简介这是一份基于FiddlerCore开发的轻量级HTTPS抓包工具源码包面向C#开发者、网络调试初学者及逆向分析实践者解决商用抓包工具收费高、定制性差的问题。资源提供两种代理模式系统代理注入与独立端口8877自定义代理启动并完整集成证书信任配置、Session捕获与事件处理逻辑适用于接口调试、Web流量分析及HTTPS协议学习等场景。压缩包共33个文件含11个核心C#源码如FiddlerEventHandlerTingTing.cs、Certificate.cs、WebProxy.cs、4个可执行文件exe、4个依赖DLL、4个配置文件config及配套XML文档、PDB调试符号等结构清晰便于理解FiddlerCore初始化、HTTPS解密与会话拦截全流程。包体仅717KB精简实用。目前已有1579人学习下载附带详细源码注释与参考实现路径是入门FiddlerCore二次开发、掌握本地代理构建与证书管理的优质实践样本。1. FiddlerCore抓包不是Fiddler桌面版的简化版而是嵌入式HTTP/HTTPS流量拦截黑匣子你手头有个.NET桌面应用或服务程序想在不改业务代码的前提下实时捕获它发出的所有HTTP请求、响应头、JSON体、图片二进制流甚至要动态修改请求参数或注入响应——这时候打开Fiddler.exe点几下不行。Fiddler桌面版是独立进程靠系统代理劫持全局流量而你的程序可能走WinHTTP、HttpClient.DefaultProxy绕过IE设置也可能跑在无GUI的服务账户下根本看不到那个绿色图标。FiddlerCore才是正解它是一套可直接NuGet引用的.NET类库把Fiddler的核心抓包引擎Session解析、SSL解密、规则脚本编译成纯托管DLL让你把它“缝进”自己的进程里变成一个静默运行的内嵌代理服务器。它不依赖UI不弹窗不写注册表只暴露FiddlerApplication.BeforeRequest和FiddlerApplication.AfterResponse两个事件钩子。某高校做API合规审计工具时就是靠它把抓包模块集成进自动化测试框架在CI流水线里每轮自动校验第三方SDK是否偷偷上传设备ID。适合.NET Framework 4.6 / .NET Core 3.1 的客户端开发、安全审计、接口调试、协议逆向场景——只要你需要“进程级可控”的流量观测权而不是“系统级模糊监控”。2. 集成FiddlerCore从NuGet安装到启动内嵌代理的四步闭环2.1 安装包与运行时兼容性确认FiddlerCore目前最新稳定版为v5.0.20234.479822023年Q4发布仅支持.NET Framework 4.6.1及以上或.NET Core 3.1。注意它不支持.NET 5/6/7/8的单文件发布Single-file Publish因为FiddlerCore依赖本地FiddlerCore.dll和配套的CertMaker.dll、BCMakeCert.dll等原生资源打包时会被剥离。若用.NET 6必须关闭PublishTrimmedfalse/PublishTrimmed并显式保留runtimes\目录下的win-x64\native\*.dll。安装命令如下# .NET Framework 项目csproj中添加 dotnet add package FiddlerCore --version 5.0.20234.47982# .NET Core/5 项目需额外引用原生依赖 dotnet add package FiddlerCore --version 5.0.20234.47982 dotnet add package BouncyCastle.Crypto --version 1.8.10 # CertMaker底层依赖提示不要用FiddlerCore4已废弃或FiddlerCore.NetStandard非官方维护分支它们缺少对TLS 1.3的完整支持且证书生成逻辑有内存泄漏。2.2 初始化代理服务监听端口与信任根证书FiddlerCore默认不自动配置系统代理也不自动生成可信根证书——这两步必须由你显式控制否则HTTPS流量全是Tunnel to xxx:443而看不到明文。初始化代码需包含三件事启动监听、生成并安装根证书、启用HTTPS解密。以下为.NET 6控制台程序的最小可行示例using Fiddler; class Program { static void Main(string[] args) { // 1. 启动FiddlerCore监听本机任意端口如8888 FiddlerApplication.Startup(8888, FiddlerCoreStartupFlags.DecryptSSL | FiddlerCoreStartupFlags.RegisterAsSystemProxy | FiddlerCoreStartupFlags.ChainToUpstreamGateway); // 2. 生成并安装Fiddler根证书关键否则HTTPS解密失败 if (!CertMaker.rootCertExists()) { if (!CertMaker.createRootCert()) throw new Exception(无法创建根证书); if (!CertMaker.trustRootCert()) throw new Exception(无法将根证书加入受信任根证书颁发机构); } // 3. 注册事件监听器 FiddlerApplication.BeforeRequest OnBeforeRequest; FiddlerApplication.AfterResponse OnAfterResponse; Console.WriteLine(FiddlerCore已启动监听端口8888按任意键退出...); Console.ReadKey(); FiddlerApplication.Shutdown(); } static void OnBeforeRequest(Session oSession) Console.WriteLine($[REQ] {oSession.RequestMethod} {oSession.fullUrl}); static void OnAfterResponse(Session oSession) Console.WriteLine($[RES] {oSession.responseCode} {oSession.oResponse.headers.Count} headers); }参数说明FiddlerCoreStartupFlags.DecryptSSL启用HTTPS解密必须配合证书安装FiddlerCoreStartupFlags.RegisterAsSystemProxy将本机系统代理设为127.0.0.1:8888影响所有走WinINET栈的应用IE/Edge旧版/部分.NET HttpClientFiddlerCoreStartupFlags.ChainToUpstreamGateway允许FiddlerCore作为二级代理转发到上游代理如企业防火墙避免网络隔离环境失效。2.3 让目标程序走FiddlerCore代理三种实操路径你的目标程序比如一个WPF客户端未必自动走系统代理。以下是三种经实测有效的强制路由方案方案一代码级显式设置最可靠在目标程序的HttpClient初始化处硬编码代理var handler new HttpClientHandler { Proxy new WebProxy(http://127.0.0.1:8888), UseProxy true }; var client new HttpClient(handler);方案二环境变量注入免改代码启动目标程序前设置环境变量Windowsset HTTP_PROXYhttp://127.0.0.1:8888 set HTTPS_PROXYhttp://127.0.0.1:8888 start YourApp.exe.NET Core 3.1 自动读取HTTP_PROXY但.NET Framework需手动调用WebRequest.DefaultWebProxy赋值。方案三PAC脚本动态分流适合复杂网络生成proxy.pac文件内容为function FindProxyForURL(url, host) { if (shExpMatch(host, *.internal.company.com)) return DIRECT; return PROXY 127.0.0.1:8888; }然后在FiddlerCore启动后用FiddlerApplication.PACFile C:\proxy.pac;加载再通过组策略或注册表将系统PAC地址指向该文件。3. FiddlerCore证书体系为什么HTTPS解密总失败根证书、中间证书、会话证书三层关系拆解3.1 证书链生成逻辑CertMaker如何动态签发站点证书FiddlerCore不预置任何域名证书而是采用“中间证书签发模式”根证书Root CADO_NOT_TRUST_FiddlerRoot由CertMaker.createRootCert()生成私钥永久保存在%USERPROFILE%\Documents\Fiddler2\Certificates\必须被操作系统信任中间证书Intermediate CA每次FiddlerCore启动时用根证书私钥签发一个临时中间证书有效期30天存于内存会话证书Leaf Cert当客户端首次访问https://example.com时FiddlerCore截获SNI扩展用中间证书私钥即时签发CNexample.com的叶子证书返回给客户端。这个三级结构决定了只要根证书未被信任所有HTTPS连接都会触发浏览器证书警告只要中间证书过期30天新域名的解密就会失败但已建立的连接不受影响。3.2 强制刷新证书状态的三个命令行工具当遇到“证书已安装但HTTPS仍显示隧道”时别急着重启程序先用这些命令诊断# 查看当前根证书是否在受信任根证书存储中Windows certutil -store ROOT DO_NOT_TRUST_FiddlerRoot # 列出FiddlerCore生成的所有中间证书检查是否过期 dir %USERPROFILE%\Documents\Fiddler2\Certificates\*.cer /t:c # 清空FiddlerCore证书缓存删除中间证书下次启动重建 del /q %USERPROFILE%\Documents\Fiddler2\Certificates\Intermediate*注意CertMaker.trustRootCert()在Windows上实际执行的是certmgr.exe -add -c FiddlerRoot.cer -s -r localMachine root若程序以普通用户运行localMachine会失败此时应改用currentUser参数并确保调用方有权限。3.3 移动端与.NET MAUI应用的特殊处理iOS和Android默认不信任用户安装的根证书需额外步骤Android将FiddlerRoot.cer导出为DER格式放入APK的res/raw/目录代码中调用NetworkSecurityConfig指定信任该证书iOS通过Settings → General → About → Certificate Trust Settings手动开启DO_NOT_TRUST_FiddlerRoot的完全信任.NET MAUIHttpClientHandler.ServerCertificateCustomValidationCallback必须返回true否则X509Chain.Build()会因根证书不在系统存储而拒绝验证。4. 常见问题排查HTTPS解密失败、Session丢失、性能卡顿的五条血泪经验4.1 现象HTTPS请求显示Tunnel to example.com:443但AfterResponse事件从未触发原因FiddlerCore未启用DecryptSSL标志或根证书未正确安装到“受信任的根证书颁发机构”导致TLS握手阶段被客户端直接终止。解决检查FiddlerApplication.Startup()参数是否含FiddlerCoreStartupFlags.DecryptSSL运行certutil -verify -urlfetch FiddlerRoot.cer验证证书链完整性在Chrome中访问chrome://settings/certificates确认根证书存在且状态为“启用”。4.2 现象部分HTTPS网站如bank.com解密后返回502 Bad Gateway原因目标网站启用了证书透明度Certificate Transparency, CT日志校验而FiddlerCore签发的证书未包含SCTSigned Certificate Timestamp扩展被现代浏览器拒绝。解决禁用CT校验仅限测试环境Chrome启动参数加--unsafely-treat-insecure-origin-as-securehttps://bank.com --user-data-dirC:\temp\chrome生产环境应改用真实证书或跳过敏感域名。4.3 现象高并发下CPU飙升至100%BeforeRequest事件延迟超2秒原因FiddlerCore默认使用单线程事件循环处理所有Session当OnBeforeRequest中执行耗时操作如写文件、远程日志会阻塞整个代理队列。解决将耗时逻辑移出事件回调改用Task.Run()异步处理并设置FiddlerApplication.Prefs.SetBoolPref(fiddler.network.traffic.buffersize, false)禁用大缓冲区减少内存拷贝。4.4 现象oSession.oRequest.body为空但Wireshark能看到POST数据原因FiddlerCore默认不缓存请求体body只提供流式访问。若未调用oSession.utilDecodeRequest()或oSession.RequestBody属性原始字节流已被释放。解决在BeforeRequest中立即调用oSession.utilDecodeRequest()强制解码并缓存或改用oSession.GetRequestBodyAsString()自动处理gzip/deflate。4.5 现象程序退出后系统代理仍指向127.0.0.1:8888导致全网断连原因FiddlerApplication.Shutdown()未被调用或调用时发生异常被吞掉。FiddlerCore不会自动清理系统代理设置。解决在Main方法末尾、try-finally块中强制调用FiddlerApplication.Shutdown()更稳妥的做法是退出前执行netsh winhttp reset proxy重置系统代理。5. 进阶技巧用FiddlerCore实现请求重放、自动Mock、流量染色与合规审计5.1 请求重放构造Session对象并调用Replay()方法FiddlerCore允许将捕获的Session序列化后离线重放无需启动完整代理。关键在于Session对象的oRequest和oResponse必须完整初始化// 从磁盘加载已保存的SAZ文件Fiddler原生格式 var saz new SessionArchive(); saz.LoadFromFile(C:\logs\test.saz); // 取第一个Session修改Host头后重放 var replaySession saz.Sessions[0].Clone(); replaySession.oRequest[Host] staging-api.example.com; replaySession.Replay(); // 同步阻塞调用 // 或异步重放推荐 replaySession.ReplayAsync().ContinueWith(t Console.WriteLine($重放完成状态{t.Result.responseCode}));参数控制ReplayAsync()接受ReplayOptions对象可设置TimeoutMs默认30000、FollowRedirects默认true、UseCookies默认true等。5.2 动态Mock响应拦截特定URL并注入伪造JSON不用启动Mock服务器直接在BeforeRequest中拦截并短路响应static void OnBeforeRequest(Session oSession) { if (oSession.hostname.Equals(api.example.com, StringComparison.OrdinalIgnoreCase) oSession.PathAndQuery.StartsWith(/v1/users/)) { // 构造Mock响应 oSession.utilCreateResponseAndBypassServer(); oSession.oResponse.headers.SetStatus(200, OK); oSession.oResponse[Content-Type] application/json; charsetutf-8; oSession.utilSetResponseBody({\id\:123,\name\:\MockUser\}); // 标记为已处理跳过后续流程 oSession.bBufferResponse true; oSession.bHasResponse true; } }注意utilCreateResponseAndBypassServer()会清空oResponse原有内容必须在调用后重新设置headers和body。5.3 流量染色为不同来源请求打Tag便于审计追踪在微服务架构中常需区分流量来自Web前端、移动端还是定时任务。FiddlerCore可通过X-Trace-ID头注入实现static void OnBeforeRequest(Session oSession) { // 从上游请求头继承TraceID或生成新ID var traceId oSession.oRequest[X-Trace-ID] ?? Guid.NewGuid().ToString(N); // 注入自定义头供下游服务记录 oSession.oRequest[X-Fiddler-Proxy] true; oSession.oRequest[X-Fiddler-TraceID] traceId; // 同时写入本地日志异步避免阻塞 Task.Run(() File.AppendAllText( C:\logs\trace.log, ${DateTime.Now:O}\t{traceId}\t{oSession.fullUrl}\n)); }5.4 合规审计自动检测敏感字段与违规Header某公司要求所有出站请求禁止携带X-Device-ID且响应必须含X-Content-Security-Policy。用FiddlerCore实现零配置扫描检查项触发时机检测逻辑处理动作请求含敏感头BeforeRequestoSession.oRequest[X-Device-ID] ! null记录告警日志oSession.oRequest[X-Device-ID] [REDACTED]响应缺安全头AfterResponse!oSession.oResponse.headers.Exists(X-Content-Security-Policy)oSession.oResponse[X-Content-Security-Policy] default-src self响应含明文密码AfterResponseRegex.IsMatch(oSession.GetResponseBodyAsString(), password:\s*[^])oSession.utilSetResponseBody(oSession.GetResponseBodyAsString().Replace(\password\:\, \password\:\***\));从那以后我每次上线新版本的抓包模块都强制走一遍这四类审计规则的单元测试用Session.Clone()构造边界Case再用真实流量跑24小时压力验证。FiddlerCore不是万能胶但它把“流量可观测性”这件事从运维黑盒变成了开发可编程的确定性能力——只要证书链没断、事件没丢、线程没堵它就稳得像一块焊死的电路板。希望帮到你。本文还有配套的精品资源点击获取