社区最强大的安全检测工具-xray – 作者:dnsill

文：李国聪 黑白天微信公众号

xray是一种功能强大的安全评估工具，由多名经验丰富的一线安全从业者呕吐**打造而成，主要特性有：

• 检测速度快：发包速度快; 突破性检测算法高效。

• 支持范围广：大至OWASP十大通用突破检测，小至各种CMS框架POC，均可以支持。

• 代码质量高：编写代码的人员素质高，通过代码审查，单元测试，集成测试等多层验证来提高代码可靠性。

• 高级可定制：通过配置文件暴露了引擎的各种参数，通过修改配置文件可以极大的客制化功能。

• 安全无威胁：xray定位为一种安全辅助评估工具，而不是攻击工具，内置的所有有效载荷和poc进行无害化检查。

目前支持的漏洞检测类型包括：

• XSS防御检测（密钥：xss）

• SQL注入检测（键：sqldet）

• 命令/代码注入检测（键：cmd_injection）

• 目录枚举（键：dirscan）

• 路径穿越检测（键：path_traversal）

• XML实体注入检测（键：xxe）

• 文件上传检测（密钥：上载）

• 弱密码检测（密钥：brute_force）

• jsonp检测（键：jsonp）

• ssrf检测（键：ssrf）

• 绝对检查（关键：基线）

• 任意重定向检测（键：重定向）

• CRLF注入（键：crlf_injection）

• Struts2系列突破检测（高级版，关键：struts）

• Thinkphp系列突破检测（高级版，密钥：thinkphp）

• POC框架（密钥：phantasm）

其中POC框架默认内置Github上贡献的poc，用户也可以根据需要手动构建poc并运行

下载运行

 xray为单文件二进制文件，无依赖，也无需安装，下载后直接使用。

1.0-下载地址

请下载的时候选择最新的版本下载。

• GitHub：https : //github.com/chaitin/xray/releases

• 网盘：    https : //yunpan.360.cn/surl_y3Gu6cugi8u

注意：不要直接克隆仓库，xray不一定开源，仓库内部不包含源代码，直接下载生成的二进制文件即可。

选择版本

xray跨平台支持，请下载时选择需要的版本下载。

对于上述图片中的文件，说明如下：

• darwin_amd64 苹果系统

• linux_386    Linux x86

• linux_amd64  Linux x64

• windows_386  Windows x86

• windows_amd64 Windows x64

• sha256.txt   校正文件，内含个版本的sha256的哈希值，请下载后自行校正以防被劫持投毒。

• Source Code   为Github自动打包的，无意义，请忽略。

2.0-运行

下载对应系统的版本后，解压缩zip文件，Linux / Mac用户在终端（终端）运行，Windows用户请在Powershell或其他高级Shell中运行，在CMD中运行可能体验不佳。

3.0-简单使用方法

  3.1-webcan：Web扫描

      

      通过运行webscan -h，我们可以看到

3.1.1-配置扫描插件

• --plugins 配置本次扫描启用某些插件.we

3.1.2-配置输入来源

• --poc     配置本次扫描启用某些POC.

• --listen 启动一个被动代理服务器作为输入.

• --basic-crawler启用一个基础爬虫作为输入.

• --url用于快速测试的url

• --raw-request用于加载一个原始的HTTP请求并进行扫描

3.1.3-配置输出

• --html-output将结果输出为html报告，

• --webhook-output 将结果发送到一个地址

• --json-output 将结果输出到一个json文件中

3.2.0-reverse命令

用于启动单独的盲打平台服务，例如存储类型XSS。

3.3.0-genca命令

为快速生成一个根证书，主要用于被动代理扫描HTTPS流量时。

3.4.0-version命令

显示xray版本信息

3.5.0-help h 命令

显示一个命令或帮助列表

…….

4.0.0-攻击实例

4.1.0-使用基础爬虫爬取或爬虫爬取的链接进行细分扫描

    xray webscan --basic-crawler http://example.com

可以看到这个扫描速度和全面性都是做很好的，结果也是令人满意的。

注意的是：

这个软件有三种输出方式，默认不加参数是在运行环境中输出，三个输出方式可以搭配使用。

    例如：想要输出在html文件中

 xray webscan --basic-crawler http://example.com --html-output vuln.html

5.0.0-结果输出

突破性扫描和运行时的状态统称为结果输出，xray定义了如下几种输出方式：

• 屏幕输出，默认开启）

• JSON文件输出

• HTML报告输出

• Webhook输出

综合来说这个软件是一个非常好的安全评估软件，具有检测速度快，范围广，可靠性高，定制性强而且是无害化检查。

部分资料来自github :https://chaitin.github.io/xray/#/ 

看都看了 微信点个关注吧

来源：freebuf.com 2019-10-29 10:58:35 by: dnsill