怎样通过fiddler抓包定位前后端的问题
启动Fiddler，打开菜单栏中的 Tools Fiddler Options，打开“Fiddler Options”对话框。
首先，打开我们的Fiddler软件，选择点击工具，点击选项。然后先选项功能按钮中的连接功能界面中选择监听端口，并且勾选上允许远程计算机连接。
首先需要你打开Fiddler， 清空抓到的其他包，方便我们观察。随便在网页中打开一个网址，这时Fiddler就会抓取到网络请求了。标示框部分是网络请求的地址，右侧部分会有请求的详细内容---头文件 ，返回文本，cookies 等等。
我们直接看网址的变化是看不出任何规律的，便无法分析该请求是如何实现的，无法通过程序构造出该请求。
怎样防止内网抓包?
选中用于抓包的网卡，根据局域网当前网段的规划输入起始和截止IP地址，最后点击确定。在白名单的下方勾选增强绑定IP和MAC、自动隔离混杂网卡、自动隔离ARP攻击主机。
为此，我们必须采取一定的手段来禁止外来电脑接入、防止非公司电脑接入公司局域网、防止局域网嗅探、防范网络抓包等，此外还要防止ARP攻击、禁止电脑代理上网或充当代理服务器等等。
网关挂了吧？ARP都获取不到。ARP原理就是发广播包然后网关单发给你。但是现在明显的情况就是你的主机连不到网关。
如果您的电脑可以正常上网而您的抓包工具只能抓到自己的包，那么很可能是抓包工具出了问题，给您推荐Wireshark，在抓包方面处理的很专业，是电信级的软件。各处都能下得到。在选项里配置好网卡和目标文件就能进行抓包了。
．安装抓包工具。目的就是用它分析网络数据包的内容。找一个免费的或者试用版的抓包工具并不难。我使用了一种叫做SpyNet12 的抓包工具，非常小巧， 运行的速度也很快。安装完毕后我们就有了一台抓包主机。
网游抓包作弊怎么防?
1、通过改变软件的部分程序制作而成的作弊程序。主要应用原理是在游戏中用封包和抓包工具对游戏本身或游戏服务器提交假参数从而改变游戏中的人物能力。
2、登陆游戏大厅，然后进入想进的房间，点击上方的“设置”按钮，然后选择“禁止IP前3相同的玩家游戏”，这种做法就能最大程度避免作弊的情况发生。另外可以进入斗地主那些防作弊游戏房间，随机安排座位，也是不能作弊的哦。
3、简单来说，如果有不法分子想要攻击这些平台，那么他首先需要攻破阿里的服务器，也就是要打败马云的团队，这种方法从源头上就阻止了作弊的出现。
4、你好。建议您在进入房间后对游戏进行设置，您可以在登陆房间后点击上方的“设置”按钮，然后选择“禁止IP前3相同的玩家游戏”，就能最大程度避免作弊的情况发生。
前后端交互数据加解密
方案：将对称加密的密钥使用非对称加密的公钥进行加密，然后发送出去，接收方使用私钥进行解密得到对称加密的密钥，然后双方可以使用对称加密来进行沟通。
使用服务端持有的私钥解密第4步获取到的RSA加密byte。从而获取到了第二步时候的数据，同时需要base64解码data数据。也即拿到了AES的key。
也就是，前端加密用特定的钥匙，解密的钥匙只在后端那里。这样在传输过程中就不会把钥匙丢掉。同样，后端加密数据用一把钥匙，解密的时候，前端自己有规定的钥匙，这样数据也不会在过程中解密截取。
解密过程 加密的内容为16进制数据时，可以利用以下方式将16进制字符串转换成字节数组。计算结果 c6a13b37878f5b826f4f8162a1c8d879 CryptoJS 当前尚未支持 RSA，可以引入以下 JS 扩展。
过程如下：前端组织参数列表，采用get或post方式提交到指定的URL。URL就是后端程序，先接收参数，根据参数值确定执行的程序功能，执行后将执行结果输出到前台。
JWT-token—前后端分离架构的api安全问题
这样的情况后端api是暴露在外网中，因为常规的web项目无论如何前端都是要通过公网访问到后台api的，带来的隐患也有很多。
客户端和服务端采用RESTFul API的交互方式进行交互 前后端代码库分离 在传统架构模式中，前后端代码存放于同一个代码库中，甚至是同一工程目录下。页面中还夹杂着后端代码。
登录页面不是一个特殊情况，如果你如果您正在使用量角器来写你的功能测试，你不需要来处理登录的任何特殊情况。
在前后端分离架构下，难免会遇到跨域问题。但是对于跨域，很多人并没有多么深入的了解。这里我就详细讲一下这个问题。同源策略与跨域 所谓跨域，英文叫做cross-domain，是网络安全领域的一个专有名词。
用户登录时调用后端认证接口，后端验证用户成功之后生成两个token，access_token和refresh_token，后端将用户信息和这两个token打包成JWT后并返回给前端。
javaweb关于客户端密码md5加密后被抓包工具抓取的问题
1、其实只要使用https就不存在这种问题，就算是中间被人截取了加密的密码，然后用加密的密码提交表单，最后与后台数据库匹配成功也没有用。
2、MD5一般用户文件完整性的校验，也有用来做密码加密的。想要破解MD5，因其本身的算法不可逆，故只能使用穷举法，也就是不断拼字符串加密和已知的MD5字符串进行比对，这是一个相当大的工程，需要庞大的数据基础。
3、MD5加密，这是一种不可逆的加密算法，即一旦进行MD5加密算法，不能再得到原始的密码\x0d\x0a \x0d\x0a开发者可以将用户输入的密码进行MD5加密后，再与数据库中存储的加密后的密码比较，即可知道密码的准确性。
4、我简单说下吧，加密就是存进数据库的时候变成MD5存进去，解密，就是对比的时候，将用户输入的密码转换成MD5和数据库里面的对比。
5、https加密意味着在客户端截包只能看到443端口数据，其中不会有123以及123的md5加密串。证书服务器上应该可以看到123或者md5串。
6、数据库不要存储明文密码，应存储MD5加密后的密文，由于目前普通的MD5加密已经可以被破解，最好可以多重MD5加密，或者多种加密方式叠加组合。JSP页面抛出的异常可能暴露程序信息。