Xray Web 漏洞扫描器实战笔记

命令实战

⚠️ 下面的例子请放在本地靶场（比如 DVWA、Vulhub）或者明确授权的环境里跑。

被动扫描：最适合先上手

这个模式的思路很直接：让浏览器流量经过 Xray，它边转发边分析。实际测试里，这也是我最常用的方式，因为你手工点到哪里，它就看哪里，适合深一点的验证。

1. 启动 Xray 监听本地 7777 端口，并输出 HTML 报告。
2. 把浏览器代理指向 127.0.0.1:7777。
3. 正常访问目标站点，Xray 会自动记录流量并做检测。

# Windows
.\xray_windows_amd64.exe webscan --listen 127.0.0.1:7777 --html-output report_passive.html

# Linux / macOS
./xray webscan --listen 127.0.0.1:7777 --html-output report_passive.html

参数含义很直白：

• --listen：指定监听地址和端口。
• --html-output：扫描结束后生成 HTML 报告。

启动后，直接浏览目标站点，随便点击页面、提交表单就行。结束后看 report_passive.html，结果会比实时日志更好读。

主动扫描：快速摸底

如果你已经知道入口 URL，想先看一眼表面问题，用主动扫描更省事。

# 扫描单个 URL
./xray webscan --url http://testphp.vulnweb.com/ --html-output report_active.html

# 只跑部分插件，速度更快
./xray webscan --url http://testphp.vulnweb.com/ --plugins sqldet,xss --html-output report_fast.html

# 提高爬虫深度
./xray webscan --url http://testphp.vulnweb.com/ --max-depth 5 --html-output report_deep.html

这里几个参数值得记一下：

• --url：起始地址。
• --plugins：只启用指定检测模块，逗号分隔，比如 sqldet、xss、cmd-injection。
• --max-depth：控制爬虫深度。太小会漏页面，太大又容易把时间花在无关链接上。

和 Burp Suite 联动

如果你已经在用 Burp，Xray 更像是一个补位工具。Burp 负责抓包、改包和人工验证，Xray 在后面做自动化检测。这个组合挺实用，尤其是你不想把 Burp 当成纯代理时。

流量链路可以理解为：浏览器 -> Burp -> Xray -> 目标服务器。

1. 启动 Xray，监听 7777：

./xray webscan --listen 127.0.0.1:7777 --html-output report_burp.html

2. 配置 Burp Suite：

   • 打开 Burp -> Proxy -> Options（或 Proxy Settings）。
   • 找到 Upstream Proxy Servers。
   • 添加规则，匹配所有主机 .*，指向 127.0.0.1:7777。

3. 配置浏览器：

   • 浏览器代理指向 Burp，通常是 127.0.0.1:8080。

4. 开始测试：

   • 在 Burp 里手工改包，或者把请求丢给 Repeater / Intruder。
   • Xray 会在后面接住这些流量并做检测，结果会写进 report_burp.html。

自定义配置和高级参数

Xray 的很多行为都能放进 config.yaml 控制。实际使用里，我一般会把常用参数收进配置文件，不然命令行太长，很容易看不清自己到底开了什么。

# 使用自定义配置文件
./xray webscan --url http://target.com --config my_config.yaml --html-output result.html

# 输出 JSON，方便接 CI/CD 或其他自动化流程
./xray webscan --url http://target.com --json-output result.json

# 限制扫描速率，避免把目标压得太狠
./xray webscan --url http://target.com --rate-limit 10 --html-output safe_report.html

自定义 POC 和联动工具

写一个自定义 POC

遇到新漏洞或者变种漏洞时，官方规则没及时跟上，自己补一个 POC 往往比等更新更快。Xray 用 YAML 写规则，门槛不高。

下面是一个简单的回显型命令注入检测示例：

创建 my_poc.yaml：

name: poc-yaml-custom-cmd-injection
rules:
  method: GET
  path: /ping?ip=127.0.0.1;whoami
expression: response.body.bcontains(b"root") || response.body.bcontains(b"user")
detail:
  author: your_name
  description: 自定义命令注入检测

加载这个 POC：

./xray webscan --url http://target.com --plugins my_poc.yaml --html-output custom_report.html
# 或者把 poc 放进 plugins 目录，让它默认加载

搭配 Radium

如果 Xray 自带爬虫不够用，可以先让 Radium 把链接爬出来，再交给 Xray 扫。这个拆法不花哨，但在批量处理时挺省心。

# 使用 Radium 爬取链接并保存
./radium --url http://target.com --output links.txt

# 批量交给 Xray 扫描
cat links.txt | xargs -I{} ./xray webscan --url {} --html-output batch_{}.html

报告怎么看，误报怎么处理

扫描结束后打开 .html 报告，先看概览，再看细节。顺序别反了，不然很容易被一堆条目带跑。

1. 概览：看漏洞总数、风险等级分布。
2. 详情：点开具体漏洞，重点看这几项：
   • 漏洞类型：比如 SQL Injection (Blind)
   • 请求包 (Request)：Xray 发送的探测 Payload
   • 响应包 (Response)：服务器返回内容，尤其是高亮部分，通常是判断依据
3. 误报处理：
   • 如果确认是误报，可以在配置文件的 blacklist 里加特征，或者把自定义 POC 的表达式收紧一点。
   • 常见误报来源是 WAF 的特殊响应，或者页面内容本身随机变化太多。

常见问题

Q1: 扫描 HTTPS 网站报错或没反应？

A: 先生成并信任 Xray 的 CA 证书。运行 ./xray genca，然后把 ca.crt 导入系统和浏览器的'受信任的根证书颁发机构'。这一步没做，HTTPS 代理通常跑不通。

Q2: 扫描速度太慢怎么办？

A: 可以先只开必要模块：

1. 用 --plugins 只启用需要的检测项。
2. 如果在内网，先确认是不是链路延迟拖慢了整体速度。
3. 适当调整 --rate-limit，别设太低，也别为了快把目标打挂。

Q3: 为什么有些明显的漏洞扫不出来？

A: 常见原因就这几类：

1. 漏洞在深层逻辑里，需要特定参数或登录态，单纯主动扫很难碰到；这时被动扫描通常更有用。
2. 目标有 WAF，探测 Payload 被拦了。
3. 这是逻辑漏洞，不是通用扫描器擅长的类型。

Q4: 可以直接用在生产环境吗？

A: 可以用，但得收着点。即使 Payload 本身不算激进，高并发扫描也可能让服务抖一下。更稳妥的做法是先在测试环境验证，生产环境把 --rate-limit 控住，最好避开业务高峰期。