息？

Answer 1

Fiddler要求您为其安装特殊的SSL根证书，以便能够侦听HTTPS流量。安装后，Fiddler可以将自己安装为代理（中间人），伪装成互联网上的每个HTTPS站点。简而言之，是的，它可以通过HTTPS收听所有内容，但您需要先在您的计算机上手动安装证书以允许它。

理论上，您在计算机上安装的任何根证书（无论是否为Fiddler）都会允许生成它的人冒充任何互联网站点，所以在不考虑其后果的情况下永远不要这样做。

在SSL术语中，Fiddler所做的是将其自身安装为您计算机上的证书颁发机构。当您访问作为中间人的HTTPS站点时，它会快速生成声称是相关站点的证书。由于根证书在您的计算机上，它将信任Fiddler的证书并愉快地让它解密所有内容。

Answer 2

Fiddler将使用自己的SSL证书充当Man in the Middle，从而触发浏览器警告。如果你被这些警告所吸引，那么没有人会窥探你的网上银行会话。

有关其工作原理的更多信息，请参阅public-key cryptography。

Answer 3

您必须接受fiddler颁发的ssl证书，但是您可以使用fiddler监控ssl流量。如果你深入挖掘一下，有更复杂的MITM攻击工具，如：https://www.owasp.org/index.php/Category:OWASP_WebScarab_Project