Fiddler

Fiddler ist ein kostenloser Web-Debugging-Proxy, der es Entwicklern und Sicherheitsexperten ermöglicht, HTTP/HTTPS-Verkehr zwischen einem Client (wie einem Webbrowser oder einer Anwendung) und einem Server auf einem Windows-System zu erfassen, zu inspizieren, zu modifizieren und wiederzugeben. Er agiert als Vermittler, indem er alle Netzwerk-Anfragen und -Antworten, die ihn passieren, abfängt und eine detaillierte Kontrolle und Sichtbarkeit der Webkommunikation bietet.

Fiddler als Ihr Proxy einrichten

Installation

Fiddler Classic kann von seiner offiziellen Telerik-Seite heruntergeladen werden. Die Installation erfolgt über einen standardmäßigen Windows-Setup-Assistenten. Beim ersten Start konfiguriert sich Fiddler typischerweise als System-Proxy.

Fiddlers Standard-Proxy-Konfiguration

Standardmäßig lauscht Fiddler auf 127.0.0.1:8888. Wenn Fiddler startet, ändert es automatisch die Windows-System-Proxy-Einstellungen, um den Verkehr über diese Adresse zu leiten. Wenn Fiddler geschlossen wird, stellt es normalerweise die ursprünglichen System-Proxy-Einstellungen wieder her. Diese automatische Konfiguration vereinfacht die Verwendung für das allgemeine Web-Debugging.

Erfassen von HTTPS-Verkehr

Um HTTPS-Verkehr zu inspizieren, muss Fiddler diesen entschlüsseln. Dies erfordert die Installation von Fiddlers Root-Zertifikat im vertrauenswürdigen Zertifikatsspeicher des Systems.

1. Navigieren Sie zu Tools > Options > HTTPS.
2. Aktivieren Sie Capture HTTPS CONNECTs.
3. Aktivieren Sie Decrypt HTTPS traffic.
4. Klicken Sie auf Actions und dann auf Trust Root Certificate. Bestätigen Sie alle Sicherheitsabfragen.

Sobald das Zertifikat vertrauenswürdig ist, kann Fiddler einen Man-in-the-Middle-Angriff auf HTTPS-Verbindungen durchführen, indem es temporäre Zertifikate für jede abgefangene Domain generiert, die von seiner vertrauenswürdigen Root signiert sind. Clients, die so konfiguriert sind, dass sie dem Fiddler-Root-Zertifikat vertrauen, senden den Verkehr dann ohne Sicherheitswarnungen über Fiddler.

Fiddler mit einem externen Upstream-Proxy integrieren

Organisationen nutzen oft Unternehmens-Proxys für Netzwerksicherheit, Inhaltsfilterung oder Zugriffskontrolle. Fiddler kann so konfiguriert werden, dass er seinen erfassten Verkehr über einen solchen Upstream-Proxy weiterleitet. Dies ermöglicht das Debuggen von Anwendungen hinter einem Unternehmens-Proxy, ohne die Sicherheitsinfrastruktur zu umgehen.

Fiddler zur Verwendung eines Upstream-Proxys konfigurieren

Um Fiddler mit einem bestehenden Proxy zu verketten:

1. Navigieren Sie zu Tools > Options > Gateway.
2. Wählen Sie eine der folgenden Optionen:
   • Use System Proxy: Fiddler versucht, die auf Betriebssystemebene konfigurierten Proxy-Einstellungen zu verwenden (z. B. in den LAN-Einstellungen des Internet Explorers). Dies ist das Standardverhalten.
   • Manual Proxy Configuration: Geben Sie einen benutzerdefinierten Upstream-Proxy an.
     • Wählen Sie Manual Proxy Configuration.
     • Geben Sie die Proxy-Adresse und den Port im Format hostname:port oder IP_address:port ein.
     • Beispiel: corporateproxy.example.com:8080.
     • Wenn der Upstream-Proxy eine Authentifizierung erfordert, aktivieren Sie Authenticate with upstream proxy und geben Sie die Anmeldeinformationen an.
3. Klicken Sie auf OK, um die Änderungen zu übernehmen.

Fiddlers Proxy-Verkettungsverhalten

Wenn Fiddler einen Upstream-Proxy verwendet, wird der Verkehrsfluss wie folgt:

Client (z.B. Browser) -> Fiddler (127.0.0.1:8888) -> Upstream Proxy -> Internet

Fiddler führt seine Erfassungs- und Entschlüsselungsfunktionen aus und leitet die (potenziell wieder verschlüsselte) Anfrage dann an den konfigurierten Upstream-Proxy weiter. Der Upstream-Proxy übernimmt dann die Weiterleitung an das endgültige Ziel. Diese Verkettung fügt einen zusätzlichen Hop hinzu, was zu einer geringfügigen Latenz führen kann.

Verkehr mit Fiddler analysieren

Die Sitzungsliste

Die primäre Oberfläche zeigt eine Liste der erfassten Sitzungen an. Jede Zeile repräsentiert eine HTTP/HTTPS-Anfrage und ihre entsprechende Antwort. Wichtige Spalten sind:
* Result: HTTP-Statuscode.
* Protocol: HTTP oder HTTPS.
* Host: Hostname des Zielservers.
* URL: Vollständige Anfrage-URL.
* Body: Größe des Antwortkörpers.
* Caching: Caching-Anweisungen.

Inspektoren

Der Tab "Inspectors" bietet detaillierte Ansichten ausgewählter Anfragen und Antworten.

• Request Inspectors:
  • Headers: Zeigt alle HTTP-Anfrage-Header an.
  • WebForms: Zeigt URL-kodierte Formulardaten an.
  • Raw: Präsentiert die vollständige rohe HTTP-Anfrage.
  • JSON/XML: Formatierte Ansicht für JSON/XML-Anfragekörper.
• Response Inspectors:
  • Headers: Zeigt alle HTTP-Antwort-Header an.
  • TextView: Klartextansicht des Antwortkörpers.
  • ImageView: Rendert Bildantworten.
  • Raw: Präsentiert die vollständige rohe HTTP-Antwort.
  • JSON/XML: Formatierte Ansicht für JSON/XML-Antwortkörper.

AutoResponder

Der Tab "AutoResponder" ermöglicht das Abfangen von Anfragen und das Beantworten mit lokalen Dateien oder benutzerdefinierten Daten, ohne den Server zu kontaktieren. Dies ist nützlich für:
* Mocking APIs: Simulieren von Serverantworten für Entwicklung und Tests.
* Testen von Fehlerbedingungen: Zurückgeben spezifischer HTTP-Statuscodes.
* Inhaltsmodifikation: Einfügen lokaler JavaScript- oder CSS-Dateien.

Regeln können mit exakten Übereinstimmungen, Wildcards oder regulären Ausdrücken definiert werden.

Composer

Der Tab "Composer" ermöglicht Benutzern, HTTP-Anfragen manuell zu erstellen und auszuführen. Dies ist nützlich für:
* Wiederholen von Anfragen: Erneutes Senden einer zuvor erfassten Anfrage, möglicherweise mit Änderungen.
* Testen von API-Endpunkten: Senden benutzerdefinierter Anfragen zur Überprüfung des API-Verhaltens.
* Fuzzing: Wiederholtes Senden von Anfragen mit variierten Parametern.

Benutzer können URL, Header und Anfragekörper vor dem Ausführen der Anfrage ändern.

Filter

Der Tab "Filters" ermöglicht das Filtern der Sitzungsliste, um sich auf relevanten Verkehr zu konzentrieren.
* Hosts: Anzeigen oder Ausblenden von Verkehr zu bestimmten Hostnamen.
* Processes: Filtern des Verkehrs nach dem ursprünglichen Windows-Prozess (z. B. nur Verkehr von chrome.exe anzeigen).
* URL Content: Ausblenden von Sitzungen, deren URL bestimmte Zeichenketten enthält.
* Status Codes: Nur Sitzungen mit bestimmten HTTP-Statuscodes anzeigen.

Beispiel-Filter, um nur Verkehr von einem bestimmten Host anzuzeigen:

// Im Bereich 'Hosts' die Option 'Show only traffic from the following Hosts' aktivieren
// 'example.com' zur Liste hinzufügen.

Häufige Anwendungsfälle für die Proxy-Analyse

Debugging von Webanwendungen

Fiddler hilft bei der Diagnose von Problemen wie:
* Falsch gesendete Anfrageparameter.
* Unerwartete Serverantworten oder Fehlercodes.
* Fehlende oder fehlerhafte HTTP-Header.
* Cross-Origin Resource Sharing (CORS)-Probleme.

Sicherheitstests

• Analyse des Authentifizierungsflusses: Abfangen von Anmeldeanfragen zur Überprüfung der sicheren Übertragung von Anmeldeinformationen.
• Identifizierung von Schwachstellen: Erkennen unverschlüsselter sensibler Daten, unsicherer HTTP-Header oder Fehlkonfigurationen.
• Sitzungsverwaltung: Analyse von Cookie-Attributen und der Verwendung von Sitzungstoken.

Performance-Optimierung

• Ressourcenladung: Identifizieren großer Assets, langsamer Ladezeiten oder ineffizienter Caching-Strategien (z. B. fehlende Cache-Control-Header).
• Anfrage-Overhead: Untersuchung der Anzahl und Größe von Anfragen zur Optimierung der Netzwerknutzung.

API-Entwicklung und -Tests

• API-Inspektion: Verstehen, wie eine Anwendung mit ihren Backend-APIs interagiert.
• API-Mocking: Verwendung des AutoResponders zur Simulation verschiedener API-Antworten für die clientseitige Entwicklung.
• Endpunkt-Validierung: Verwendung des Composers zum Testen von API-Endpunkten mit verschiedenen Payloads und Parametern.

Fiddler vs. andere Proxy-Tools

Fehlerbehebung bei Fiddler-Proxy-Problemen

Verkehr wird nicht angezeigt

• Fiddler-Erfassungsstatus: Stellen Sie sicher, dass File > Capture Traffic aktiviert ist (oder drücken Sie F12). Die Statusleiste sollte "Capturing" anzeigen.
• System-Proxy-Einstellungen: Überprüfen Sie, ob Fiddler den System-Proxy erfolgreich konfiguriert hat. Gehen Sie zu Tools > Options > Connections und stellen Sie sicher, dass Act as system proxy on startup aktiviert ist.
• Client-Konfiguration: Wenn Sie eine Nicht-Browser-Anwendung debuggen, stellen Sie sicher, dass sie für die Verwendung von Fiddlers Proxy (127.0.0.1:8888) konfiguriert ist.
• Firewall: Überprüfen Sie, ob eine Firewall Fiddlers Port oder den Netzwerkzugriff blockiert.

HTTPS-Entschlüsselungsfehler

• Zertifikatsvertrauen: Bestätigen Sie, dass das Fiddler-Root-Zertifikat korrekt im System und Browser installiert und vertrauenswürdig ist. Führen Sie Actions > Trust Root Certificate unter Tools > Options > HTTPS erneut aus.
• Anwendungsspezifische Vertrauensspeicher: Einige Anwendungen (z. B. mobile Apps, Java-Anwendungen) verwenden eigene Zertifikatsvertrauensspeicher, die den Systemspeicher umgehen. Diese erfordern möglicherweise eine manuelle Installation des Fiddler-Zertifikats in ihren spezifischen Vertrauensspeicher oder die Deaktivierung von Certificate Pinning.
• Abgelaufene Zertifikate: Stellen Sie sicher, dass das Fiddler-Root-Zertifikat nicht abgelaufen ist.

Upstream-Proxy-Konnektivität

• Korrekte Adresse/Port: Überprüfen Sie die Upstream-Proxy-Adresse und den Port unter Tools > Options > Gateway doppelt.
• Authentifizierung: Wenn der Upstream-Proxy eine Authentifizierung erfordert, überprüfen Sie die in Fiddler angegebenen Anmeldeinformationen.
• Netzwerkerreichbarkeit: Bestätigen Sie, dass die Maschine, auf der Fiddler läuft, den Upstream-Proxy-Server erreichen kann. Verwenden Sie ping oder telnet, um die Konnektivität zur IP und zum Port des Upstream-Proxys zu testen.
• Upstream-Proxy-Protokolle: Konsultieren Sie die Protokolle des Upstream-Proxys auf Verbindungsablehnungen oder Authentifizierungsfehler.