mitmproxy là gì? Cài đặt, chứng chỉ và dùng với proxy ngoài

mitmproxy là công cụ mã nguồn mở cho phép xem, ghi lại và sửa lưu lượng HTTP và HTTPS đi qua máy tính hoặc điện thoại. Lập trình viên, người kiểm thử và người viết tool dùng mitmproxy để hiểu ứng dụng gửi gì, nhận gì. Bài này ProxyVN hướng dẫn cài đặt, cài chứng chỉ trên từng thiết bị, chạy qua proxy mua bằng chế độ upstream và viết addon Python đơn giản. Xem thêm dịch vụ tại ProxyVN.

Tổng quan về mitmproxy

mitmproxy là một proxy HTTP có khả năng đứng giữa ứng dụng và máy chủ, giải mã lưu lượng HTTPS để anh em nhìn thấy nội dung, theo mô tả trên trang chủ mitmproxy. Mã nguồn được công khai trên kho GitHub của mitmproxy. Tên gọi lấy từ kiểu tấn công đứng giữa (man in the middle), nhưng ở đây anh em chủ động đặt công cụ vào giữa trên chính thiết bị của mình để gỡ lỗi.

Gợi ý tìm kiếm của Google cho thấy anh em tra mitmproxy cùng với python, certificate, ios và mcp. Ba nhu cầu đầu tương ứng với các phần chính của bài: viết script Python, cài chứng chỉ và dùng trên iPhone.

mitmproxy dùng để làm gì

• Gỡ lỗi API: xem ứng dụng gửi yêu cầu nào, header gì, nhận phản hồi ra sao.
• Kiểm thử ứng dụng di động: quan sát lưu lượng của ứng dụng Android, iOS khi không có công cụ phát triển.
• Viết tool tự động: hiểu luồng đăng nhập, lấy dữ liệu để viết script bằng requests hay Playwright.
• Kiểm thử theo vùng: chạy lưu lượng qua proxy ngoài để xem ứng dụng phản hồi thế nào với IP ở nơi khác.
• Học về giao thức: nhìn tận mắt cách HTTP, HTTPS, WebSocket hoạt động.

Ba công cụ trong bộ mitmproxy

Ba công cụ trong mitmproxy

Bảng: Ba công cụ trong bộ mitmproxy

Công cụ	Giao diện	Phù hợp với
mitmproxy	Dòng lệnh tương tác, điều khiển bằng phím	Người quen terminal, xem nhanh
mitmweb	Giao diện web trên trình duyệt	Người mới, xem trực quan
mitmdump	Không giao diện, chạy script, ghi tệp	Tự động hoá, chạy nền

Ba công cụ dùng chung lõi và chung cách cấu hình, khác nhau ở giao diện. Tài liệu chính thức nằm tại docs.mitmproxy.org.

mitmproxy khác Charles Proxy ở đâu

Charles Proxy có giao diện đồ hoạ thân thiện, trả phí, phổ biến với lập trình viên di động. mitmproxy miễn phí, mã nguồn mở và mạnh nhất ở khả năng viết script Python. Charles đã có bài riêng là Charles Proxy là gì. Với nhu cầu gọi thử API bằng giao diện đồ hoạ, anh em có thể xem thêm bài Insomnia proxy.

Cơ chế hoạt động của mitmproxy

Hiểu cơ chế giúp anh em cài đặt đúng và biết vì sao một số ứng dụng không chịu đi qua mitmproxy.

Đứng giữa như một proxy

Thiết bị được cấu hình gửi lưu lượng tới mitmproxy, mặc định lắng nghe ở cổng 8080. mitmproxy nhận yêu cầu, ghi lại, cho phép sửa, rồi gửi tới máy chủ thật. Phản hồi đi theo chiều ngược lại.

Giải mã HTTPS bằng chứng chỉ riêng

Với HTTPS, mitmproxy tạo một chứng chỉ giả cho từng tên miền ngay khi có yêu cầu, ký bằng chứng chỉ gốc CA của riêng nó. Trình duyệt chỉ chấp nhận chứng chỉ giả này nếu chứng chỉ gốc của mitmproxy được cài và tin cậy trên thiết bị. Cơ chế được mô tả trong tài liệu về chứng chỉ của mitmproxy. Nếu chưa cài, trình duyệt hiện cảnh báo kết nối không riêng tư, đúng như bài kết nối của bạn không phải là kết nối riêng tư đã giải thích.

Vì sao một số ứng dụng không giải mã được

Ứng dụng dùng kỹ thuật ghim chứng chỉ (certificate pinning) chỉ tin một chứng chỉ cụ thể, không tin chứng chỉ gốc do người dùng cài. Ngoài ra, từ Android 7, ứng dụng mặc định không tin chứng chỉ người dùng. Với các ứng dụng này, mitmproxy thấy kết nối nhưng không giải mã được nội dung.

mitmproxy chỉ là một proxy biết đọc thư. Muốn nó đọc được thư HTTPS, thiết bị phải tin con dấu của nó.

Cách cài đặt mitmproxy

mitmproxy chạy trên Windows, macOS và Linux. Có vài cách cài, chọn cách phù hợp với máy.

Cài bằng trình cài đặt

Tải bản cài trên trang chủ mitmproxy cho Windows hoặc macOS, chạy như phần mềm thông thường. Cách này dễ nhất với người mới.

Cài bằng pip hoặc pipx

Với người dùng Python, cài bằng pipx giúp tách môi trường:

pipx install mitmproxy
mitmweb --version

Cài bằng pip cũng được nhưng dễ xung đột thư viện với dự án khác. Nếu máy đang ở sau proxy công ty, cách cấu hình pip đi qua proxy có trong bài pip proxy.

Cài bằng Homebrew trên macOS

brew install --cask mitmproxy

Chạy lần đầu

Chạy mitmweb, trình duyệt tự mở giao diện web ở cổng 8081. mitmproxy lắng nghe ở cổng 8080. Lần chạy đầu tiên, mitmproxy tạo thư mục ~/.mitmproxy chứa chứng chỉ gốc.

Cấu hình thiết bị đi qua mitmproxy

Sau khi chạy, cần cho thiết bị gửi lưu lượng tới mitmproxy. Mỗi thiết bị có cách cấu hình riêng.

Trên chính máy tính đang chạy mitmproxy

Đặt proxy cho trình duyệt hoặc hệ thống là 127.0.0.1 cổng 8080. Với Firefox, đặt trong cài đặt mạng riêng. Với Chrome, dùng proxy hệ thống hoặc tiện ích như FoxyProxy. Nhớ tắt khi không dùng, vì mitmproxy tắt mà proxy vẫn trỏ về 127.0.0.1 thì mọi trang đều lỗi. Bài proxy 127.0.0.1 giải thích hiện tượng này.

Trên điện thoại cùng mạng Wi-Fi

Lấy IP nội bộ của máy tính chạy mitmproxy, ví dụ 192.168.1.10. Trên điện thoại, vào cài đặt Wi-Fi, mục proxy, đặt thủ công với máy chủ là IP máy tính và cổng 8080. Máy tính cần cho phép kết nối đến cổng 8080 trong tường lửa.

Với script và công cụ dòng lệnh

Đặt biến môi trường HTTP_PROXY, HTTPS_PROXY trỏ về http://127.0.0.1:8080. Với Python requests, truyền proxies hoặc đặt biến môi trường, đồng thời chỉ đường dẫn chứng chỉ của mitmproxy để requests tin tưởng.

Cài chứng chỉ mitmproxy trên từng thiết bị

Bước này quyết định có xem được nội dung HTTPS hay không. Khi thiết bị đã đi qua mitmproxy, mở trình duyệt vào địa chỉ mitm.it. Trang này chỉ hiện khi lưu lượng thật sự đi qua mitmproxy và cho tải chứng chỉ cho từng hệ điều hành.

Cài chứng chỉ CA của mitmproxy

Windows

Tải chứng chỉ cho Windows, mở tệp, chọn cài vào kho Trusted Root Certification Authorities của người dùng hiện tại. Chrome và Edge dùng kho này. Firefox có kho riêng, cần nhập chứng chỉ trong cài đặt Firefox.

macOS

Tải chứng chỉ, mở bằng Keychain Access, thêm vào keychain đăng nhập, sau đó mở chứng chỉ và đặt Always Trust. Safari và Chrome dùng keychain này.

Android

Tải chứng chỉ, vào Cài đặt, Bảo mật, Mã hoá và thông tin xác thực, Cài đặt chứng chỉ, chọn chứng chỉ CA. Chrome trên Android tin chứng chỉ người dùng, nhưng phần lớn ứng dụng từ Android 7 không tin. Muốn ứng dụng tin, cần quyền root để đưa chứng chỉ vào kho hệ thống, hoặc dùng bản ứng dụng gỡ lỗi do chính anh em phát triển.

iPhone và iPad

Tải hồ sơ chứng chỉ trên Safari, vào Cài đặt, Đã tải hồ sơ, cài đặt. Sau đó vào Cài đặt chung, Giới thiệu, Cài đặt tin cậy chứng nhận, bật tin cậy đầy đủ cho chứng chỉ mitmproxy. Thiếu bước bật tin cậy, Safari vẫn báo lỗi.

Gỡ chứng chỉ khi xong việc

Chứng chỉ gốc của mitmproxy cho phép bất kỳ ai có khoá riêng của nó giải mã lưu lượng của thiết bị. Khoá này nằm trên máy anh em, nhưng vẫn nên gỡ chứng chỉ khỏi điện thoại khi không còn gỡ lỗi, đặc biệt là điện thoại dùng hằng ngày.

Chạy mitmproxy qua proxy mua bằng chế độ upstream

Đây là phần nhiều anh em làm tool quan tâm: vừa xem lưu lượng, vừa cho lưu lượng đi ra Internet bằng IP của proxy mua thay vì IP nhà. Các chế độ chạy được mô tả trong tài liệu Modes of Operation.

Chế độ upstream: đi tiếp qua proxy mua

Cú pháp chế độ upstream

mitmweb --mode upstream:http://103.x.x.x:8080 --upstream-auth user:matkhau

Thiết bị vẫn kết nối tới mitmproxy ở cổng 8080 trên máy. mitmproxy giải mã, ghi lại, rồi gửi tiếp tới proxy ngoài. Website nhìn thấy IP của proxy ngoài. Tham số upstream-auth gửi tài khoản mật khẩu cho proxy ngoài.

Khi nào cần chế độ upstream

• Kiểm thử ứng dụng theo vùng: muốn xem ứng dụng hiển thị gì với người dùng ở tỉnh khác, đồng thời xem API trả về gì.
• Viết tool chạy qua proxy: cần hiểu luồng yêu cầu khi đi qua đúng loại IP mà tool sẽ dùng.
• Gỡ lỗi proxy: xem chính xác phản hồi của proxy khi gặp lỗi 407, 502.

Upstream với proxy SOCKS5

mitmproxy hỗ trợ upstream là proxy HTTP. Nếu proxy mua chỉ có SOCKS5, anh em có thể dùng proxy HTTP của cùng nhà cung cấp, hoặc đặt mitmproxy ở chế độ khác và dùng công cụ chuyển đổi. Với ProxyVN, mỗi proxy hỗ trợ cả HTTP và SOCKS5, nên chọn cổng HTTP cho upstream là đơn giản nhất.

Kiểm tra IP khi chạy upstream

Mở trang kiểm tra IP trên thiết bị đang đi qua mitmproxy. IP hiển thị phải là IP proxy ngoài. Trong giao diện mitmweb, yêu cầu tới trang kiểm tra IP cũng hiện ra để anh em xem chi tiết.

Viết addon Python cho mitmproxy

Addon là đoạn script Python giúp tự động xử lý lưu lượng: ghi log riêng, sửa header, chặn yêu cầu, lưu dữ liệu. Cách viết được hướng dẫn trong tài liệu Addons.

Addon Python sửa yêu cầu

Addon thêm header cho mọi yêu cầu

from mitmproxy import http
 
def request(flow: http.HTTPFlow) -> None:
    flow.request.headers["X-Test"] = "proxyvn"

Chạy bằng lệnh mitmdump -s them_header.py. Mọi yêu cầu đi qua sẽ có thêm header X-Test.

Addon lưu các phản hồi JSON của một API

import json
from mitmproxy import http
 
def response(flow: http.HTTPFlow) -> None:
    if "api.example.com" in flow.request.pretty_host and "json" in flow.response.headers.get("content-type", ""):
        with open("api.log", "a", encoding="utf-8") as f:
            f.write(flow.request.pretty_url + "\n" + flow.response.get_text() + "\n")

Addon này hữu ích khi anh em muốn biết ứng dụng nhận dữ liệu gì để sau đó viết tool lấy dữ liệu trực tiếp qua API.

Chặn yêu cầu theo tên miền

Trong hàm request, kiểm tra tên miền và gán flow.response bằng phản hồi trống để chặn. Cách này giúp thử ứng dụng hoạt động thế nào khi một dịch vụ bên thứ ba không phản hồi.

Lỗi thường gặp khi dùng mitmproxy và cách sửa

Bảng: Lỗi thường gặp khi dùng mitmproxy và cách sửa

Hiện tượng	Nguyên nhân khả dĩ	Cách sửa
Không mở được mitm.it	Thiết bị chưa đi qua mitmproxy	Kiểm tra cấu hình proxy, tường lửa cổng 8080
Trình duyệt báo lỗi chứng chỉ	Chưa cài hoặc chưa tin chứng chỉ	Cài lại, bật tin cậy đầy đủ trên iOS
Ứng dụng Android không có lưu lượng HTTPS	Ứng dụng không tin chứng chỉ người dùng	Dùng bản gỡ lỗi hoặc máy có quyền root
Ứng dụng báo lỗi mạng	Ghim chứng chỉ	Không giải mã được, chỉ thấy tên miền
Upstream báo 407	Sai tài khoản proxy ngoài	Kiểm tra upstream-auth
Mọi trang lỗi sau khi tắt mitmproxy	Proxy vẫn trỏ về 127.0.0.1	Tắt cấu hình proxy
Chậm khi tải trang	Máy yếu, nhiều yêu cầu	Lọc bớt luồng, dùng mitmdump

Với lỗi 407 khi chạy upstream, bài sửa lỗi 407 Proxy Authentication Required giải thích cơ chế xác thực.

Dùng mitmproxy có trách nhiệm

mitmproxy là công cụ mạnh. Dùng sai mục đích có thể vi phạm pháp luật và điều khoản dịch vụ.

Chỉ dùng trên thiết bị và ứng dụng mình có quyền

Chỉ xem lưu lượng của thiết bị mình sở hữu hoặc được phép kiểm thử. Không đặt mitmproxy để nghe lén người khác trong cùng mạng. Hành vi đó là tấn công đứng giữa, được phân tích trong bài tấn công MITM.

Không chia sẻ chứng chỉ gốc

Thư mục ~/.mitmproxy chứa khoá riêng của chứng chỉ gốc. Không gửi thư mục này cho người khác, không đưa lên kho mã công khai.

Tôn trọng điều khoản của dịch vụ

Xem API của ứng dụng để gỡ lỗi khác với việc khai thác API để lấy dữ liệu trái phép. Trước khi viết tool dựa trên những gì thấy được, đọc điều khoản sử dụng của dịch vụ.

Kịch bản thực tế với mitmproxy và proxy

Kịch bản 1: Hiểu luồng đăng nhập trước khi viết tool

Anh em cần viết tool tự động cho một trang quản trị nội bộ. Bật mitmweb, đặt trình duyệt đi qua, đăng nhập bằng tay một lần. Giao diện liệt kê từng yêu cầu: trang đăng nhập, yêu cầu gửi tài khoản, cookie phiên nhận về, các yêu cầu API sau đó. Từ đó anh em biết cần gửi những gì, theo thứ tự nào, header nào bắt buộc. Viết tool bằng requests hoặc Playwright sẽ nhanh hơn rất nhiều so với đoán mò.

Kịch bản 2: Kiểm tra ứng dụng di động hiển thị theo tỉnh

Một ứng dụng giao đồ ăn hiển thị cửa hàng khác nhau theo vị trí. Người kiểm thử đặt điện thoại đi qua mitmproxy, mitmproxy chạy upstream qua proxy Việt Nam ở tỉnh khác. Giao diện mitmweb cho thấy API trả về danh sách cửa hàng nào, kèm IP mà máy chủ nhìn thấy. Lưu ý ứng dụng có thể dùng thêm GPS, nên kết quả phụ thuộc cả vị trí điện thoại.

Kịch bản 3: Gỡ lỗi proxy trả về lỗi lạ

Tool báo lỗi kết nối qua proxy nhưng thông báo không rõ. Đặt tool đi qua mitmproxy với upstream là proxy đang lỗi. mitmproxy hiển thị chính xác phản hồi của proxy: mã 407, 403 hay 502, kèm nội dung. Từ đó biết lỗi do xác thực, do bị chặn hay do proxy không tới được website. Nếu cần proxy Việt Nam có cả HTTP và SOCKS5 cho các kịch bản này, anh em có thể mua proxy tại ProxyVN.

Đọc và lọc lưu lượng trong mitmproxy

Khi mở một ứng dụng hiện đại, chỉ trong vài giây có thể có hàng trăm yêu cầu: ảnh, phông chữ, quảng cáo, đo lường, API. Biết lọc đúng giúp anh em tìm ra yêu cầu cần xem mà không bị ngợp.

Lọc theo tên miền và đường dẫn

mitmproxy có ngôn ngữ lọc riêng. Biểu thức ~d example.com chỉ hiện yêu cầu tới tên miền đó, ~u api chỉ hiện yêu cầu có chữ api trong địa chỉ. Kết hợp nhiều điều kiện bằng & và |. Trong mitmweb, gõ biểu thức vào ô tìm kiếm phía trên danh sách. Cách lọc này giúp tách lưu lượng của ứng dụng cần xem khỏi lưu lượng của hệ điều hành và các ứng dụng chạy nền.

Lọc theo loại nội dung và mã trạng thái

Biểu thức ~t json chỉ hiện phản hồi kiểu JSON, thường là API. Biểu thức ~c 403 chỉ hiện phản hồi mã 403, hữu ích khi tìm yêu cầu bị chặn. Khi gỡ lỗi proxy, lọc theo mã 407 hoặc 502 để thấy ngay các lần proxy từ chối hay không tới được website.

Xem chi tiết một yêu cầu

Chọn một dòng để xem đầy đủ: phương thức, địa chỉ, header gửi đi, nội dung gửi đi, header nhận về, nội dung nhận về, thời gian từng giai đoạn. Phần thời gian cho biết yêu cầu chậm ở đâu: chờ kết nối, chờ bắt tay TLS hay chờ máy chủ xử lý. Khi đi qua proxy ngoài, thời gian kết nối dài thường do proxy ở xa hoặc quá tải.

Lưu và mở lại phiên làm việc

mitmproxy cho lưu toàn bộ luồng ra tệp và mở lại sau. Tính năng này giúp so sánh hành vi của ứng dụng trước và sau khi thay đổi, hoặc gửi cho đồng nghiệp xem. Lưu ý tệp này có thể chứa cookie và mật khẩu, cần bảo quản như dữ liệu nhạy cảm.

Phát lại và sửa yêu cầu trong mitmproxy

Ngoài xem, mitmproxy cho phép can thiệp vào lưu lượng. Đây là tính năng rất hữu ích khi kiểm thử.

Phát lại một yêu cầu

Chọn một yêu cầu và phát lại để gửi lại đúng yêu cầu đó tới máy chủ. Dùng để kiểm tra API có trả kết quả giống nhau không, hoặc kiểm tra phiên đăng nhập còn hiệu lực không. Với yêu cầu đi qua proxy ngoài bằng chế độ upstream, phát lại cũng đi qua proxy đó.

Chặn và sửa trước khi gửi

Đặt biểu thức chặn, ví dụ chặn mọi yêu cầu tới một API cụ thể. Khi có yêu cầu khớp, mitmproxy giữ lại, cho anh em sửa header hoặc nội dung, rồi mới gửi đi. Cách này giúp thử ứng dụng phản ứng thế nào với dữ liệu bất thường mà không cần sửa mã nguồn.

Sửa phản hồi

Tương tự, có thể chặn phản hồi và sửa trước khi ứng dụng nhận. Ví dụ đổi một trường trong JSON để xem giao diện hiển thị ra sao. Đây là cách người kiểm thử giả lập tình huống khó tạo trên máy chủ thật, như lỗi 500 hay dữ liệu rỗng.

mitmproxy trong quy trình làm tool tự động

Với anh em viết tool, mitmproxy thường là bước đầu trong quy trình. Phần này mô tả quy trình gọn gàng ProxyVN gợi ý cho khách hàng.

Bước 1: Quan sát

Chạy mitmweb, thao tác bằng tay trên trình duyệt hoặc ứng dụng để ghi lại toàn bộ luồng. Lọc ra các yêu cầu quan trọng, ghi chú thứ tự và tham số.

Bước 2: Tái hiện bằng script

Viết script bằng requests, aiohttp hay Playwright gửi lại các yêu cầu đó. Đặt script đi qua mitmproxy để so sánh yêu cầu do script gửi với yêu cầu do trình duyệt gửi. Khác biệt về header, cookie, thứ tự thường là nguyên nhân script bị chặn.

Bước 3: Chạy qua proxy thật

Khi script đã chạy đúng, cho script đi qua proxy mua trực tiếp, không qua mitmproxy nữa. Nếu gặp lỗi, quay lại bước 2 với chế độ upstream để xem proxy trả về gì. Các bài cài đặt Python proxy từ thư viện requests và requests.exceptions.ProxyError giúp xử lý phần này.

Bước 4: Tắt mitmproxy và dọn dẹp

Tắt mitmproxy, gỡ cấu hình proxy trỏ về 127.0.0.1, gỡ chứng chỉ trên thiết bị nếu không dùng nữa. Thói quen dọn dẹp giúp tránh lỗi mạng khó hiểu về sau. Nhiều ca khách báo mất mạng trên điện thoại hoá ra chỉ vì proxy Wi-Fi vẫn trỏ về máy tính đã tắt mitmproxy từ nhiều ngày trước.

Câu hỏi thường gặp về mitmproxy

mitmproxy có miễn phí không

Có. mitmproxy là phần mềm mã nguồn mở, miễn phí cho cả mục đích cá nhân và thương mại theo giấy phép của dự án.

mitmproxy có thay được VPN hay proxy không

Không. mitmproxy là công cụ gỡ lỗi chạy trên máy anh em, không đổi IP. Muốn đổi IP, kết hợp với proxy ngoài qua chế độ upstream.

Dùng mitmproxy có làm chậm mạng không

Có chậm hơn một chút vì mọi yêu cầu được giải mã và mã hoá lại. Với gỡ lỗi thì không đáng kể. Không nên để mitmproxy chạy thường trực cho việc duyệt web hằng ngày.

mitmproxy có xem được lưu lượng của ứng dụng dùng HTTP/3 không

HTTP/3 chạy trên UDP và nhiều ứng dụng tự lùi về HTTP/2 khi không kết nối được. Khi đi qua mitmproxy, phần lớn ứng dụng dùng HTTP/1.1 hoặc HTTP/2 nên vẫn xem được.

mitmproxy có chạy trên điện thoại được không

mitmproxy chạy trên máy tính, điện thoại chỉ là thiết bị gửi lưu lượng tới máy tính qua cấu hình proxy Wi-Fi. Trên Android, có thể chạy mitmproxy trong Termux nhưng cấu hình phức tạp và hiệu năng thấp. Cách phổ biến vẫn là chạy trên máy tính cùng mạng Wi-Fi với điện thoại, vừa ổn định vừa dễ xem giao diện web trên màn hình lớn.

Có cách nào xem lưu lượng mà không cài chứng chỉ không

Không, nếu muốn xem nội dung HTTPS. Không có chứng chỉ, mitmproxy chỉ thấy tên miền và lượng dữ liệu, không thấy nội dung. Đây là chủ ý của thiết kế HTTPS nhằm bảo vệ người dùng, và cũng là lý do không ai nghe lén được nội dung nếu thiết bị không tin chứng chỉ lạ do người khác cài vào.

Tổng kết

mitmproxy giúp anh em xem và sửa lưu lượng HTTP, HTTPS trên thiết bị của mình, viết addon Python để tự động xử lý và chạy upstream qua proxy ngoài để kiểm thử theo vùng. Cài chứng chỉ đúng cách, gỡ khi xong và chỉ dùng trên hệ thống được phép. Cần proxy Việt Nam để chạy upstream, anh em liên hệ Proxy.vn - Nhà cung cấp dịch vụ proxy chất lượng hàng đầu Việt Nam để được tư vấn.