Fiddler Classic — бесплатная и без подвохов программа, огненная находка

Категория: Сеть и интернет · Лицензия: Proprietary Free · Платформа: Windows / macOS / Linux (зависит от программы)

Fiddler Classic — старый добрый HTTP/HTTPS-снифер

Веб-дебаг-прокси для Windows. Создан Эриком Лоуренсом в 2003-м во времена работы в Microsoft, потом куплен Telerik (сейчас Progress). Fiddler Classic — это оригинальная версия, написанная на .NET Framework, бесплатная для индивидуального использования. Существует ещё Fiddler Everywhere — кроссплатформенный наследник на Electron с подпиской, но многие до сих пор предпочитают Classic за скорость и привычность.

Как работает

Fiddler поднимает на 127.0.0.1:8888 локальный HTTP-прокси, прописывается в системные настройки прокси Windows. Весь HTTP-трафик с машины (браузеры, .NET-приложения, нативные программы, которые уважают системный прокси) идёт через него и логируется. Для HTTPS Fiddler генерирует собственный корневой CA-сертификат, который надо доверить системе — тогда он расшифровывает TLS-трафик в реальном времени (MITM на самого себя).

Что показывает

• Каждый запрос — метод, URL, заголовки, тело, размер, время, статус ответа.
• Сырое тело запроса и ответа с автоматическим декодированием gzip/brotli/deflate.
• Парсеры для JSON, XML, форм, multipart, бинарных протоколов.
• Timeline — гистограмма по времени для всей сессии.
• WebSocket — отдельный таб с фреймами.
• Cookies, кеш, заголовки авторизации — отдельные инспекторы.

Что умеет менять на лету

• Breakpoints на запросах и ответах — приостанавливаешь, редактируешь, продолжаешь.
• AutoResponder — подменяешь ответ сервера на свой (заранее заготовленный JSON, файл с диска, заглушка). Полезно для тестирования edge-кейсов без поднятия моков.
• Composer — отправляешь произвольные HTTP-запросы вручную, тестируешь API.
• FiddlerScript на JScript.NET — пишешь правила обработки трафика на лету (логировать только определённые URL, переписывать заголовки массово, добавлять задержки для симуляции медленной сети).

Плюсы Classic-версии

• Запускается мгновенно, не Electron.
• Бесплатна для индивидуального использования.
• Огромная база готовых FiddlerScript-сниппетов в интернете за 20+ лет.
• Лёгкая — 50 МБ установка, 200 МБ RAM в работе.

Минусы

• Только Windows. На Mac/Linux — нет.
• UI из эпохи WinForms — функционально, но не модно.
• Не развивается активно — Progress сфокусирован на Everywhere. Classic в режиме поддержки.
• HTTP/2 поддержан, но не так глубоко, как в более новых инструментах.
• Для глубокой работы с QUIC/HTTP3 нужны другие инструменты.

Альтернативы

• Burp Suite — стандарт для веб-пентеста, в Community-версии бесплатный. Сильнее в области безопасности (Repeater, Intruder).
• OWASP ZAP — open-source аналог Burp.
• mitmproxy — кроссплатформенный CLI/TUI/Web, на Python, скриптуется. Любимый инструмент тех, кто не любит GUI.
• Charles Proxy — платный, очень популярен у iOS/Android разработчиков.
• Proxyman — modern macOS-native конкурент Charles.
• Fiddler Everywhere — кроссплатформенный наследник, по подписке.

Типичные задачи

Отладка REST API клиента, который шлёт неправильные заголовки. Перехват трафика мобильного приложения (телефон в той же сети, прокси на ПК, сертификат Fiddler установлен на телефоне). Реверс-инжиниринг недокументированных API. Проверка, что приложение не утекает токены в URL. Симуляция ответов сервера для тестирования error handling.

Кому

Web/backend-разработчикам на Windows. QA-инженерам. Тем, кто отлаживает интеграции с третьим API и хочет видеть точные запросы и ответы. Не для глубокого пентеста — для этого Burp Suite. Не для Mac/Linux — для этого mitmproxy или Charles.