Chute Dashboard

Chute Dashboard ist eine kostenlose macOS-App, die sich mit einem laufenden Chute verbindet — Chute iOS über WLAN oder ein USB-Kabel, Chute Android über das Netzwerk oder adb, oder Chute Mac auf demselben Rechner — und zeigt, was diese Instanz tut: jede Verbindung mit der Regel und der Richtlinie, die sie entschieden haben, die entschlüsselte Anfrage und Antwort für Hosts unter HTTPS-Entschlüsselung, DNS-Antworten, UDP-Sitzungen. Sie können den Datenverkehr auch verändern, während Sie zusehen: die MitM-Hostliste und jede Umschreibungs- und Mock-Antwort-Regelfamilie lassen sich live bearbeiten.

Dies ist nicht die Web-Konsole. Die Konsole wird von der Engine selbst ausgeliefert und im Browser geöffnet; Dashboard ist eine eigene App, die mit der Engine über ihren binären Steuerkanal spricht — deshalb braucht es auf dem Gerät external-controller-access statt external-http-controller. Beide überschneiden sich, und jedes kann etwas, das das andere nicht kann — siehe Was Dashboard nicht erreicht. Die Ausnahme ist ein Dashboard auf demselben Mac wie die Engine: Es verbindet sich über einen lokalen Socket, den die Engine immer öffnet, und braucht überhaupt keine Konfiguration.

Die Oberfläche von Dashboard ist in dieselben Sprachen lokalisiert wie dieses Handbuch, mit Ausnahme von Arabisch; auf einem arabischen System erscheint sie auf Englisch.

Dashboard die Verbindung erlauben

Nichts lauscht, bevor das Gerät es erlaubt.

Chute iOS — öffnen Sie im Konfigurationseditor Externer Controller:

1. Schalten Sie Externer Controller-Zugriff ein — den Schalter, unter dem als Fußnote Chute Dashboard/Chute CLI-Verbindung erlauben steht.
2. Legen Sie einen Port und ein Passwort fest. Das Passwort darf nicht leer sein, und es muss Ihr eigenes sein: Ein Listener, der aus dem Netzwerk erreichbar ist, verweigert den Start mit leerem oder Standard-Passwort.
3. Lassen Sie Zugriff über WLAN erlauben aus, sofern Sie es nicht brauchen. Aus ist der Standard und bedeutet, dass der Listener auf dem Telefon selbst bleibt — ein USB-Kabel erreicht ihn weiterhin, andere Geräte im WLAN nicht. Ein bedeutet, dass jeder im Netzwerk, der das Passwort kennt, alles lesen kann, was dieser Lauf gesehen hat.
4. Sichern Sie und starten Sie den Tunnel (oder starten Sie ihn neu). Das Bedienfeld zeigt jetzt Externer Zugriffsport: <port> — diese Zeile ist die Bestätigung, dass der Listener läuft.

Chute Mac — dieselben drei Werte stehen in [General]:

[General]
external-controller-access = password@127.0.0.1:6170

127.0.0.1 beschränkt ihn auf den Mac, an dem Sie sitzen; eine LAN-Adresse oder 0.0.0.0 öffnet ihn für andere Rechner. Der Abschnitt „Allgemein“ des Konfigurationsfensters hat Felder für denselben Schlüssel. Ein Dashboard, das auf demselben Mac läuft, braucht diesen Schlüssel überhaupt nicht — siehe Mit lokalem Rechner verbinden weiter unten.

Chute Android — öffnen Sie im Konfigurationseditor Externer Controller und tragen Sie denselben Wert in Externer Zugriff ein:

• password@127.0.0.1:6170 genügt für Über USB verbinden: Dashboard führt für diesen Port adb forward aus und verbindet sich über das Kabel, der Listener kann also auf dem Telefon selbst bleiben. Dafür braucht der Mac adb — Dashboard sucht unter ANDROID_HOME und ANDROID_SDK_ROOT, im PATH, in /usr/local/bin und /opt/homebrew/bin sowie in ~/Library/Android/sdk — und auf dem Telefon USB-Debugging, bei dem dieser Mac zugelassen ist.
• password@0.0.0.0:6170 öffnet ihn für Mit entferntem Rechner verbinden zum Netzwerk hin. Wie unter iOS verweigert ein aus dem Netzwerk erreichbarer Listener mit leerem oder Standard-Passwort den Start.

Speichern Sie, und starten (oder neu starten) Sie dann das VPN. Der Schalter Externer Zugriff im Bedienfeld zeigt dann die Adresse, auf der er lauscht, und schaltet den Listener bei laufendem VPN aus und wieder ein.

Verbinden

Dashboard öffnet mit dem Fenster Neues Dashboard; jede Verbindung bekommt ein eigenes Fenster, sodass mehrere Geräte gleichzeitig offen sein können. Drei Wege hinein:

Ein entfernter Rechner wird nur gemerkt, wenn Sie ihn sichern: Speichern legt Host, Port und Passwort unter einem Namen ab, den Sie wählen, und diese Namen listet der Tab Gespeicherter Rechner beim nächsten Mal auf.

Ist das Passwort falsch, meldet das Fenster Passwort stimmt nicht überein, über USB wie über das Netzwerk. Ist das Gerät nicht erreichbar, öffnet sich das Fenster trotzdem und zeigt Verbinden …: Bei einem iPhone über USB bleibt es dabei, während Dashboard es immer wieder versucht, bis das Telefon antwortet oder Sie auf Schließen klicken; jede andere Verbindung endet mit Verbindung geschlossen. Verschwindet das Gerät später — der Tunnel wurde gestoppt, das Kabel gezogen, das Telefon hat das Netzwerk gewechselt —, meldet das Dashboard-Fenster Verbindung geschlossen und bietet Erneut verbinden an.

Das Fenster

Die Symbolleiste wechselt zwischen fünf Ansichten — Kürzlich, Aktiv, DNS, UDP und MitM — und ihr Feld Filtern rechts ist ein Suchfeld für das Host-Muster, das sie sich mit der Filterleiste teilt. Diese Leiste erscheint für sich in Kürzlich und Aktiv und ist in DNS, UDP und MitM ausgeblendet. Das Feld unten links zeigt die aktuelle Upload- und Download-Geschwindigkeit; ein Klick klappt den Graphen auf.

Die Ansichten Kürzlich und Aktiv tragen je eine Schaltfläche Neu laden, Kürzlich außerdem ein Leeren, das die Liste leert. Daneben stehen zwei Schalter, die auf die laufende Engine wirken, genau wie die Schalter in den Apps:

• Datenverkehrsaufzeichnung aktivieren → Datenverkehrsaufzeichnung deaktivieren: schaltet die Aufzeichnung von Anfrage- und Antwort-Bodies ein (die Einstellung replica). Ohne sie erscheinen die Zeilen weiterhin mit ihrer Routing-Information, aber die Daten-Tabs lassen sich nicht auswählen. Die Schaltfläche heißt Datenverkehrsaufzeichnung, solange das Gerät noch nicht gemeldet hat, wie sie steht.
• MitM aktivieren (N Regeln) → MitM deaktivieren (N Regeln): schaltet die HTTPS-Entschlüsselung für die N Hosts der MitM-Hostliste ein; bei leerer Liste entfällt die Zahl. Der Schalter bewirkt nichts Sinnvolles, solange das Gerät keine vertrauenswürdige CA und mindestens einen Host hat — siehe die Seite HTTPS-Entschlüsselung.

Keiner der Schalter ändert die Konfigurationsdatei; ein Neustart kehrt zu dem zurück, was die Datei sagt.

Die Seitenleiste gruppiert Verbindungen nach Client: Alle Clients, dann Lokal für Clients auf dem Gerät selbst und Entfernt für andere Rechner, die dieses Chute als Proxy verwenden. Eine Auswahl engt jede Liste darauf ein. Ist das Gerät ein Chute Mac, sind die lokalen Clients die Anwendungen, mit Namen und Symbol, und das Kontextmenü bietet Im Finder anzeigen.

Aktiv und Kürzlich

Aktiv ist, was gerade offen ist; Kürzlich ist der Verlauf des Geräts, aus den Aufzeichnungen des Laufs gelesen und nach Verbindungsnummer geordnet — die neueste ganz unten. Ein Klick auf einen Spaltenkopf sortiert stattdessen nach dieser Spalte. Beide teilen sich einen Satz Spalten:

Die Spalte Flags ist der schnellste Weg zu sehen, ob eine Regel, die Sie geschrieben haben, angewendet wird:

B richtet sich nur danach, ob sich der Inhalt eines Bodys geändert hat: Ein Body, den Chute nur zum Abgleich mit den Regeln zurückgehalten oder ohne inhaltliche Änderung neu in Chunks aufgeteilt oder neu komprimiert hat, wird nicht markiert.

Kürzlich hält bis zu 5.000 Zeilen; Ältere laden am Ende der Liste holt die nächste Seite vom Gerät, und die Liste aktualisiert sich alle paar Sekunden von selbst. Ist die aktive Liste länger, als ein Steuerpaket tragen kann, weist eine Notiz unter der Tabelle darauf hin, dass die Engine sie gekürzt hat — die Zeilen sind auf dem Gerät vorhanden, und Kürzlich zeigt sie, sobald sie geschlossen sind.

Ein Rechtsklick auf eine Zeile bietet curl-Befehl kopieren, Auswahl als HAR exportieren … / Auswahl als CSV exportieren …, Alle als HAR exportieren … / Alle als CSV exportieren … und Filter auf <host> setzen; eine aktive Zeile bietet zusätzlich Verbindung beenden, was sie auf dem Gerät schließt. Ein Rechtsklick innerhalb einer Auswahl mehrerer Zeilen behält sie bei, sodass Auswahl als HAR exportieren … / Auswahl als CSV exportieren … alle markierten Zeilen nehmen; die Einträge für eine einzelne Verbindung wirken auf die angeklickte Zeile. Vier weitere Einträge wirken auf die Regeln des Geräts für diesen Host — der kürzeste Weg von einer Verbindung, die Sie gerade ansehen, zu der Regel, die sie verändert: MitM-Regel für <host> hinzufügen, MitM für <host> aktivieren, Header-Umschreibung für <host> hinzufügen und Body-Umschreibung für <host> hinzufügen.

Hinweis: Eine Zeile ist eine Verbindung, keine Anfrage. Eine Keep-Alive-Verbindung, die mehrere Anfragen getragen hat, bleibt eine Zeile, und die aufgezeichneten Daten enthalten alle diese Nachrichten hintereinander; die gezeigten Header gehören zu einer der Anfragen. Ein Browser, der eine Seite öffnet, erzeugt deshalb weniger Zeilen, als die Seite Ressourcen hat.

Die Filterleiste

Die Filterleiste engt ein, was angezeigt wird. Sie ändert nicht, was das Gerät aufzeichnet — dafür dient [Replica] auf dem Gerät.

Filter zurücksetzen zeigt wieder alles.

Verbindungsdetails

Wählen Sie eine Zeile aus, und ihre Details öffnen sich in einem Bereich unter der Liste. Die Tabs, von links nach rechts:

Allgemein — was die Liste zeigt, mit Platz ausgelegt: Verbindungsart und Statuscode; ausgehender Modus, Richtlinie und die Regel, die gepasst hat; Datenvolumen und Spitzengeschwindigkeiten; lokale und entfernte Adresse; die Startzeit; der SSL/MitM-Zustand (Abgefangen, Header geändert, Body geändert, Gemockt); und Ausgelöste Regeln — die Umschreibungs- und Mock-Regeln, die diese Verbindung verändert haben, im Wortlaut der Regel. Die Liste ist an beiden Enden gedeckelt: Die Engine behält höchstens 16 Treffer je Verbindung, und Dashboard zeigt davon 8 und hängt … N weitere an — eine Regel, die bei jedem Chunk greift, verdrängt so die übrigen.

Timing — wie der Aufbau der Verbindung sich verteilt hat, so wie die Engine es gemessen hat:

Eine Zeile, deren Wert null ist, wird weggelassen statt als Null gezeigt — eine Verbindung, deren Regel keine Adresse brauchte, hat also gar keine Zeile DNS-Auflösung. Eine langsame Anfrage ist meist in genau einer der übrigen Zeilen langsam, und welche es ist, sagt, wo zu suchen ist: DNS im Abschnitt DNS, Remote bereit in der Richtlinie oder dem Server dahinter.

Anfrage-Header / Antwort-Header — die Header als Tabelle, mit Query-Parameter und Cookies getrennt für die Anfrage und Cookies für die Antwort. Ein von einer Regel geänderter Header ist hervorgehoben. Auswahl kopieren kopiert die markierten Zeilen.

Anfrage-Daten / Antwort-Daten — der aufgezeichnete Body als Hex, Text, JSON (ein aufklappbarer Baum mit Suche) oder Bild (Einpassen / Originalgröße); er öffnet sich als Text, gleich welcher Body, und Multipart-Bodies werden in ihre Teile zerlegt. Als bin exportieren sichert die rohen Bytes, und die Textansicht bietet In Sublime Text öffnen und In VSCode öffnen an, wenn eines von beiden installiert ist. Die beiden Tabs lassen sich nur auswählen, wenn es aufgezeichnete Daten gibt: Die Aufzeichnung lief, als die Verbindung lief, und die Filter in [Replica] haben den Host durchgelassen.

Hinweis: Bodies werden so gezeigt, wie sie aufgezeichnet wurden. Eine komprimierte Antwort — Content-Encoding: gzip — wird hier nicht entpackt, ihre Text- und JSON-Ansicht sind also Rauschen; die Hex-Ansicht und Als bin exportieren liefern die Bytes, um sie anderswo zu entpacken. Das Gerät verweigert die Herausgabe eines Bodys über 2 MiB — der Tab zeigt dann Der Body konnte nicht geladen werden — und die Hex-Ansicht zeigt das erste MiB.

DNS und UDP

DNS ist der Resolver-Cache des Geräts: jede Domain mit den Adressen, zu denen sie aufgelöst wurde, dem Server, der zuerst geantwortet hat (Chute fragt alle konfigurierten Server gleichzeitig — siehe DNS), der TTL und der Herkunft des Eintrags. Diese letzte Spalte nennt die Herkunft — Config, System oder Dynamic — und keinen DNS-Eintragstyp. Die TTL wird mit mindestens 600 Sekunden gemeldet, eine kürzere erscheint also als 600.

Rechtsklick für Domain kopieren, IPs kopieren, DNS-Server kopieren und Filter auf <domain> setzen; bei einem dynamisch aufgelösten Eintrag kommt DNS-Eintrag von <domain> löschen hinzu. DNS-Cache leeren am unteren Rand leert den Cache ganz. Diese beiden letzten wirken auf den Cache des Geräts, nicht auf die Ansicht von Dashboard.

UDP listet UDP-Sitzungen — Host, Server, Richtlinie und Zustand. Für UDP gibt es keine Bodies.

MitM-Werkzeuge

Die Ansicht MitM verwaltet die fünf Regelfamilien auf dem Gerät in fünf Feldern: MitM-Regeln, Header-Umschreibung, Body-Umschreibung, Mock-Antwort und URL-Umschreibung. Was für alle gilt:

• Die Liste ist die Kopie der Regeln in der laufenden Engine, die mit dem beginnt, was die Konfigurationsdatei deklariert hat.
• Eine hinzugefügte Regel wird an das Gerät gesendet, das sie so parst, wie es eine Konfigurationszeile parsen würde; eine Zeile, die nicht parst, wird mit einem Fehler abgewiesen statt gespeichert. Ein Host in MitM-Regeln ist die Ausnahme — er ist ein Muster und keine Regelzeile, und jede nicht leere Zeichenkette wird so angehängt, wie sie eingegeben wurde.
• Änderungen leben nur in der laufenden Engine. Sie werden nicht in die Konfigurationsdatei geschrieben, und ein Neuladen oder Neustart stellt wieder her, was die Datei sagt. Finden Sie mit den Feldern die Regel, die funktioniert, und schreiben Sie sie dann in die Konfiguration.
• Ob eine Regel angewendet wird, zeigt die Spalte Flags der Liste (R, K) und Ausgelöste Regeln im Detailbereich.

MitM-Regeln — ein Host-Muster je Regel, host[:port][/path], mit vorangestelltem - zum Ausschließen: *.google.com, api.example.com:8443, api.example.com/v2/*, -*.apple.com. Dieselbe Grammatik wie der Schlüssel hostname auf der Seite HTTPS-Entschlüsselung. Die Zahl am MitM-Schalter der Symbolleiste ist die Länge dieser Liste.

Header-Umschreibung — ein Formular: URL-Regex, Anfrage oder Antwort, Hinzufügen / Ersetzen / Löschen / Ersetzen (Regex), Header-Name, Header-Wert; bei Ersetzen (Regex) kommt ein Wert-Regex hinzu, dessen Treffer im Header-Wert durch die Ersetzung ersetzt werden. Dashboard setzt die Konfigurationszeile für Sie zusammen; die Grammatik steht auf der Seite Header-Umschreibung.

Body-Umschreibung — eine Konfigurationszeile, so eingegeben, wie Sie sie in die Datei schreiben würden, in jeder der Formen, die die Engine liest: Surges http-response url-regex pattern replacement (oder http-request), Surges http-response-jq url-regex jq-program (oder http-request-jq), url-regex response regex pattern replacement (oder request) und url-regex jsonpath-response jsonpath $.path value (oder jsonpath-request). Siehe Body-Umschreibung.

Mock-Antwort — URL-Regex, der Typ des Antwort-Body: file (ein Pfad; Durchsuchen …), text, base64 oder tiny-gif (ein eingebautes transparentes 1×1-GIF ohne Inhalt), ein optionaler Statuscode und optionale Antwort-Header als durch | getrennte Name: Wert-Paare.

Hinweis: Den Pfad eines file liest das Gerät, auf dem Chute läuft, zum Zeitpunkt der Anfrage. Ein Pfad auf Ihrem Mac hat Bedeutung, wenn Dashboard mit Chute Mac auf demselben Rechner verbunden ist, und keine, wenn es mit einem iPhone verbunden ist — das Telefon hat kein /Users/…. Für ein entferntes Gerät wählen Sie text oder base64, damit der Inhalt in der Regel mitreist (siehe Mock-Antwort), oder Sie stellen die Datei unter einer URL bereit und verwenden die URL-Umschreibung.

URL-Umschreibung — URL-Regex, Ziel und Typ: header schreibt die Anfrage an Ort und Stelle um (Surges Map Remote), 302 und 307 leiten den Client um, und reject, reject-200, reject-img, reject-dict, reject-array, reject-tinygif antworten, ohne den Server zu kontaktieren. Siehe URL-Umschreibung.

Exportieren

• HAR — Rechtsklick auf die Liste: die markierten Zeilen oder alle, als HAR-1.2-Datei, die Sie in den Entwicklerwerkzeugen eines Browsers (Netzwerk → Importieren), in Charles oder Proxyman öffnen können. Ein Eintrag je Zeile mit einer aufgezeichneten HTTP-Anfrage; die übrigen — etwa reines TCP — fehlen, und der Kommentar (comment) der Datei nennt ihre Zahl. Bodies sind enthalten, wenn die Aufzeichnung lief: Dashboard ruft sie zuerst vom Gerät ab, unter einem Blatt mit der Aufschrift HAR wird exportiert … — Die aufgezeichneten Bodys werden vom Gerät abgerufen. —, mit Fortschrittsbalken und Abbrechen, das den Export verwirft. Ein Body über 512 KiB wird nur mit seiner Größe verzeichnet, und ein Export enthält höchstens 64 MiB an Bodies.
• CSV — ein fester Satz Spalten für eine Tabellenkalkulation: ID,Method,URL,Status Code,Status,Duration,Upload,Download,Process,Start Time. Es sind nicht die Spalten der Liste selbst; eine Spalte Datum, Client, Server, Richtlinie oder Flags gibt es darin nicht. Method ist die Methode der Anfrage und URL die vollständige URL, wie im HAR-Export: HTTPS, das ohne Entschlüsselung über den HTTP-Proxy lief, ergibt CONNECT und https://host. Eine Zeile ohne HTTP-Anfrage — reines TCP oder HTTPS, das TUN ohne Entschlüsselung weitergeleitet hat — gibt dort stattdessen ihren Verbindungstyp und Host aus.
• curl-Befehl kopieren — ein curl-Aufruf, der die Anfrage mit Methode, Headern und Body von Ihrem Mac aus wiederholt; ein Body wird zuerst vom Gerät abgerufen. Content-Length überlässt er curl. Eine Zeile, die nur ein Tunnel ist — ein nicht entschlüsseltes CONNECT oder reines TCP —, ergibt nur curl und die URL.
• Als bin exportieren — ein Body, wie aufgezeichnet.

Dashboard baut sein HAR aus der Liste und den Bodies, die es vom Gerät abruft. Die Engine kann selbst eines bauen — mit passender Regel, Richtlinie und den ausgelösten Umschreibungen in einem _kl-Objekt je Eintrag und Sende-/Empfangszeiten aus der Aufzeichnung — über HAR exportieren in der Konsole oder GET /api/connections/export?format=har.

Was Dashboard nicht erreicht

Dashboard spricht den binären Steuerkanal der Engine, und manches, was die Engine kann, gibt es nur auf der HTTP-Control-API. Verwenden Sie dafür die Web-Konsole oder die API:

• das Diagnosepaket, Zustand, Ablehnungszähler und Ereignisse;
• die Trefferzahlen je Regel auf der Seite „Regeln“ der Konsole und die Antwort, die sie geben: hat diese Regel je gegriffen;
• das HAR der Engine, oben;
• das Protokoll.

Noch eine Sache, die Sie wissen sollten, bevor Sie sich darauf verlassen:

• Auf iPhone, Apple TV und Android sind HTTPS-Entschlüsselung und Body-Aufzeichnung lizenzpflichtige Funktionen. Ohne Lizenz verbindet sich Dashboard trotzdem und zeigt jede Verbindung mit Regel und Richtlinie, aber HTTPS-Zeilen werden nie entschlüsselt — kein M-Flag — und die Daten-Tabs lassen sich nicht auswählen. Auf iPhone und Android bleibt der MitM-Schalter in der App nicht eingeschaltet, stattdessen erscheint ein Kaufhinweis; das Apple TV hat auf seinem Bedienfeld überhaupt keine MitM-Zeile. Siehe Lizenz und Aktivierung.