接口漏洞怎么抓？Fiddler 中文版 + Postman + Wireshark 实战指南
接口安全是现代应用开发中的高危环节：一旦API存在未授权访问、参数篡改、权限绕过等漏洞，可能直接导致用户信息泄露、资金损失甚至整个平台瘫痪。对于开发和安全人员来说，光依赖后端日志排查远远不够，需要对接口进行主动安全性验证。而 Fiddler抓包工具 提供了灵活的请求拦截、修改、重放功能，是在API安全防护与漏洞复现中必不可少的工具。再结合 Postman、Wireshark 等工具，可以从接口到网络层做全面安全检测。
本文将基于真实项目中对API安全进行测试和漏洞复现的实践经验，介绍如何利用Fiddler在不同阶段发现、验证和协助修复接口安全问题。
更多Fiddler使用教程及API安全相关文章可访问 Fiddler中文网（https://telerik.com.cn/）。
一、模拟未授权访问：用Fiddler直接去掉Token
未授权访问是最常见API漏洞之一。通过Fiddler可以直接在请求中删除Authorization或Cookie等鉴权信息，模拟未登录用户尝试访问受保护的接口。
实践
- 抓取登录后请求，如
/api/user/profile； - 设置Fiddler条件断点，删除
Authorization头； - 观察接口返回：若返回正常数据或仅提示参数错误，而不是401未授权，则说明接口鉴权存在漏洞。
通过这种方法可以系统性地扫描所有受保护接口，避免因单个疏忽导致权限漏洞。
二、参数篡改：Fiddler断点精确修改关键字段
很多API的核心操作依赖前端传来的参数，如金额、商品ID、用户ID。如果后端只依赖客户端传值而未做二次校验，将直接导致严重漏洞。Fiddler断点可精准修改这些参数，模拟黑产常用的请求篡改。
真实案例
在电商项目中，我们用Fiddler拦截订单支付请求，将商品单价字段从“1000”改成“1”，若后端未验证总金额与订单记录一致，就能以1元完成高价商品支付。结果实际后端返回支付成功，及时发现并修复了关键漏洞。
三、重放攻击验证：Fiddler保存并重发请求
重放攻击常见于支付、登录等场景：攻击者通过保存一次成功的请求，多次发送给后端，重复执行支付或登录操作。Fiddler可用Session直接重放任何请求，验证后端是否具备防重放机制。
操作
- 用Fiddler记录一次正常请求，如支付或验证码验证；
- 隔几分钟或几小时后重放同一请求；
- 若后端无Token失效或Nonce机制，重放请求可再次成功执行，说明存在重放漏洞。
四、Postman批量模拟恶意请求
虽然Fiddler可修改请求，但若需要验证接口在不同参数组合下的行为，批量模拟恶意输入更适合用Postman完成。将Fiddler中记录的请求导入Postman Collection，快速批量发送不同非法参数组合。
如：
- 参数中注入SQL或脚本；
- 极值数字（如超大ID、负数金额）；
- 空字符串、null值。
Fiddler可监听Postman请求流量，并对每次响应做详细比对。
五、接口暴露验证：Fiddler扫描未使用的API
很多项目上线后会遗留开发、测试阶段的接口，如果这些接口没有下线或受限，将成为潜在攻击入口。Fiddler可导入接口列表，通过快速请求并查看响应状态，检测接口是否被错误地暴露。
例如，曾有项目保留了/api/test/debug接口，在生产环境仍返回数据库信息，通过Fiddler扫描及时发现并关闭。
六、底层协议漏洞：Wireshark检查明文敏感信息
如果API未使用HTTPS或对某些请求未做加密，可能在传输过程中泄露敏感信息。Wireshark可直接抓取TCP流量，查看是否存在明文用户名、密码、Token等。
在一次移动App安全检查中，Wireshark发现上传文件接口未走HTTPS，传输中直接包含用户认证信息，暴露重大安全风险。
七、复现漏洞与形成修复建议：Session文件留痕
发现漏洞后，单靠文字描述往往难以让开发或管理层理解问题严重性。Fiddler的Session文件可将问题过程完整记录：包含每次修改、响应结果，并可用截图配合报告，让修复方快速重现并验证漏洞修复有效性。
总结：API安全不止于防御，更要主动验证
Fiddler在API安全中扮演的角色不仅是“观察者”，更是“模拟攻击者”，帮助开发团队站在黑客视角验证安全性；Postman批量组合恶意输入，Wireshark深入传输层验证加密实现，三者结合可覆盖从参数验证到网络加密的全面安全防护。
| 安全环节 | 工具组合 | 优势说明 |
|---|---|---|
| 未授权访问验证 | Fiddler断点 | 模拟缺失Token场景，发现鉴权漏洞 |
| 参数篡改测试 | Fiddler断点 | 修改关键参数验证后端校验 |
| 重放攻击验证 | Fiddler Session重发 | 验证是否具备防重放机制 |
| 批量恶意输入 | Postman + Fiddler | 快速验证接口边界、输入合法性 |
| 底层传输安全 | Wireshark | 检查是否有敏感信息明文传输 |
| 漏洞复现与沟通 | Fiddler Session保存 | 记录问题过程，方便跨部门修复与确认 |
更多Fiddler使用教程及API安全相关文章可访问 Fiddler中文网（https://telerik.com.cn/）。