抓包从入门到放弃（

0x00 前言#

所谓抓包，说白了就是把客户端和服务器之间的“对话”偷偷记下来，让你能看到。

平时你打开一个网页、登录一个 App、点一下刷新、提交一个表单，背后其实都在发 HTTP 请求。这些请求里藏着很多信息：访问的地址是啥、用了什么方法、带了哪些参数、有没有带 Cookie、服务器返回了什么数据……抓包工具的作用，就是把这些原本藏在程序背后的东西翻出来给你看。

通过抓包，你能知道：

• 点这个按钮，到底调用了哪个接口？
• 发请求时带了哪些参数？
• 服务器返回了什么内容？
• 请求失败到底卡在哪一步？

对于开发人员来说，抓包可以调试接口、排查登录问题、分析参数传没传对、确认前后端数据是否一致。 对于普通学习者来说，抓包也能帮你搞明白浏览器、App 和服务器之间到底怎么“聊天”的。

举个例子：
某个 App 弹窗说“网络错误”，你以为是没网了？其实可能是服务器拒绝了请求，或者你的登录凭证失效了。用抓包一看，哦，原来服务器返回了“401 未登录”。这一下就清楚了。

所以，这篇文章不扯太深的原理，也不讲底层网络协议。
我们就从最实用、最常见的 HTTP 抓包开始，看看它能干什么、怎么用，以及为什么很多人学着学着就“放弃”了。

0x01 HTTP 抓包是什么？#

HTTP 抓包，本质上就是把一次“你看不见的后台网络请求”变成“你能读懂的聊天记录”。

没有抓包之前，你只能看到页面上的结果：

• 登录成功 / 登录失败
• 加载出来了 / 加载失败了
• 按钮点了没反应
• 提示“网络错误”

这些提示往往很模糊，就像有人只说“出错了”，但不说哪里错了。

而有了抓包，你就能看到完整的“聊天记录”。比如：

客户端说：

1
GET /api/user/profile HTTP/1.1
2
Host: example.com
3
Authorization: Bearer xxxxx

服务器回答：

1
{
2
  "code": 401,
3
  "message": "token expired"
4
}

这样一来，“网络错误”就不再是个谜。你可以清楚地看到：

• 请求有没有发出去？
• 发到哪个地址去了？
• 参数带全了吗？
• Cookie 或 Token 还有效吗？
• 服务器返回了什么状态码？
• 返回的数据对不对？

0x02 一次 HTTP 请求里通常有什么？#

一次 HTTP 请求，就像你给一个人写信。信上有收件地址、你的名字、你要说的事情，还有附带的资料。

常见的几个部分：

• 请求地址（URL）：就像收件地址，告诉服务器你要找谁。例如 https://example.com/api/user
• 请求方法：你是去“拿东西”（GET），还是“交东西”（POST），或者“改东西”（PUT）、“删东西”（DELETE）
• 请求头（Headers）：附带的说明，比如“我是用什么浏览器发起的”、“我带着什么 Token”
• 请求参数：具体要问的内容。比如 ?id=10001 表示“我要 id 是 10001 的用户信息”
• Cookie / Token：相当于你的身份证或会员卡，告诉服务器“我是谁”
• 响应状态码：服务器回复的“处理结果”，比如 200 表示“一切正常”，404 表示“你找的东西不存在”
• 响应内容：服务器给你的具体数据，通常是 JSON 格式，也可能是 HTML 网页或图片

举个例子，你在浏览器里访问 https://example.com/api/user?id=10001，其实就是发了一个 GET 请求，意思是：“嘿，服务器，把 id 为 10001 的用户信息给我。”

如果是登录，一般用 POST 请求，就像填写一张表格交给服务器：

1
POST https://example.com/api/login
2
Content-Type: application/json
3

4
{
5
  "username": "张三",
6
  "password": "123456"
7
}

0x03 为什么 HTTPS 是加密的，还能被抓包？#

你可能听说过，HTTPS 是加密的，中间人看不到内容。那为什么抓包工具还能看到呢？

其实，抓包工具并没有“破解”加密。它更像是在 “假装自己是服务器”。（两头骗哈哈）

具体来说，抓包工具会在你电脑或手机上设置一个代理。你的请求会先发给抓包工具（如果遵循了系统代理的情况下），然后抓包工具再转发给真正的服务器。就像这样：

1
你的 App → 抓包工具（假装是服务器） → 真正的服务器

对于你的 App 来说，抓包工具就是服务器。对于真正的服务器来说，抓包工具就是个普通客户端。

但是 HTTPS 有证书验证，为了防止别人冒充，App 会检查服务器的证书。为了让抓包工具能成功“冒充”，你需要把抓包工具自己签发的根证书安装到你的设备上，并信任它。（也就是自己信得过自己）

不过，现在很多 App 会做额外的保护，比如“证书绑定”（SSL Pinning）。它们会写死只信任某个特定证书（这就是正常情况： 我只信得过我自己背下来的东西 ），就算你安装了抓包证书也没用。

0x04 常见的 HTTP 抓包工具#

抓包工具挺多的，不同情况下用不同的。下面这些是比较常见的：

如果你只是看看网页接口，直接用浏览器自带的开发者工具就行。

打开 Chrome 或 Edge，按键盘上的 F12，然后点 Network 标签。刷新页面，就能看到所有请求。

0x05 浏览器里怎么简单 “抓包” ？#

用浏览器开发者工具抓包，按下面几步走就行：

1. 打开你要看的网页
2. 按 F12/ Ctrl+Shift+I 打开开发者工具
3. 点击顶部的 Network / 网络 标签
4. 刷新页面（或者点一下页面上的按钮）
5. 在列表里点击某一条请求
6. 右边会出现三个常用标签：Headers、Payload、Response

   

具体看什么？

1
Request URL: https://phira-mp-status-test.dmocken.top/api/check?server=yee.autos:2000
2
Request Method: GET
3
Status Code: 200

1
{
2
  "success": true,
3
  "server": "yee.autos:2000",
4
  "timestamp": "2026-04-28T11:04:47.211Z",
5
  "total_response_time": 305,
6
  "login_time": 0,
7
  "token_from_cache": true,
8
  "login_method": "cache",
9
  "kv_overhead_time": 42,
10
  "connect_time": 93,
11
  "server_response_time": 170,
12
  "tcp_total_time": 263,
13
  "message": "连接成功并收到有效响应",
14
  "stage": "SUCCESS",
15
  "backoff_status": {
16
    "active": false,
17
    "consecutive_failures": 0,
18
    "current_delay_ms": 0,
19
    "remaining_time_ms": 0
20
  }
21
}

1
{
2
  "success": false,
3
  "message": "尝试登录失败"
4
}

0x06 状态码怎么看？#

HTTP 状态码是服务器给的“一句话总结”。你可以把它理解为服务员对上菜结果的快速反馈：

例子：

1
{
2
  "success": false,
3
  "message": "参数错误"
4
}

虽然状态码是 200，但业务上是失败的。

0x07 抓包常用来解决什么问题？#

抓包最实用的地方就是帮你找到问题到底出在哪。

0x08 抓包时要注意什么？#

抓包虽然好用，但也有一些坑和雷区。

尤其是抓 HTTPS 的时候，你会看到 Cookie、Token、手机号、邮箱这些敏感信息。如果随便截图发到网上，可能会泄露隐私。

一个安全的做法是把敏感字段替换成奇奇怪怪的东西，比如：

1
Authorization: Bearer 114514191919810
2
Cookie: abcdefghijklmnop
3
phone: 13888888888

0x09 抓包为什么会“从入门到放弃”？#

因为一开始你会觉得抓包很简单：

打开工具，设个代理，刷新页面，请求就出来了。

但当你真正开始用的时候，各种奇怪问题就来了：

• 代理设好了，但啥请求都没有（工具没抓到？）
• HTTPS 证书装了，但还是看不到内容（难道没生效？）
• 浏览器能抓到，换到 App 就抓不到了（App 不走代理？）
• App 一开代理就直接断网（它检测到代理了？）
• 请求列表一大堆，根本不知道看哪个
• 参数几十个，看得眼花缭乱
• 返回的内容被压缩、加密，或者乱码
• 接口有个签名，你改个参数就报错
• Token、Cookie、Session 混在一起，理不清

于是，抓包就从：

“我就想看看请求”
→ 一步步变成：
“为什么它不走代理？”
“为什么证书不管用？”
“为什么请求解不开？”
“为什么我改了一个参数就 403？”
“为什么这个 sign 每次都变？”

最后成功进入 “从入门到放弃” 的经典环节。

所以这篇文章的目标，不是教你怎么“突破一切限制”，而是先把最基础、最常见的 HTTP 抓包流程讲清楚。

你先知道自己看到了什么，再去理解为什么会这样。