Как вы используете снифферы трафика (Wireshark, Fiddler) для тестирования?

А, слушай, смотри, вот эти ваши снифферы — это ж такая штука, блядь, которая как подслушивающее устройство, только для твоего интернета. Всё, что туда-сюда ползает, можно поймать, разглядеть и даже, сука, подменить. Для тестирования API, безопасности — вообще незаменимая вещь, ёпта.

Так, на чём же остановиться, чтоб не облажаться?

• Fiddler или Charles Proxy: Это, блядь, для ленивых гениев, то есть для нас, тестировщиков. Работают на уровне приложений (HTTP/HTTPS, WebSockets). У них интерфейс, чтоб его, человеческий. Всё, что в браузере или с телефона летит — перехватывается на раз-два. Хочешь запрос на лету подправить? Пожалуйста! Хочешь серверу в ответе мозги заморочить? Запросто!
• Wireshark: А вот это, сука, уже тяжёлая артиллерия. Уровень сетевых пакетов (Ethernet, TCP/IP, TLS). Тут уже не просто «ой, JSON кривой», а можно до самых низов докопаться: почему соединение рвётся, как там шифрование поживает, кто кому какую дичь по проводам шлёт. Мощно, но и мозги подвешивает иногда, блядь.

И куда это всё применить, спросишь? А вот куда, в рот меня чих-пых!

1. Тестирование API через Fiddler — просто песня:

• Что летит, то и ловим: Смотрим, на тот ли адрес запрос ушёл, те ли заголовки (особенно этот ваш Authorization, а то вдруг его забыли), тело JSON'а не кривое ли.
• Весёлые манипуляции, ёбана:
  • Breakpoints: Поставил брейкпоинт — и всё замерло. Можешь запрос или ответ как хошь изменить, прямо перед отправкой. Красота!
  • AutoResponder: Вообще магия, блядь. Серверу можно подсунуть свой файлик с ответом. Хочешь проверить, как твоё приложение отреагирует на ошибку 500? Бам — и эмулировал!

    // Смотри, как просто в Fiddler'е наколдовать подмену ответа
    if (oSession.HostnameIs("api.example.com") && oSession.uriContains("/user")) {
    oSession["x-replywithfile"] = "C:\test_responses\user_500_error.json";
    }

• Скорость — не последнее дело: Засекай, сколько времени ответ идёт, какой он жирный по размеру. Вдруг там картинки по 10 мегабайт в API шлют, ебушки-воробушки!

2. Тестирование безопасности через Wireshark — тут уже волнение ебать:

• Шифрование или нет? Главный вопрос. Запустил Wireshark, начал что-то делать в приложении — и смотри, не мелькает ли где открытый, читаемый текст в HTTP. Если мелькает — пиши пропало, это пиздец. Всё должно быть в HTTPS (TLS), и точка.
• Утечки ищем: Можно отфильтровать трафик по словам «password», «token», «email». Если они всплывают в незашифрованном виде — ну ты понял, пора бить тревогу и бежать к разработчикам с криком «Что вы делаете, мудаки?!».
• Копаемся в TLS: Самые дотошные могут разобрать рукопожатие и проверить, не использует ли сервер какие-нибудь древние, дырявые шифры. Но это уже для параноиков высшей лиги.

3. Отладка сетевого бардака:

• Соединение обрывается на ровном месте? Wireshark покажет, где TCP пакеты теряются и кто виноват.
• Долго всё грузится? Посмотри на задержки между пакетами.
• Вообще ничего не работает? Проверь, а идут ли DNS-запросы и получаешь ли ты в ответ айпишник. Бывает и такое, ёпта.

Важный момент, без которого нихуя не получится: Чтобы эти хитрожопые инструменты могли заглянуть в HTTPS-трафик (который по умолчанию шифрованный), им нужно внедрить в систему свой корневой сертификат. Проще говоря, ты должен сказать своему компьютеру или телефону: «Слушай, вот этому Fiddler'ю я доверяю как родному, пусть он всё читает». Без этого шага увидишь только кучу зашифрованной абракадабры. Так что не забудь это сделать, а то сиди и думай, э бошка, почему ничего не работает!