Web debugging proxy spiegato: Fiddler, Charles, Burp Suite — come funzionano
Cos'è
Un web debugging proxy si posiziona tra browser (client) e server, intercettando richieste/risposte HTTP(S) per ispezione, modifica e replay.
Tool principali
| Tool | Piattaforma | Punti di forza | Costo |
|---|---|---|---|
| Fiddler Classic / Everywhere | Win / Mac / Linux | Decifra HTTPS automatico, scriptabile (JScript/TS), Composer, AutoResponder | Gratis / $10/mese |
| Charles Proxy | Mac / Win / Linux | UI rifinita, limitazione, ripeti/modifica, viste Focus/Sequence | Licenza $50 |
| Burp Suite Community / Pro | Java (qualsiasi) | Scanner (Pro), Intruder, Repeater, Sequencer, Estensioni (BApp Store) | Gratis / $449/anno |
| mitmproxy | CLI / Web UI | Scriptabile (Python), modalità trasparente, leggero | Gratis (OSS) |
| Proxyman | Mac / iOS | UI nativa Apple, cattura remota iOS via USB | Gratis / $69 |
Nozioni di base per la configurazione
- Installa proxy; nota la porta (default 8888 Fiddler, 8888 Charles, 8080 Burp).
- Installa certificato root CA (proxy → HTTPS → Trust).
- Configura proxy browser/sistema:
127.0.0.1:PORTA. - Per dispositivi mobili: imposta proxy Wi-Fi su IP computer:PORTA; installa CA sul dispositivo.
Flussi di lavoro comuni
- Debug API: Ispeziona payload JSON, intestazioni, latenza.
- Riproduzione bug: Modifica richiesta (cambia user-id, parametri) → riproduci.
- Performance: Timeline a cascata, identifica risorse di blocco.
- Test di sicurezza: Burp Scanner, test manuali XSS/CSRF/SQLi.
- Reverse engineering app mobile: Bypass pinning (Frida + proxy).
Etica/Legale
Intercetta solo traffico di tua proprietà o per cui hai esplicito permesso di testare. L'intercettazione non autorizzata viola le leggi sull'intercettazione (ECPA, GDPR, CMA).