前言

xray被动扫描器，是我目前个人挖洞过程中，感觉最好用的一款扫描器。这篇博客，分享一下我使用xray的一些小心得吧

官方github：

https://github.com/chaitin/xray

官网文档：

https://xray.cool/

xray+burp的使用

普通使用配置

浏览器配置好burp（包括证书等等，略）chrome插件 SwitchyOmega启动xray # 进目录 .\xray_windows_amd64.exe webscan --listen 127.0.0.1:7777 --html-output result.html

 

burp配置代理

over

进阶使用

做好白名单gov什么的就不说了，加白可在SwitchyOmega和Xray两处都设置，防止误操作。误操作，无授权，后果大概是什么就不用说了~

什么地方最好不要使用xray，甚至不能用？

比如说你弱口令等进入了管理后台，或者在发帖等等地方，最好不要使用。首先，爬虫没有敏感性区分，可能误操作，比如在管理后台造成毁灭性打击；

其次，发帖等处，爬虫可能会瞬间跑出几百个帖子，会对被测试社区造成不良影响，默默的标注测试，只在一个帖子内测试会比较好。

这里需要自行把握，切记，渗透测试第一要点是要保护被测试对象的利益！

xray设置代理出口 | 请求频率

设置频率自然是，为了防止因为访问过快被封ip；设置出口代理，主要是为了保障测试的进行，因为xray被封ip很正常（一个是访问频率，二是可能waf检测大量敏感词），我们需要使用代理让xray使用，从而保证自己本机ip不会被封

补充一句：特别小的站点，并发数也要改小，防止把网站打死了

burp插件

项目地址：passive-scan-client

使用说明：burp插件系列1 passive-scan-client

关于自动化的理解

利用crawlergo动态爬虫+xray被动扫描现在是很火的自动化思路。所谓，人在家中坐，洞从天上来，但是事实并没有如此美妙。说几点自己的理解吧

首先是，如果你不给cookies，爬虫能爬到的接口有限，且能访问的更有限。这有限的接口，想靠xray去打出漏洞，属实难上加难如果你给了cookies，这种测试和赋予awvs cookies之后进行测试又有多大区别，还是那句话，爬虫不可控（你自己针对特定站点开发的当我没说），给了cookies，万一触碰到敏感操作怎么办？被动扫描的优势在于，我发现了一个数据包，我懒得手动测试例如xss，各种注入等等漏洞，写好了自动化脚本去跑一遍。这一切的前提是，这个数据包你可控，一但不可控，和普通扫描器没有任何区别，差距无非是poc，爬虫切勿为了发掘漏洞，而造成很大的麻烦，一定要控制风险！

That is all!