移动端抓包证书问题排查

2025年7月记录，分类「移动端逆向」。这篇按当时的测试现场整理，重点放在目标、动作和可复用的检查点。

抓包失败现象

移动端抓包失败不一定是工具问题，可能是证书未信任、代理没生效、系统版本限制、应用做了证书校验。

我更关注它在真实提测流程里怎么落地，而不是单独演示一个命令或脚本。

排查顺序

• 先确认手机代理、电脑 IP、端口和证书安装。
• 区分系统浏览器能抓到和 App 抓不到两种情况。
• 只在授权测试包里验证证书校验相关问题。

手机代理 -> 电脑IP:端口
系统证书信任 -> 浏览器验证
App请求 -> 判断是否证书校验失败

记录项

• 请求是否经过代理有明确证据。
• 系统版本和 App 版本记录完整。
• 不做绕过生产安全策略的操作。

执行时最好把截图、请求、响应、日志时间点放在一起，后面复盘会省很多事。

边界

抓包排查要把网络、证书、系统和应用策略分层看。后面遇到类似需求，可以先按这个结构跑一遍手工验证，再决定是否自动化。