在移动应用开发与调试中，"iOS 应用抓包"往往是工程师定位问题的第一步。无论是接口联调、线上 Bug 排查、性能优化，还是分析第三方 SDK 的行为，抓包都是最直接且最具证据价值的方式。
但对 iOS 来说，抓包远比多数人想象的复杂：证书校验、ATS、pinning、QUIC、自定义协议、流量混合......任何一步都可能导致抓不到包。
一、为什么 iOS 应用抓包比其他平台更难？
一般开发者遇到的问题集中在以下五类：
HTTPS 证书信任链严格，稍有偏差即可失败
常见表现：
- 只有 CONNECT，没有解密数据
- App 报 TLS 错误
- Charles/Fiddler 能抓 HTTP，但抓不到 HTTPS
这是由于 iOS 的信任链机制与 ATS 限制导致。
App 启用了证书 Pinning
这是"抓不到包"的头号原因。
表现：
- Safari 能抓
- App 完全抓不到
- 抓包工具界面一直空白
许多银行、金融、电商类 App 都会启用 pinning。
流量使用 QUIC（HTTP/3）绕过系统代理
QUIC 使用 UDP，不走客户端的 TCP 代理，因此：
- 无法通过 Charles 抓取
- 视频/社交类 App 常默认开启
- 部分 CDN 或 API 已在使用
若 QUIC 不关掉，代理工具基本无效。
App 使用自定义网络协议
例如：
- 自定义 TCP 协议
- 内部 SDK 走独立网络栈
- WebSocket 等长连接协议
代理抓包无法处理这些场景。
流量噪音太多，难以定位某个 App
一个 iPhone 上几十个 App 都在发包，工具端很难精准过滤。
二、iOS 应用抓包的工具体系（按功能分层，不做优劣比较）
为了覆盖所有类型的抓包需求，我们采用"分层工具链"的方式构造完整方案。
代理抓包（调试 HTTPS 内容）
代表工具：
- Charles
- Proxyman
- Fiddler
- mitmproxy（开源）
能做的事：
- 查看 HTTPS 明文
- 拦截/修改请求与响应
- 模拟错误响应
无法解决：
- pinning
- QUIC
- 自定义协议
- 无法按 App 过滤流量
TCP/TLS 底层抓包（链路证据）
代表：
- tcpdump
- Wireshark
适用于：
- 判断请求是否到达服务器
- TLS 握手失败分析
- 三次握手、重传、窗口等底层诊断
是定位"为什么抓不到包"的核心工具。
自动分析与脚本能力
例如：
- pyshark
- scapy
- mitmproxy scripting
适用于 CI 测试、自动提取异常包等。
无需代理的补抓工具（解决代理抓不到的问题）
抓包大师（Sniffmaster）补足代理工具无法处理的部分：
- 无需代理即可抓取 HTTPS、TCP、UDP 数据流
- 按 App 或域名过滤流量，解决噪音问题
- 自动识别 HTTP/HTTPS/mdns、自定义协议
- 查看 TCP 数据流的 HEX/文本/二进制内容
- 导出 Wireshark 兼容 pcap，可与服务器端 tcpdump 对比
- 内置脚本拦截器，可使用 JavaScript 修改请求与响应
- 跨平台支持：Windows / macOS / iOS
Sniffmaster 不是用来替代 Charles，而是用于：
- 代理工具失败
- 遇到 pinning
- 遇到 QUIC
- 遇到自定义协议
- 需要抓底层 TCP 数据流 的场景。
三、iOS 应用抓包的完整工程流程（可复用 SOP）
下面给出一套可直接应用的 iOS 抓包流程。
首先尝试代理抓包（快速验证）
- 设置 Wi-Fi 代理
- 安装信任证书
- 开启 SSL Proxying
若能抓包 → 继续在代理工具中调试业务逻辑。
如果只能看到 CONNECT → 证书链问题
此时排查：
- 是否使用公司 Wi-Fi（常注入证书）
- 是否信任证书
- ATS 是否拒绝中间证书
可以尝试切换网络环境验证。
如果浏览器能抓、App 抓不到 → pinning
无需继续尝试代理工具，直接进入补抓阶段。
④ 部分域名抓不到 → QUIC（HTTP/3）问题
判断方式：
- 强制关闭 HTTP/3
- 或切换到 LTE/4G
若恢复 → 即为 QUIC。
代理失败情况下的关键补抓：使用 Sniffmaster
具体步骤：
- 使用 Sniffmaster 抓取目标 App 的流量
- 按 App / 域名过滤，只保留关键数据
- 将数据导出为 pcap
- 在 Wireshark 中分析：
- TLS 握手
- 重传
- 证书链
- QUIC 等 UDP 流量
- 与服务器 tcpdump 的 pcap 进行逐帧比对
此流程几乎能定位所有 iOS 抓包失败问题。
若能正常解密，则在 HTTP 层做最终分析
重点分析：
- 请求头/响应头
- token 或鉴权参数
- 加密内容
- 状态码
- 业务错误场景
四、真实工程案例：iOS 应用抓不到 HTTPS
某 App 在公司 Wi-Fi 下抓不到包，在家庭网络中又正常。
排查过程：
- Charles 有 CONNECT，但无 HTTPS
- 使用 Sniffmaster 补抓 → 出现 TLS Alert
- Wireshark 分析证书链 → 企业网关注入了中间证书
- 切换网络 → 抓包恢复
- 最终确认：链路证书替换导致 ATS 拒绝连接
这种问题只依靠代理工具无法定位。
iOS 应用抓包必须"多工具协同"
iOS 抓包失败的本质来自：
- TLS 安全策略
- pinning
- QUIC
- 自定义协议
- 流量混合
因此成熟的抓包方案必须是：
| 抓包维度 | 使用工具 |
|---|---|
| HTTPS 内容 | Charles / Proxyman / Fiddler |
| TCP/TLS 证据 | Wireshark + tcpdump |
| 自动分析 | scapy / pyshark |
| 代理失败补抓 | 抓包大师（Sniffmaster） |
只有如此组合，才能覆盖所有抓包场景。