详细聊聊软件测试中的接口与抓包问题（下）

lsekfe

8、接口抓包测试工具Charles/Fiddler
　　作用： 1.抓取网络封包 （web/app）
　　2.断点替换  -- 请求断点
　　-- 响应断点
　　3.弱网测试
　　4.过滤
　　5.黑名单
　　Charles的原理：
　　Charles是一款Http代理服务器和Http监视器，当移动端在无线网连接中按要求设置好代理服务器，使所有对网络的请求都经过Charles客户端来转发时，Charles可以监控这个客户端各个程序所有连接互联网的Http通信。
　　① 安装Charles客户端
　　打开浏览器访问Charles官网https://www.charlesproxy.com/，下载相应系统的Charles安装包，然后一键安装即可。
　　② 傻瓜式安装charles
　　③ 抓取移动设备发送的Http请求。
　　1、先将移动设备连接到Charles客户端。首先在电脑中输入cmd打开命令行窗口，输入ipconfig查看本机连接无线网络的IP地址，这个地址作为移动设备连接Charles客户端的代理地址。

2、打开Charles客户端，点击Proxy->Proxy Settings菜单，可以设置移动设备连接到Charles的端口（8888），这样移动设备代理配置需要的ip地址和端口号都有了。

3、打开手机wifi，设置所连接的wifi的代理网络；wifi代理设置为手动，代理的服务器ip填写上一步骤中查看到的电脑ip，端口填写上一步骤提到的charles的服务端口：

注意：移动设备配置之后，第一次通过手机访问手机中的发送请求时，Charles会弹出提示框，提示有设备尝试连接到Charles，是否允许，如果不允许的话，手机发送请求失败，点击Allow允许，这样这个设备的IP地址就会添加到允许列表中，如果错误点击了Deny可以重启Charles会再此提示，或者通过Proxy->Access Control Settings手动添加地址，如果不想每个设备连接Charles都要点击允许的话，可以添加0.0.0.0/0允许所有设备连接到Charles。
　　4、Charles是通过将自己设置成代理服务器来完成抓包的，勾选系统代理后，本地系统（如果通过浏览器发送请求）发送出去的请求都能被截取下来。因此，如果想只抓取手机APP发送的请求的话，可以不勾选WindowsProxy选项，这样在测试时就不会被本机Http请求所干扰。

5、如果想要抓取浏览器发送的请求包，勾选WindowsProxy选项之后还是抓取失败，可能是浏览器没有设置成使用系统的代理服务器，只要设置成使用系统的代理服务器，或者将浏览器的代理服务器设置成127.0.0.1:8888也可以成功。
　　④ 启动手机，打开软件，就可以进行联网抓包测试
　　Charles提供两种查看封包的页签，一个是Structure（结构），另一个是Sequence（序列），Structure用来将访问请求按访问的域名分类，Sequence用来将请求按访问的时间排序。任何程序都可以在Charles中的Structure窗口中看到访问的域名。



⑤ 过滤不必要的网络包
　　在抓取手机发送的请求时，有许多请求包是对图片等不需要关注的资源的请求，我们只想对指定目录服务器上发送的请求进行抓取，这时候就可以通过过滤网络包的方式实现。有两种实现方式：
　　1）选择Proxy->Recording Settings菜单，然后在include栏添加需要抓取包的指定服务器请求协议、地址、端口号，也可以在exclude栏添加不抓取包的地址。


在主界面的中部的 Filter 栏中填入需要过滤出来的关键字。例如我们的服务器的地址是：http://blog.csdn.net, 那么只需要在 Filter 栏中填入 csdn 即可。

　⑥ Charles抓包详解


Filter ： 过滤，可以输入关键字来快速筛选出 URL 中带指定关键字的网络请求
　　Overview ： 查看这次请求的详细内容，例如耗时详细列车了请求开始时间、结束时间，响应开始时间、结束时间，总耗时、DNS耗时、网络延时等。
　　对于Size也详细列出了请求头大小、响应头大小、压缩比例等内容。
　　URL：进行网络请求的链接；
　　Status：当前状态，complete表示请求完成；
　　Responce Code：返回码。不同的接口，不同的请求结果，返回码都不同；
　　Protocol：使用的协议；
　　Method：请求方式，如GET请求，POST请求等；
　　Kept Alive：判断当前是否正在链接（活跃）；
　　Content-Type:发送的内容类型，如这里用的是XML文本，以UTF8的方式发送；
　　Client Address：客户端的IP地址；
　　Remote Address：远程服务器的IP；
　　Timing:
　　Request Start Time：请求开始的时间；
　　Request End Time：请求结束的时间；
　　Response Start Time：返回开始的时间；
　　Response End Time : 返回结束的时间；
　　Duration : 总时间；
　　Size:
　　Request Header ：请求的头部大小；
　　Response Header：返回的头部大小；
　　Request : 请求发送的大小；
　　Response：返回数据的大小；
　　Total：所有数据大小；
　　Request Compression : 请求压缩；
　　Response Compression : 返回压缩；
　　Request ： 查看请求内容（底下的Headers，Query String，Cookies，Raw。）
　　Headers：发送请求的头部信息；
　　Query String : 发送参数列表；
　　Cookies： 浏览器缓存；
　　Raw：发送的原生数据，包括了头部和参数；
　　Reponse : 查看响应内容
　　Headers：是返回的头部信息；
　　Text：返回信息（除去头部）后的文本；
　　Hex：返回信息的16进制表示；
　　XML：我返回的数据是XML。如果你返回的是JSON，这里就会显示JSON；
　　XML Text：如果你返回JSON，这里会显示JSON Text；
　　Raw：返回的所有原生数据，包括头部；
　　Summary: 查看发送数据的一些简要信息（主机，状态码，数据的类型，header和body大下，加载时间，总时间）
　　Chart: Summary中简要信息以图表形式展示
　　Notes: 其他信息
　　9、SoupUI测试
　　SoapUI是一个开源测试工具，通过soap/http来检查、调用、实现Web Service的功能/负载/符合性测试。该工具既可作为一个单独的测试软件使用，也可利用插件集成到Eclipse，maven2.X，Netbeans 和intellij中使用。SoapUI Pro是SoapUI的商业非开源版本，实现的功能较开源的SoapUI更多。
　　SoapUI是一个自由和开放源码的跨平台功能测试解决方案。通过一个易于使用的图形界面和企业级功能，SoapUI让您轻松，快速创建和执行自动化功能、回归、合规和负载测试。在一个测试环境，SoapUI提供完整的测试覆盖，并支持所有的标准协议和技术。
　　9.1、WebService
　　WebService是一种跨编程语言和跨操作系统平台的远程调用技术。
　　所谓跨编程语言和跨操作平台，就是说服务端程序采用java编写，客户端程序则可以采用其他编程语言编写，反之亦然！跨操作系统平台则是指服务端程序和客户端程序可以在不同的操作系统上运行。
　　所谓远程调用，就是一台计算机a上 的一个程序可以调用到另外一台计算机b上的一个对象的方法，譬如，银联提供给商场的pos刷卡系统，商场的POS机转账调用的转账方法的代码其实是跑在银 行服务器上。再比如，amazon，天气预报系统，淘宝网，校内网，百度等把自己的系统服务以webservice服务的形式暴露出来，让第三方网站和程 序可以调用这些服务功能，这样扩展了自己系统的市场占有率，往大的概念上吹，就是所谓的SOA应用。
　　其实可以从多个角度来理解 WebService，从表面上看，WebService就是一个应用程序向外界暴露出一个能通过Web进行调用的API，也就是说能用编程的方法通过 Web来调用这个应用程序。我们把调用这个WebService的应用程序叫做客户端，而把提供这个WebService的应用程序叫做服务端。从深层次 看，WebService是建立可互操作的分布式应用程序的新平台，是一个平台，是一套标准。它定义了应用程序如何在Web上实现互操作性，你可以用任何 你喜欢的语言，在任何你喜欢的平台上写Web service ，只要我们可以通过Web service标准对这些服务进行查询和访问。
　　9.2、SOAP
　　WebService通过HTTP协议发送请求和接收结果时，发送的请求内容和结果内容都采用XML格式封装，并增加了一些特定的HTTP消息头，以说明 HTTP消息的内容格式，这些特定的HTTP消息头和XML内容格式就是SOAP协议。SOAP提供了标准的RPC方法来调用Web Service。
　　SOAP协议 = HTTP协议 + XML数据格式
　　SOAP协议定义了SOAP消息的格式，SOAP协议是基于HTTP协议的，SOAP也是基于XML和XSD的，XML是SOAP的数据编码方式。打个比 喻：HTTP就是普通公路，XML就是中间的绿色隔离带和两边的防护栏，SOAP就是普通公路经过加隔离带和防护栏改造过的高速公路。
　　9.3、WSDL
　　比我们去商店买东西，首先要知道商店里有什么东西可买，然后再来购买，商家的做法就是张贴广告海报。 WebService也一样，WebService客户端要调用一个WebService服务，首先要有知道这个服务的地址在哪，以及这个服务里有什么方 法可以调用，所以，WebService务器端首先要通过一个WSDL文件来说明自己家里有啥服务可以对外调用，服务是什么（服务中有哪些方法，方法接受 的参数是什么，返回值是什么），服务的网络地址用哪个url地址表示，服务通过什么方式来调用。
　　WSDL(Web Services Description Language)就是这样一个基于XML的语言，用于描述Web Service及其函数、参数和返回值。它是WebService客户端和服务器端都 能理解的标准格式。因为是基于XML的，所以WSDL既是机器可阅读的，又是人可阅读的，这将是一个很大的好处。一些最新的开发工具既能根据你的 Web service生成WSDL文档，又能导入WSDL文档，生成调用相应WebService的代理类代码。
　　WSDL 文件保存在Web服务器上，通过一个url地址就可以访问到它。客户端要调用一个WebService服务之前，要知道该服务的WSDL文件的地址。 WebService服务提供商可以通过两种方式来暴露它的WSDL文件地址：
　　9.4、SoupUI安装

破解步骤：
　　安装后，替换“..\SmartBear\soapUI-Pro-4.5.1\lib”下的 Protection-4.6.jar 文件；
　　运行程序bin\soapui-pro.bat，导入scz.key即可；
　　破解完成。

　① 安装不能够连接webservice问题解决
　　找到bin中vmoptions文件。


　9.5、创建webService测试
　　http://fy.webxml.com.cn/webservices/EnglishChinese.asmx
　　http://fy.webxml.com.cn/webservices/EnglishChinese.asmx?wsdl
　　10、接口测试复习
　　10.1、常见接口：
　　1、webService接口：是走soap协议通过http传输，请求报文和返回报文都是xml格式的，我们在测试的时候都用通过工具才能进行调用，测试。可以使用的工具有SoapUI、jmeter、loadrunner等；
　　2、http api接口：是走http协议，通过路径来区分调用的方法，请求报文都是key-value形式的，返回报文一般都是json串，有get和post等方法，这也是最常用的两种请求方式。可以使用的工具有postman、RESTClient、jmeter、loadrunner等；
　　10.2、接口组成
　　接口都有那些部分组成：
　　1、接口说明
　　2、调用url
　　3、请求方法（get\post）
　　4、请求参数、参数类型、请求参数说明
　　5、返回参数说明
　　由接口文档可知，接口至少应有请求地址、请求方法、请求参数（入参和出参）组成，部分接口有请求头header。
　　标头 (header)：是服务器以HTTP协议传HTML资料到浏览器前所送出的字串，在标头与 HTML 文件之间尚需空一行分隔，一般存放cookie、token等信息
　　有同学问我header和入参有什么关系？它们不都是发送到服务器的参数吗？
　　首先，它们确实都是发送到服务器里的参数，但它们是有区别的，header里存放的参数一般存放的是一些校验信息，比如cookie，它是为了校验这个请求是否有权限请求服务器，如果有，它才能请求服务器，然后把请求地址连同入参一起发送到服务器，然后服务器会根据地址和入参来返回出参。也就是说，服务器是先接受header信息进行判断该请求是否有权限请求，判断有权限后，才会接受请求地址和入参的。
　　10.3、为什么要做接口测试：
　　大家都知道，接口其实就是前端页面或APP等调用与后端做交互用的，所以好多人都会问，我功能测试都测好了，为什么还要测接口呢？OK，在回答这个问题之前，先举个栗子：
　　比如测试用户注册功能，规定用户名为6~18个字符，包含字母（区分大小写）、数字、下划线。首先功能测试时肯定会对用户名规则进行测试时，比如输入20个字符、输入特殊字符等，但这些可能只是在前端做了校验，后端可能没做校验，如果有人通过抓包绕过前端校验直接发送到后端怎么办呢？试想一下，如果用户名和密码未在后端做校验，而有人又绕过前端校验的话，那用户名和密码不就可以随便输了吗？如果是登录可能会通过SQL注入等手段来随意登录，甚至可以获取管理员权限，那这样不是很恐怖？
　　所以，接口测试的必要性就体现出来了：
　　①、可以发现很多在页面上操作发现不了的bug
　　②、检查系统的异常处理能力
　　③、检查系统的安全性、稳定性
　　④、前端随便变，接口测好了，后端不用变
　　10.4、接口测试怎么测：
　　在进行接口测试前，还需要了解：
　　1）、GET和POST请求：
　　如果是get请求的话，直接在浏览器里输入就行了，只要在浏览器里面直接能请求到的，都是get请求，如果是post的请求的话，就不行了，就得借助工具来发送。
　　GET请求和POST请求的区别：
　　1、GET使用URL或Cookie传参。而POST将数据放在BODY中。
　　2、GET的URL会有长度上的限制，则POST的数据则可以非常大。
　　3、POST比GET安全，因为数据在地址栏上不可见。
　　4、一般get请求用来获取数据，post请求用来发送数据。
　　其实上面这几点，只有最后一点说的是比较靠谱的，第一点post请求也可以把数据放到url里面，get请求其实也没长度限制，post请求看起来参数是隐式的，稍微安全那么一些些，但是那只是对于小白用户来说的，就算post请求，你通过抓包也是可以抓到参数的。所以上面这些面试的时候你说出来就行了。
　　2）、http状态码
　　每发出一个http请求之后，都会有一个响应，http本身会有一个状态码，来标示这个请求是否成功，常见的状态码有以下几种：
　　1、200 2开头的都表示这个请求发送成功，最常见的就是200，就代表这个请求是ok的，服务器也返回了。
　　2、300 3开头的代表重定向，最常见的是302，把这个请求重定向到别的地方了，
　　3、400 400代表客户端发送的请求有语法错误，401代表访问的页面没有授权，403表示没有权限访问这个页面，404代表没有这个页面
　　4、500 5开头的代表服务器有异常，500代表服务器内部异常，504代表服务器端超时，没返回结果
　　接下来再说接口测试怎么测：
　　1）、通用接口用例设计
　　①、通过性验证：首先肯定要保证这个接口功能是好使的，也就是正常的通过性测试，按照接口文档上的参数，正常传入，是否可以返回正确的结果。
　　②、参数组合：现在有一个操作商品的接口，有个字段type，传1的时候代表修改商品，商品id、商品名称、价格有一个是必传的，type传2的时候是删除商品，商品id是必传的，这样就要测参数组合了，type传1的时候，只传商品名称能不能修改成功，id、名称、价格都传的时候能不能修改成功。
　　③、接口安全：
　　1、绕过验证，比如说购买了一个商品，它的价格是300元，那我在提交订单时候，我把这个商品的价格改成3元，后端有没有做验证，更狠点，我把钱改成-3，是不是我的余额还要增加？
　　2、绕过身份授权，比如说修改商品信息接口，那必须得是卖家才能修改，那我传一个普通用户，能不能修改成功，我传一个其他的卖家能不能修改成功
　　3、参数是否加密，比如说我登陆的接口，用户名和密码是不是加密，如果不加密的话，别人拦截到你的请求，就能获取到你的信息了，加密规则是否容易破解。
　　4、密码安全规则，密码的复杂程度校验
　　④、异常验证：
　　所谓异常验证，也就是我不按照你接口文档上的要求输入参数，来验证接口对异常情况的校验。比如说必填的参数不填，输入整数类型的，传入字符串类型，长度是10的，传11，总之就是你说怎么来，我就不怎么来，其实也就这三种，必传非必传、参数类型、入参长度。
　　2）、根据业务逻辑来设计用例
　　根据业务逻辑来设计的话，就是根据自己系统的业务来设计用例，这个每个公司的业务不一样，就得具体的看自己公司的业务了，其实这也和功能测试设计用例是　　一样的。
　　举个例子，拿bbs来说，bbs的需求是这样的：
　　1、登录失败5次，就需要等待15分钟之后再登录
　　2、新注册的用户需要过了实习期才能发帖
　　3、删除帖子扣除积分
　　4、......
　　像这样的你就要把这些测试点列出来，然后再去造数据测试对应的测试点。
　　10.5、用什么工具测
　　接口测试的工具很多，比如 postman、RESTClient、jmeter、loadrunner、SoapUI等，本人首推的测试工具是postman和jmeter。