1. 项目概述为什么我们需要XRAY在安全测试的日常里我们常常面临一个矛盾一方面时间紧、任务重需要快速对目标资产进行一轮全面的风险排查另一方面手动测试虽然精准但效率低下而市面上一些自动化扫描器要么误报率高得吓人要么漏报严重生成的报告还得花大量时间去筛选和验证。这种时候一个既“聪明”又“听话”的工具就显得尤为重要。XRAY这款由长亭科技自研的安全评估工具正是在这种需求下诞生的。它不是一个简单的漏洞“喷洒器”而是一个集成了被动扫描、主动爬虫、自定义POCProof of Concept引擎和反连平台等高级功能的综合平台旨在成为安全工程师和渗透测试人员手中的“瑞士军刀”。简单来说XRAY能帮你做三件核心的事自动化发现、精准化验证、深度化挖掘。无论是刚入门的新手想快速上手Web漏洞扫描还是资深的安全研究员需要对一个复杂应用进行深度漏洞挖掘XRAY都提供了相应的能力模块。它支持从最基础的爬虫扫描到利用反连平台检测盲注、SSRF等高阶漏洞其插件化架构和活跃的社区POC库让它能紧跟最新的漏洞动态。我接触XRAY已经有好几年了从它早期的版本用到现在的2.0系列最大的感受就是它在保持强大检测能力的同时一直在努力降低使用门槛让自动化安全评估变得更流畅、更可控。接下来我就结合自己大量的实战经验带你从零开始彻底玩转XRAY不止于简单的扫描更要深入到高级漏洞挖掘的层面。2. 核心架构与工作模式解析要熟练使用一个工具首先要理解它是怎么工作的。XRAY的核心设计哲学是“流量驱动”和“插件化检测”。这决定了它的两种主要工作模式被动扫描和主动扫描。理解这两种模式的适用场景和底层原理是你能否用好XRAY的关键。2.1 被动扫描模式扮演一个“聪明的中间人”被动扫描是XRAY最经典也是我认为最实用的模式。它的工作方式类似于Burp Suite的Scanner但更加轻量和专注。你不需要让XRAY去主动“轰炸”目标而是让它静静地监听一个端口比如127.0.0.1:7777然后将你的浏览器或其他HTTP客户端的代理设置为这个地址。工作原理是这样的流量镜像你所有通过代理的HTTP/HTTPS请求和响应都会被XRAY捕获。智能分析XRAY的核心引擎会实时分析这些流量。它不仅仅看单个请求还会构建会话上下文分析参数、Cookie、Token等。插件检测分析后的请求会被送入各个检测插件如sqldet,xss,path-traversal。插件基于语义分析、规则匹配、Payload模糊测试等方式判断是否存在漏洞。结果输出一旦发现疑似漏洞XRAY会按照你配置的格式HTML、JSON、文本生成报告。为什么被动扫描如此重要低干扰不会对目标服务器产生大量额外请求避免了因扫描行为触发WAFWeb应用防火墙封禁或干扰正常业务的风险。这在测试生产环境时至关重要。高精度检测基于真实的用户流量。你手动测试的每一个功能点、提交的每一个表单都会成为XRAY的分析素材。这大大减少了针对不存在功能的无效扫描发现的漏洞通常都是“真”漏洞误报率相对较低。上下文感知能够处理复杂的业务逻辑流比如需要先登录、然后进行多步操作才能触发的漏洞点。主动爬虫很难模拟这种复杂交互。实操心得在测试需要登录的系统时我通常会先用浏览器正常完成登录确保所有会话Cookie都通过XRAY代理。然后我再在系统内进行手动探索点击各个功能链接、提交表单。此时XRAY就在后台默默地分析所有流量。这种方法结合了人的“探索性思维”和工具的“自动化检测能力”效率和质量都非常高。2.2 主动扫描模式全自动的“探索者”当你面对一个全新的、未知的Web应用或者需要快速进行资产普查时被动扫描的“等待”模式就显得力不从心了。这时就需要主动扫描模式登场。XRAY的主动扫描主要依靠其内置的基础爬虫。你只需要给它一个起始URL例如http://example.com它就会像搜索引擎的蜘蛛一样自动抓取页面上的所有链接分析表单并尝试构造请求去探索整个网站的结构。主动扫描的流程爬取阶段爬虫从种子URL开始递归地抓取链接形成站点地图。请求重放与变异对于爬取到的每一个请求尤其是带参数的GET/POST请求XRAY会将其作为检测的输入。漏洞检测与被动模式类似将变异后的请求发送给各个检测插件进行漏洞测试。报告生成。主动扫描的优劣分析优势自动化程度高无需人工干预即可完成对目标站点的初步漏洞筛查适合资产梳理和初筛。劣势爬虫局限性对于依赖大量JavaScript渲染的现代单页面应用SPA基础爬虫可能无法抓取到全部内容。虽然XRAY有一定JS解析能力但复杂交互仍需人工辅助或更高级的爬虫。高干扰性会产生大量扫描流量极易触发安全设备的警报。逻辑漏洞盲区无法理解业务逻辑对于需要特定顺序、特定权限才能触发的漏洞如越权访问、业务流程漏洞基本无效。我的常用策略是“主被动结合”先用主动扫描对目标进行一轮快速、粗粒度的“面”覆盖发现常见的、低垂的漏洞如暴露的备份文件、默认弱口令、明显的SQL注入点。然后针对主动扫描发现的重要功能模块如登录后台、用户中心、订单系统切换到被动扫描模式进行深度的手动测试与流量分析。这样既能保证效率又能确保深度。2.3 插件化引擎XRAY的“心脏”无论是被动还是主动模式真正执行检测任务的是一个个独立的插件。XRAY社区版内置了十多个核心插件高级版还包含一些针对特定框架如Struts2, ThinkPHP, Shiro的深度检测插件。每个插件都是一个独立的检测模块专注于一类漏洞。例如sqldet采用多种技术布尔盲注、时间盲注、报错注入检测SQL注入。xss利用语义分析而非简单的Payload匹配能有效降低误报发现更隐蔽的XSS点。phantasm这是XRAY的王牌功能——自定义POC引擎。你可以编写YAML格式的POC规则让它去检测任何你想要的漏洞无论是0day还是Nday。这种插件化设计带来了巨大的灵活性。你可以通过--plugins参数自由组合本次扫描要启用的插件。例如如果你只想找SQL注入和命令执行漏洞可以这样运行xray webscan --plugins sqldet,cmd-injection --basic-crawler http://target.com这避免了不必要的扫描项提升了扫描速度和针对性。3. 从零开始环境部署与基础扫描实战理论讲得再多不如动手操作一遍。我们从一个最干净的Linux环境开始完成XRAY的安装、配置并执行一次完整的基础扫描。3.1 系统环境准备与XRAY安装XRAY是Go语言编写的官方提供了编译好的二进制文件跨平台支持很好。这里以最常见的Linux x86_64系统为例。步骤1下载与解压访问XRAY的GitHub Release页面通常可以从官方文档链接跳转找到最新的稳定版。使用wget或curl下载。# 创建一个专用目录 mkdir ~/xray cd ~/xray # 下载最新版版本号请替换为实际最新版 wget https://github.com/chaitin/xray/releases/download/版本号/xray_linux_amd64.zip # 解压 unzip xray_linux_amd64.zip # 授予执行权限 chmod x xray_linux_amd64 # 为了方便可以重命名或创建软链接 mv xray_linux_amd64 xray解压后目录下会有几个关键文件xray主程序、config.yaml配置文件、pocsPOC目录等。步骤2运行初体验与生成配置文件首次运行XRAY它会自动在当前目录下生成一个默认的配置文件。./xray version如果看到版本号输出说明程序可以正常运行。接下来生成默认配置./xray genca这条命令会在当前目录生成一个ca.crt和ca.key文件。这是用于HTTPS流量抓取的根证书非常重要。我们需要将其导入到系统的受信任根证书颁发机构或浏览器的证书存储中才能解密HTTPS流量。步骤3安装CA证书以Firefox浏览器为例打开Firefox进入设置-隐私与安全-证书-查看证书。选择证书颁发机构标签页点击导入。选择刚才生成的ca.crt文件勾选信任此证书颁发机构以标识网站确定。对于Chrome/Edge浏览器它们通常使用系统的证书存储。在Linux上你可以将ca.crt复制到/usr/local/share/ca-certificates/然后运行sudo update-ca-certificates。注意事项自签名的CA证书仅用于测试环境。在生产环境或测试他人系统时务必在测试结束后从浏览器中移除该证书以防安全风险。同时确保你的ca.key私钥文件妥善保管不可泄露。3.2 第一次主动扫描基础爬虫实战假设我们有一个用于测试的靶场地址http://testphp.vulnweb.com。这是一个知名的漏洞演示网站非常适合练手。执行基础爬虫扫描./xray webscan --basic-crawler http://testphp.vulnweb.com --html-output first_scan.html--basic-crawler: 指定使用基础爬虫模式并传入起始URL。--html-output: 将扫描结果输出为HTML报告。运行命令后你会在终端看到实时的日志输出显示爬虫发现的链接数量、正在检测的插件、以及发现的漏洞信息。扫描结束后当前目录下会生成一个first_scan.html文件。用浏览器打开它你会看到一个非常清晰的漏洞报告界面列出了漏洞类型、URL、请求/响应详情、风险等级等。报告解读与初步分析 首次扫描可能会发现一些如目录枚举 (dirscan)暴露的敏感路径如/admin/,/backup.sql或者简单的XSS、SQL注入漏洞点。报告中的“请求”和“响应”选项卡非常有用它展示了触发漏洞的原始Payload和服务器返回的结果这是你后续进行手动验证和深入利用的起点。3.3 配置与启动被动扫描代理被动扫描需要更精细的配置。我们需要编辑config.yaml文件。关键配置项解析监听地址默认配置中已经有一个mitm配置段。mitm: listen: 127.0.0.1:7777 # 监听地址和端口 enabled: true你可以将端口改为任何未被占用的端口如8080。插件配置在plugins配置段你可以全局启用或禁用某些插件也可以配置插件的具体参数。例如dirscan插件可以自定义字典文件路径。plugins: dirscan: enabled: true dictionaries: # 自定义目录字典路径 - “./dictionaries/dir.txt”反连平台配置这是高级漏洞挖掘如盲注、SSRF的核心。反连平台是一个由你控制的服务器用于接收目标服务器在漏洞触发后发回的连接请求从而证明漏洞存在。reverse: db_file_path: “./reverse.db“ # 反连信息存储数据库 token: “your_random_token_here“ # 用于验证反连请求的令牌建议修改 http: enabled: true listen: 0.0.0.0:80 # 反连平台HTTP服务监听地址 dns: enabled: true listen: 0.0.0.0:53 # 反连平台DNS服务监听地址 domain: “yourdomain.com“ # 你的域名需要将NS记录指向此服务器IP配置反连平台需要你有一台具有公网IP的服务器并将域名解析配置好。对于内网测试可以使用frp、ngrok等工具进行内网穿透。启动被动扫描服务 配置好后使用以下命令启动./xray webscan --listen 127.0.0.1:7777 --html-output passive_scan.html现在XRAY就在127.0.0.1:7777上运行着一个HTTP代理服务器。接下来你需要配置你的浏览器或系统代理将所有流量指向这里。浏览器代理配置以Firefox为例打开Firefox网络设置设置-网络设置-设置。选择手动代理配置。HTTP代理和SSL代理均填写127.0.0.1端口7777。勾选也为 HTTPS 使用此代理。确保不使用代理一栏为空或仅包含本地地址如localhost, 127.0.0.1。配置完成后用浏览器访问任何网站XRAY都会在后台分析流量。你可以专门去访问你的测试目标并进行各种操作。4. 核心功能深度解析与高级用法掌握了基础操作后我们来深入探讨XRAY的几个核心高级功能这些功能是将其从一个“扫描器”升级为“漏洞挖掘平台”的关键。4.1 自定义POCPhantasm插件实战内置插件能覆盖大部分常见漏洞但安全研究永远面对的是未知。当出现一个新的框架漏洞比如某个CMS的0day或一个独特的业务逻辑漏洞时你需要自己编写检测规则。这就是phantasm插件的用武之地。XRAY的POC采用YAML格式编写结构清晰。我们以一个虚构的简单漏洞为例假设某系统存在一个API接口/api/userinfo通过GET参数id查询用户信息但当id参数为特定值admin时会未授权返回所有用户信息。编写一个POC YAML文件unauth_userinfo.ymlname: poc-example-unauth-userinfo rules: - method: GET path: /api/userinfo headers: User-Agent: Mozilla/5.0 (compatible; XRAY) params: id: admin expression: | response.status 200 response.body.bcontains(b“username“) response.body.bcontains(b“email“) !response.body.bcontains(b“permission denied“) detail: author: yourname links: - https://example.com/vuln-detailname: POC名称。rules: 核心规则列表。每个规则定义一组请求和判断逻辑。method/path: 请求方法和路径。headers/params/body: 可以定义请求头、查询参数、请求体。expression: 一个布尔表达式用于判断响应是否匹配漏洞特征。这里使用了bcontains检查响应体是否包含特定字节序列。detail: 漏洞详情信息。如何使用自定义POC将写好的YAML文件放入XRAY目录下的pocs/文件夹中你可以新建子目录分类管理。运行扫描时phantasm插件会自动加载该目录下的所有POC。你也可以通过--poc参数指定单个POC文件进行测试。./xray webscan --url http://target.com --poc ./pocs/custom/unauth_userinfo.ymlPOC编写高级技巧动态变量可以使用{{randstr}},{{randint}}等生成随机值避免缓存。多阶段攻击可以定义多个rule按顺序执行后一个规则可以引用前一个规则的输出如提取的Cookie、Token。反连平台集成在规则中可以使用{{reverse_url}}或{{dnslog_url}}等变量将反连平台的地址作为Payload的一部分用于检测盲注、SSRF等漏洞。这是高阶漏洞挖掘的核心。4.2 反连平台检测“看不见”的漏洞很多严重的漏洞是没有直接回显的比如盲SQL注入页面响应没有明显区别只能通过时间延迟或外带数据判断。盲SSRF服务端发起了请求但响应不返回给前端。无回显的命令执行命令执行了但输出不在HTTP响应中。反连平台就是为了解决这些问题。其原理是让目标服务器主动连接一个由我们控制的服务器。如果连接成功就证明漏洞触发了。配置与使用流程部署反连服务器在公网服务器上运行XRAY的反连服务配置见上文reverse部分。确保防火墙开放了配置的端口如80、53。配置域名DNS如果你使用了DNS反连检测DNS请求需要将一个子域名的NS记录指向你的反连服务器IP。例如配置dnslog.yourdomain.com的NS记录。在POC或扫描中引用在需要检测盲注的地方使用反连平台提供的地址。在POC的expression中可以检查反连数据库是否有新记录reverse.wait(5)等待5秒看是否有反连记录。在手动测试时可以使用XRAY生成一个临时的反连地址用于Payload构造。实战案例检测盲SSRF假设一个参数url存在SSRF但无回显。我们可以构造这样一个Payloadhttp://vulnerable.com/ssrf?urlhttp://{{reverse_url}}/test这里的{{reverse_url}}会被替换成类似xxxxxx.rev.xray.cool的地址如果你使用XRAY社区版提供的临时反连服务或者你自己服务器的地址。如果目标服务器尝试访问了这个地址你的反连平台就会收到一个HTTP请求从而证实漏洞存在。避坑指南反连平台的公网部署可能会遇到网络问题。务必检查服务器安全组/防火墙规则确保监听端口可被访问。对于DNS反连配置生效可能需要一段时间TTL。在内网测试时可以尝试使用dnslog.cn这类公共服务但需要注意数据隐私。4.3 扫描策略优化与性能调优默认配置下的XRAY可能不是最高效的。面对大型目标时我们需要调整策略。插件选择性启用不要总是全插件扫描。根据目标技术栈选择插件。如果目标是纯静态页面扫描sqldet和upload就是浪费资源。使用--plugins参数精确控制。# 只扫描常见注入和XSS ./xray webscan --plugins xss,sqldet,cmd-injection,path-traversal --basic-crawler http://target.com控制爬虫深度与速度在config.yaml的basic-crawler部分可以调整max_depth最大爬取深度、max_count_of_links最大链接数和并发数避免爬取过深或陷入死循环。请求间隔与超时设置在http配置段可以设置max_redirects最大重定向次数、timeout请求超时时间。适当增加超时可以应对网络慢的目标但会降低整体速度。使用代理池如果扫描行为被目标封禁IP可以在配置中设置上游代理如Burp Suite、一些代理API实现IP轮换。http: proxy: “http://proxy1:port, http://proxy2:port“ # 代理服务器列表逗号分隔 proxy_strategy: roundrobin # 代理策略轮询结果去重与过滤XRAY的报告可能会包含大量重复或低危的发现如多个参数存在同一种XSS。虽然报告本身有聚合但在后续处理时可以编写脚本对JSON格式的输出进行二次分析和过滤聚焦于高风险、独特的漏洞点。5. 典型漏洞挖掘实战与深度利用让我们结合几个具体场景看看如何将XRAY的功能组合起来进行深度漏洞挖掘。5.1 场景一挖掘需要Cookie的越权访问漏洞目标一个需要登录的用户管理系统测试是否存在水平越权查看他人信息或垂直越权未授权访问管理功能。步骤配置被动扫描启动XRAY被动代理 (--listen)。浏览器登录用低权限账号如普通用户A登录系统所有流量经过XRAY代理。手动探索在浏览器中点击“我的资料”、“修改信息”等所有功能链接。XRAY会记录下这些需要Cookie的授权请求。分析请求在XRAY的扫描日志或最终报告中找到访问用户信息API的请求例如GET /api/user?id123。修改参数重放使用Burp Suite的Repeater模块或者任何HTTP客户端工具截获或手动构造这个请求。将Cookie替换为用户B的Cookie或者直接将URL中的id123修改为id124假设124是另一个用户的ID。观察响应如果返回了用户B的信息则存在水平越权。如果返回了“无权访问”等提示则可能安全。自动化辅助对于这种参数遍历测试可以结合XRAY的POC功能。编写一个POC其规则是携带用户A的Cookie但遍历id参数如{{randint(100,200)}}并检查响应中是否包含敏感信息模式如邮箱、手机号。然后使用phantasm插件运行这个POC。注意此操作可能产生大量请求务必在授权测试范围内进行。5.2 场景二利用反连平台验证时间盲注目标一个搜索功能参数keyword可能存在基于时间的SQL盲注。手动测试发现疑点 输入keywordtest‘ and sleep(5)--页面响应延迟了5秒初步怀疑存在时间盲注。使用XRAY反连平台进行自动化验证确保反连平台配置正确并运行。编写或使用内置POCXRAY的sqldet插件本身已经集成了时间盲注的检测逻辑并且支持反连平台。我们更多是理解其原理。分析检测过程当sqldet插件检测到可能的注入点时它会尝试多种Payload其中时间盲注的Payload可能会构造如test‘ AND (SELECT SUBSTRING((SELECT DATABASE()),1,1))‘a‘ AND IF(11, SLEEP(5), 0)--但更高级的检测会结合反连。例如它可能先尝试一个能触发外带数据的Payload看反连平台是否收到请求这比单纯测延迟更可靠。查看结果如果漏洞存在在XRAY的HTML报告中该漏洞的“详情”部分会显示触发的Payload以及反连平台接收到的请求日志这是非常强的证据。5.3 场景三联动其他工具构建自动化流程XRAY不是孤岛。它可以很好地与其他安全工具集成形成自动化工作流。与子域名枚举工具联动使用subfinder,amass,oneforall等工具收集目标的子域名输出到一个文件subdomains.txt。编写一个Shell脚本或Python脚本读取subdomains.txt中的每个域名调用XRAY进行快速扫描。#!/bin/bash while IFS read -r domain; do echo “Scanning $domain...“ ./xray webscan --basic-crawler “https://$domain“ --html-output “scan_${domain}.html“ --json-output “scan_${domain}.json“ 21 | tee “log_${domain}.txt“ done subdomains.txt最后可以写另一个脚本将所有JSON结果合并分析统计漏洞分布。与Burp Suite联动 虽然XRAY自己有代理模式但Burp Suite在手动测试和流量拦截修改方面更强大。我们可以将两者结合将Burp Suite设置为上游代理XRAY设置为下游代理或者反过来取决于你想让谁先分析流量。更常见的做法是在Burp Suite中手动测试发现有趣的请求或参数后将其发送到XRAY进行深度扫描。这需要一些自定义扩展但思路是相通的利用Burp的API将请求数据导出然后格式化成XRAY可读的输入如Raw HTTP请求文件再用XRAY的--raw-request参数如果支持或通过编写POC来检测。6. 常见问题、排查技巧与最佳实践在长期使用XRAY的过程中我踩过不少坑也总结了一些经验。6.1 安装与启动问题问题运行./xray提示Permission denied或No such file or directory。解决chmod x xray赋予执行权限。如果是在Windows下载的压缩包传到Linux注意二进制文件格式是否正确可使用file xray命令查看。问题启动被动代理后浏览器无法上网或访问异常。解决检查防火墙是否放行了XRAY监听端口。检查浏览器代理设置是否正确是否将本地地址127.0.0.1,localhost排除在代理之外。确认已正确安装并信任了CA证书针对HTTPS网站。查看XRAY运行日志看是否有错误信息。6.2 扫描效果不佳问题问题主动爬虫什么也爬不到或者爬取深度很浅。解决目标可能是单页面应用SPA。基础爬虫对JavaScript动态加载的内容处理能力有限。可以尝试结合selenium或puppeteer等无头浏览器先渲染页面再将链接喂给XRAY。检查config.yaml中的爬虫配置适当增加max_depth和max_count_of_links。目标可能有反爬机制如验证码、频率限制。需要调整请求头User-Agent、添加延迟或使用代理池。问题漏报严重手动能发现的漏洞XRAY没扫出来。解决确认相关插件已启用--plugins。检查该漏洞的触发条件是否复杂如多步流程、特定的Header、JSON格式数据。内置插件主要针对通用漏洞模式。对于复杂逻辑漏洞必须依靠被动扫描结合手动测试或编写自定义POC。Payload可能被WAF拦截。查看XRAY发送的请求日志可通过--log-level debug开启更详细日志看Payload是否被修改或请求是否被阻断。尝试使用编码、混淆等绕过技术但这通常需要自定义POC实现。问题误报太多需要花大量时间验证。解决这是自动化扫描器的通病。可以利用XRAY报告的“原始请求/响应”功能快速人工复核。通常误报都有特定模式如页面包含某些关键字被规则误匹配。调整插件敏感度。部分插件在配置文件中可能有敏感度参数。对于特定业务编写“白名单”规则在后期处理中过滤掉已知的误报源如特定的静态页面。6.3 性能与稳定性问题问题扫描大型网站时速度很慢或内存占用过高。解决限制范围使用--url-file指定待扫描的URL列表而不是无差别爬取。减少插件只启用必要的插件。调整并发在config.yaml的http部分调整max_parallel最大并行数不要设置过高通常10-20即可。分而治之将目标按功能模块拆分分批扫描。问题长时间扫描过程中XRAY崩溃。解决检查系统资源内存、磁盘空间。查看崩溃时生成的日志或系统日志dmesg。尝试使用--log-level debug运行看崩溃前是否有错误堆栈。考虑是否为版本Bug尝试升级到最新稳定版。6.4 最佳实践总结明确授权合规第一永远只在拥有明确书面授权的目标上进行测试。未经授权的扫描是违法行为。先信息收集后针对性扫描不要一上来就全插件猛扫。先用子域名枚举、端口扫描、指纹识别可以配合XRAY 2.0的xapp工具摸清资产轮廓和技术栈再有针对性地启用插件。主被动结合人工主导将XRAY视为“辅助大脑”和“自动化助手”而不是“全自动挖洞机”。用主动扫描做初筛用被动扫描做深度测试用自定义POC解决特定问题。善用反连平台对于盲注、SSRF、无回显RCE等漏洞反连平台是唯一可靠的验证手段。花时间搭建和维护好它。持续学习POC编写关注安全社区学习新漏洞的利用方式并尝试将其转化为XRAY的POC。这不仅能提升你的工具能力也能加深对漏洞原理的理解。管理好你的配置和结果为不同的项目建立不同的配置文件和工作目录。扫描结果特别是JSON格式及时归档和分析可以建立自己的漏洞知识库。XRAY是一个强大的工具但它的威力完全取决于使用它的人。工具本身不会思考而漏洞挖掘的本质是思考力的比拼。希望这篇指南能帮你更好地驾驭XRAY让它成为你安全攻防道路上得力的伙伴。记住工具是手臂而你的大脑才是核心。多动手多思考多总结才能在漏洞挖掘的道路上越走越远。