系统级抓包本篇教你用「系统级抓包」抓下macOS 系统自带 App和那些顽固、藏得很深的应用不进入程序、不碰证书只从系统底层旁路观测把连别的抓法都够不着的目标也读成明文。这是本机抓法的最后一张底牌——前面几种都拿不下时用它。一、什么时候用这种抓法适合你满足下面任一条想看macOS 系统自带 App / 系统服务App Store、系统组件、后台服务等在跟服务器说什么。目标是顽固、藏得很深的第三方应用拒绝一切外部介入代理进不去、从程序内部取明文也被挡在门外。前面几种抓法都试过了——代理被拒、应用层抓包 拒绝介入、网卡上只剩一堆密文——还是要拿到明文。如果只是常规程序浏览器 / 脚本 / CLI用 指定程序抓包 或 应用层抓包 更省事系统级抓包属于杀鸡用牛刀。二、前置条件运行在macOS上本篇讲的是 macOS 系统级抓法。已安装并启动 TraceEagle第一次启动时同意系统权限即可。知道要抓的目标一个正在运行的程序或它的程序路径 / 名称。无需装证书、无需改系统代理——这种抓法不做中间人、不碰证书。三、开始抓三步抓下第一条新建会话选择「本机系统级抓包」。选目标从下拉里选一个正在运行的程序或直接填程序路径 / 名称。可选抓「启动那一刻」勾上后工具会先把目标关掉、再由自己拉起把启动初期的流量也一并抓到——很多鉴权、握手就发生在这一瞬间不勾容易漏掉。点开始。工具会从系统底层旁路观测这个程序读出它收发的明文。让目标程序产生网络请求在系统 App 里点一下会联网的操作流量就会实时出现在请求列表里。四、验证确认抓到并解密了在请求列表点开任意一条看详情能看到请求请求行、请求头、body 都在。TLS 显示「已解密」请求与响应是可读的明文如 JSON不是乱码密文。系统级抓包不注入、不改动程序、不碰证书所以哪怕目标做了严格的证书校验也影响不到这里读出的明文。五、抓不到 / 解不开逐条排查现象多半是怎么办选不到目标 / 下拉里没有程序还没运行先把目标程序跑起来再回来在下拉里选或直接填程序路径 / 名称抓到了但漏了最开头的握手 / 鉴权关键流量发生在启动初期开抓时已经过去了勾上抓「启动那一刻」让工具先关掉目标、再拉起把启动初期一并覆盖一条流量都没有选错了目标或该程序此刻没联网确认选的是真正在联网的那个程序触发一次会联网的操作再看常规程序也想用它系统级抓包对普通程序是杀鸡用牛刀常规程序改用 指定程序抓包能命令启动或 应用层抓包已在运行六、本机四种抓法怎么选你的情况用哪种macOS 上的系统自带 App、顽固应用别的方式抓不到系统级抓包本篇程序已在运行 / 证书绑定 / 不认代理 / 自研加密应用层抓包能用命令启动的常规程序浏览器 / 脚本 / CLI指定程序抓包想看整机全部流量、非 HTTP 流量网卡抓包下一步抓到之后怎么读、怎么切换视图、怎么解码见 数据查看与解码。遇到私有 / 自研协议、想自己教它怎么读见 自定义协议解码。想改请求再发、或半路拦下来手动改见 请求构造与重放、规则改写与断点拦截。项目地址https://traceeagle.com/zh/