长亭 Xray Web 漏洞扫描器实战指南
Xray 是由长亭科技开源的一款高性能 Web 漏洞扫描器，核心能力源自企业级产品'洞鉴'。它基于 Go 语言开发，跨平台免安装，特别适合安全研究人员和渗透测试工程师使用。
相比传统工具，Xray 最大的优势在于误报率极低。它采用语义分析技术，特别是在 XSS 和 SQL 注入检测上表现优异。内置的 Payload 都是无害化的 Proof of Concept，只验证漏洞存在，不会破坏数据。支持用户编写 YAML 格式的自定义 POC，能快速响应新爆发的 0day 漏洞。
⚠️ 重要提示：本工具仅用于授权的安全测试、本地靶场练习或自有系统自查。未经授权扫描他人系统是违法行为。
环境准备与安装
Xray 无需复杂安装，解压即用。建议优先访问官方 GitHub 仓库下载最新版本。
- Windows:
xray_windows_amd64.zip - Linux:
xray_linux_amd64.zip - macOS:
xray_macos_amd64.zip(M1/M2 芯片请选 arm64)
Windows 快速启动
解压后直接双击 .exe 文件即可。如果需要扫描 HTTPS 流量，建议先生成 CA 证书：
.\xray_windows_amd64.exe genca
按提示将生成的 ca.crt 导入到浏览器和操作系统的'受信任的根证书颁发机构'，否则无法拦截加密流量。
Linux / macOS 快速启动 解压并赋予执行权限：
unzip xray_linux_amd64.zip
chmod +x xray
./xray genca
同样需要将 ca.crt 导入系统信任库（Ubuntu 可执行 sudo cp ca.crt /usr/local/share/ca-certificates/ && sudo update-ca-certificates）。
核心工作模式详解
Xray 主要有三种使用场景，对应不同的命令模式，理解它们的区别能帮你更高效地工作。
| 模式 | 描述 | 适用场景 |
|---|---|---|
被动扫描 (webscan --listen) | 作为 HTTP 代理，监听端口，分析经过的流量 | 配合浏览器手动测试、Burp Suite 联动、爬虫工具。最常用，不漏掉复杂逻辑漏洞。 |
主动扫描 (webscan --url) | 内置简易爬虫，自动爬取目标并检测 | 快速摸底、资产普查、简单站点检测。速度快，一键操作。 |
爬虫独立模式 (radium) | 仅运行爬虫，将链接输出给其他工具 | 需要定制化处理爬虫结果的场景，灵活对接自定义检测引擎。 |
实战演示：命令大全
⚠️ 注意：以下演示请在本地靶场（如 DVWA, Vulhub）或已授权的环境中进行。
场景一：被动扫描（推荐入门）
这是最常用的方式。你配置浏览器代理指向 Xray，正常浏览网站时，Xray 会自动分析流量。
# Windows
.\xray_windows_amd64.exe webscan --listen 127.0.0.1:7777 --html-output report_passive.html
# Linux / macOS
./xray webscan --listen 127.0.0.1:7777 --html-output report_passive.html
启动后，将浏览器代理设置为 127.0.0.1:7777，随意点击页面、提交表单。扫描完成后，打开 report_passive.html 查看结果。这里有个细节，--html-output 参数生成的报告可视化效果很好，方便后续汇报。
场景二：主动扫描（快速摸底）
如果你已知入口点，希望快速发现表面漏洞，可以用主动模式。
# 基础扫描：扫描单个 URL
./xray webscan --url http://testphp.vulnweb.com/ --html-output report_active.html
# 进阶扫描：指定插件模块（只扫 SQL 注入和 XSS，加快速度）
./xray webscan --url http://testphp.vulnweb.com/ --plugins sqldet,xss --html-output report_fast.html
# 深度扫描：增加爬虫深度（默认较浅，可调大）
./xray webscan --url http://testphp.vulnweb.com/ --max-depth 5 --html-output report_deep.html
--plugins 参数非常实用，比如只开启 sqldet 和 xss 可以显著减少扫描时间。--max-depth 控制爬虫爬取的深度，防止无限爬取导致资源耗尽。
场景三：与 Burp Suite 联动（专家模式）
利用 Burp 强大的抓包改包能力，结合 Xray 的自动化检测能力。流量路径是：浏览器 -> Burp (Proxy) -> Xray (Proxy) -> 目标服务器。
- 启动 Xray（监听 7777）：
./xray webscan --listen 127.0.0.1:7777 --html-output report_burp.html - 配置 Burp Suite：打开
Proxy->Options，找到Upstream Proxy Servers，添加规则匹配所有主机 (.*)，指向127.0.0.1:7777。 - 配置浏览器：代理指向 Burp (通常是
127.0.0.1:8080)。 - 开始测试：在 Burp 中修改数据包发送，流量会经过 Xray 检测，结果实时记录。
场景四：指定配置文件与高级参数
Xray 的强大在于其 config.yaml 配置文件，可以精细控制扫描行为。
# 使用自定义配置文件
./xray webscan --url http://target.com --config my_config.yaml --html-output result.html
# 只输出 JSON 格式结果（便于对接 CI/CD 或自动化平台）
./xray webscan --url http://target.com --json-output result.json
# 限制扫描速率，防止把目标扫挂 (QPS 限制)
./xray webscan --url http://target.com --rate-limit 10 --html-output safe_report.html
高级技巧：自定义 POC 与联动
当爆发新漏洞（如 Log4j2, Fastjson 新变种）时，官方规则可能未及时更新，你可以自己写。Xray 使用 YAML 格式编写 POC。
示例：检测一个简单的回显型命令注入
创建文件 my_poc.yaml：
name: poc-yaml-custom-cmd-injection
rules:
method: GET
path: /ping?ip=127.0.0.1;whoami
expression: response.body.bcontains(b"root") || response.body.bcontains(b"user")
detail:
author: your_name
description: 自定义命令注入检测
运行命令加载自定义 POC：
./xray webscan --url http://target.com --plugins my_poc.yaml --html-output custom_report.html
# 或者将 poc 放入 plugins 目录，默认会自动加载
如果 Xray 自带的爬虫不够强，可以先用 Radium 爬取所有链接，再喂给 Xray：
# 使用 Radium 爬取链接并保存
./radium --url http://target.com --output links.txt
# 使用 Xray 批量扫描这些链接 (需配合脚本或 xray 的 stdin 模式)
cat links.txt | xargs -I{} ./xray webscan --url {} --html-output batch_{}.html
报告解读与误报处理
扫描完成后，打开生成的 .html 报告：
- 概览：查看漏洞总数、风险等级分布（高/中/低/提示）。
- 详情：点击具体漏洞，查看请求包 (Request) 和响应包 (Response)。重点看响应包的高亮部分，这是判断漏洞是否成立的依据。
- 误报处理：如果确认是误报，可在配置文件的
blacklist中添加特征，或在自定义 POC 中优化表达式。常见误报原因包括 WAF 拦截返回特定页面、动态内容随机变化等。
常见问题 FAQ
Q1: 扫描 HTTPS 网站报错或没反应？
必须生成并信任 Xray 的 CA 证书。运行 ./xray genca，然后将生成的 ca.crt 导入操作系统和浏览器的'受信任的根证书颁发机构'。
Q2: 扫描速度太慢怎么办？
- 使用
--plugins参数只开启需要的检测模块。 - 如果是内网，检查网络延迟。
- 调整
--rate-limit参数（适当调大，但别把目标扫崩）。
Q3: 为什么有些明显的漏洞扫不出来？
- 漏洞位于深层逻辑，需要特定参数或登录状态（建议使用被动扫描，人工登录后让流量经过 Xray）。
- 目标有 WAF 拦截了探测 Payload。
- 这是一个逻辑漏洞，而非通用技术漏洞（通用扫描器很难检测逻辑漏洞）。
Q4: 可以在生产环境直接使用吗？ 谨慎！虽然 Xray 的 Payload 是无害的，但高并发扫描仍可能导致服务不稳定。务必先在测试环境验证，并在生产环境限制扫描速率（--rate-limit），最好避开业务高峰期。
工具只是辅助，核心在于人的思维。掌握原理比单纯跑工具更重要。