HTTP Toolkit使用攻略 – 作者:漏斗社区

0x01介绍

HTTP Toolkit是一款开源的调试抓包工具，可以在https://github.com/httptoolkit找到该项目。它可以抓取和调试HTTP和HTTPS通讯的数据，适用于Windows，Mac，Android和Linux。它能够自动配置代理，使用方便简单，可进行数据包的监听、拦截与修改。它支持桌面浏览器，例如Chrome，Edge和Firefox；Android应用程序和浏览器；后端和脚本语言，例如 Node.js，Python和Ruby等。它通过使用Visual Studio Code的编辑器Monaco的功能，对JSON，HTML，JS，hex和其他内容进行突出显示和自动格式化，从而挖掘消息正文。

0x02下载和安装

前往官网https://httptoolkit.tech/即可下载免费版，有Windows、Linux和Mac版本

Windows版下载完后双击exe文件自动安装，安装目录在C:\Users\用户名\AppData\Local\httptoolkit

0x03使用方法

打开软件，可以点击对应的浏览器打开抓包程序，也可以进行安卓抓包或terminal抓包，该软件可以自动设置代理，关闭浏览器或窗口后自动关闭，非常方便。

1.浏览器抓包 
点击一个想要监控数据包的浏览器。

该软件打开了该浏览器并自动配置代理，无需手动配置。

点击View可以查看抓到的数据包。

可以点击下方的暂停标志来暂停或开启抓包。

可进行关键字搜索。

2.安卓软件抓包 
点击安卓抓包

下载HTTP Toolkit的app应用。

点击后跳转到谷歌商店，可以使用谷歌的油猴插件的Direct download from Google Play来进行下载。

安装好后打开app，选择Scan code扫描电脑上的二维码。

系统会自动设置VPN，连接到电脑客户端，然后就可以抓取安卓应用的包了。

3.Terminal抓包 
HTTP Toolkit可以抓取cURL、git、HTTPie、apt-get、Node、Ruby、Python、PHP、Perl等等的包，在Linux下启动软件，然后点击Fresh Terminal。

输入apt-get update获取更新的软件包列表信息。

可以看到抓到了apt-get命令的包。

4.修改数据包 
点击Mock可进入拦截配置界面。

点击增加新规则，在Match处选择拦截的请求类型。

然后选择目标的类型。

这里以百度为例，点击+号进行保存，可以继续添加目标，然后在右边选择拦截后的动作。

这里选择动作为拦截并修改，然后保存规则，再点击上方的保存改变。

规则可随时启动或关闭。

访问百度后可以看到包被拦截了，可以在左边选中包，在右边进行修改。

修改后可选择Resume发送包。

也可选择Response directly跳过请求包，自己编写响应数据。

0x04总结

该软件比起burp更像 fiddler，目前而言功能比较薄弱，只能抓包改包。安卓抓包方便快捷，算是优势之一。作为一个开源项目，这个软件的发展前途应该还不错。

参考链接：https://httptoolkit.tech/

来源：freebuf.com 2020-12-09 15:07:50 by: 漏斗社区