XRAY漏洞扫描器实战：从安装配置到高级联动，打造自动化安全测试工作流

发布时间：2026/8/3 5:44:55
XRAY漏洞扫描器实战：从安装配置到高级联动，打造自动化安全测试工作流
1. 项目概述为什么我们需要一个高效的漏洞扫描器在安全测试的日常工作中无论是渗透测试、红队演练还是日常的安全巡检漏洞扫描都是最基础也是最耗时的环节之一。很多朋友可能用过 AWVS、Nessus 这类商业工具功能强大但价格不菲而且扫描策略相对固定面对一些定制化程度高的应用或者需要深度交互的场景常常感觉“差那么一点意思”。也有朋友会自己写脚本用 Python 的 requests 库去发包但面对复杂的登录认证、动态参数、JS 渲染的页面从头搭建一套健壮的扫描框架工作量巨大且容易遗漏。这时候一个设计精良、高度可定制、且能与其他工具无缝联动的开源漏洞扫描器就显得尤为重要。XRAY 正是在这样的背景下成为了许多安全从业者工具箱里的“瑞士军刀”。它不仅仅是一个简单的爬虫加漏洞检测插件其核心在于一个强大的“被动扫描代理”模式以及一个灵活的“社区版”插件生态允许我们根据实际业务场景深度定制扫描策略。简单来说XRAY 能让你从一个被动的“工具使用者”变成一个主动的“扫描策略设计师”。我最初接触 XRAY 是在一次针对某大型 Web 应用的测试中传统的扫描器扫了几轮报告里都是一些低危的信息泄露或者过时的组件信息真正的业务逻辑漏洞一个没找到。后来尝试用 XRAY 配合浏览器手动测试通过它的代理模式记录下所有的请求流量再结合自定义的 POC 插件最终发现了几个高危的越权和未授权访问漏洞。从那以后XRAY 就成了我进行深度 Web 应用安全测试的首选工具之一。这篇文章我就结合自己多年的实战经验从最基础的安装配置讲起一直深入到如何与 Burp Suite、Rad 等工具进行高级联动打造一个属于你自己的自动化漏洞扫描工作流。2. 核心设计思路XRAY 的架构与工作模式解析要高效使用 XRAY首先得理解它的设计哲学。它不像传统扫描器那样给你一个目标 URL 就开始“狂轰滥炸”。XRAY 更强调“精准”和“协作”。其核心工作模式主要有三种被动扫描、主动扫描和爬虫模式而其中最具威力的无疑是它的被动扫描代理模式。2.1 被动扫描代理像狙击手一样精准打击这是 XRAY 的招牌功能也是我认为它最区别于其他工具的地方。在这个模式下XRAY 本身不主动发起任何请求去探测目标。它扮演一个中间人MITM代理的角色。你的浏览器或其他 HTTP 客户端如 Burp Suite将所有流量发送到 XRAY 代理XRAY 在转发这些流量的同时对经过的每一个请求和响应进行深度分析并基于内置或自定义的规则库实时检测是否存在漏洞。为什么这种模式高效场景还原精准所有扫描流量都源于你真实的、手动的浏览器操作。这意味着你能完美地覆盖需要复杂登录状态、多步骤交互、动态 Token如 CSRF Token、JWT的业务流程。扫描器不会因为无法处理登录而漏掉整个后台系统。避免“误伤”和“骚扰”由于只扫描你实际访问过的路径和参数大大减少了向目标发送大量畸形报文导致的误报也降低了对生产环境造成意外影响如误触发告警、产生大量垃圾日志的风险。深度交互漏洞检测对于一些需要特定顺序操作或基于上下文状态的漏洞如条件竞争、多阶段逻辑漏洞被动模式能完美捕获整个会话流为插件分析提供了完整的上下文。注意被动扫描模式高度依赖于测试人员的手动操作覆盖面。如果你没有手动访问到某个功能点XRAY 就不会扫描它。因此它通常与主动爬虫或人工深度探索结合使用。2.2 主动扫描与爬虫模式弥补覆盖盲区虽然被动模式精准但人力有时穷。对于大型站点我们还需要主动扫描和爬虫模式来发现那些我们可能没想到去手动点击的链接、隐藏的输入点或目录。主动扫描就是传统扫描器的模式。你给它一个起始 URLXRAY 会使用内置的爬虫去发现链接然后对发现的每一个点和参数进行漏洞探测。它的优势在于自动化程度高覆盖面广适合在项目初期进行快速资产梳理和常见漏洞的普查。爬虫模式可以看作是主动扫描的“前置阶段”。它只负责爬取网站结构收集 URL、表单、API 端点等信息生成一个“站点地图”而不进行漏洞检测。这个结果可以导出供后续的被动扫描或人工分析使用。在实际项目中我通常采用“主动爬虫广撒网 被动代理深度挖”的组合策略。先用爬虫模式快速抓取全站结构对抓取到的关键登录、API 接口等再切换到浏览器配置 XRAY 代理进行手动的、深入的业务流程测试让 XRAY 在后台进行深度漏洞分析。2.3 插件引擎可扩展性的核心XRAY 的强大一半在于其模式另一半在于其插件系统。所有漏洞检测能力都通过插件实现。社区版已经内置了 SQL 注入、XSS、命令执行、目录遍历、SSRF 等数十种常见漏洞的检测插件。更重要的是它支持使用 Go 语言或 YAML 格式编写自定义 POCProof of Concept。自定义 POC 的实战价值 当面对一个新型的、业务特有的漏洞时比如某个特定的未授权访问 API 端点或者一个自定义的序列化漏洞你可以快速编写一个 YAML 格式的 POC 文件告诉 XRAY当遇到什么样的请求路径、参数特征时发送什么样的测试载荷并根据响应中的哪些特征状态码、关键词、正则匹配、响应时间等来判断漏洞是否存在。这使得 XRAY 能够快速适配各种“0day”或“Nday”漏洞的检测极大地扩展了其应用场景。3. 从零开始XRAY 的安装、配置与基础扫描理论讲完我们进入实战环节。假设你在一台全新的 Linux 测试机上开始。3.1 环境准备与安装XRAY 是跨平台的提供 Windows、macOS、Linux 的二进制可执行文件。这里以 Linux (x86_64) 为例。# 1. 创建并进入一个专门的工作目录 mkdir ~/tools/xray cd ~/tools/xray # 2. 从官方 GitHub Release 页面下载最新版 # 假设最新版本是 1.9.4请以实际为准 wget https://github.com/chaitin/xray/releases/download/v1.9.4/xray_linux_amd64.zip # 3. 解压 unzip xray_linux_amd64.zip # 4. 给予执行权限 chmod x xray_linux_amd64 # 5. 为了方便可以创建一个软链接或移动到 PATH 目录 sudo ln -sf $(pwd)/xray_linux_amd64 /usr/local/bin/xray # 6. 验证安装 xray version如果看到版本号输出说明安装成功。Windows 用户直接下载对应的.exe文件在命令行中运行即可。3.2 生成证书与配置代理要让 XRAY 的被动代理模式能够解密 HTTPS 流量我们需要安装其根证书到系统或浏览器信任库。# 在 XRAY 所在目录运行生成证书文件 xray genca运行后会在当前目录生成ca.crt和ca.key两个文件。接下来需要将ca.crt导入到你测试用的浏览器或操作系统中。Firefox设置 - 隐私与安全 - 证书 - 查看证书 - 证书机构 - 导入 - 选择ca.crt- 勾选“信任此 CA 以标识网站”。Chrome/Edge它们使用系统的证书库。在 Linux 上可以将证书复制到系统目录并更新信任库但更简单的方法是启动 Chrome 时指定参数或者直接使用 Firefox 进行测试。简易方法对于临时测试我通常使用 Firefox因为其证书管理独立不影响系统其他应用。3.3 启动你的第一次扫描我们先从最简单的主动扫描开始建立一个直观感受。# 基础主动扫描命令target.txt 里存放目标URL一行一个 xray webscan --basic-crawler http://testphp.vulnweb.com/ --html-output report.html这个命令会对目标进行基础的爬虫和漏洞扫描并将结果输出到report.html文件。用浏览器打开这个 HTML 报告你会看到一个清晰的漏洞列表包含漏洞类型、URL、请求/响应详情和风险等级。但是这远远不够。这种扫描非常“吵”会发送大量请求且对需要登录的站点无效。接下来我们进入核心的被动扫描模式。# 启动一个被动扫描代理监听本地的 7777 端口 xray webscan --listen 127.0.0.1:7777 --html-output passive_report.html现在XRAY 在后台运行监听127.0.0.1:7777。打开你的浏览器已安装好上述 CA 证书配置代理为HTTP: 127.0.0.1:7777和HTTPS: 127.0.0.1:7777。然后像正常用户一样去浏览你的目标网站登录点击各个功能。所有流量都会经过 XRAY 分析。当你测试完毕在运行 XRAY 的终端按CtrlC停止它就会生成包含所有检测结果的passive_report.html报告。实操心得启动被动扫描时强烈建议使用--webhook-output参数配置一个 webhook 地址或者结合--json-output将结果实时输出到文件。这样一旦发现高危漏洞可以立即收到通知而不是等到扫描结束。例如xray webscan --listen 127.0.0.1:7777 --json-output result.json然后另开一个终端用tail -f result.json实时查看漏洞输出。4. 高级配置与性能调优让扫描更快更准默认配置下的 XRAY 已经可用但针对不同的目标规模和网络环境进行适当的调优能极大提升效率和准确性。配置文件通常为config.yaml可以使用xray -h查看如何指定自定义配置文件。4.1 插件管理精准启用与禁用XRAY 内置插件很多但并非所有场景都需要。全量开启会拖慢扫描速度并可能因插件误报干扰判断。# 查看所有插件列表 xray list # 启动扫描时通过 --plugins 参数指定启用哪些插件 xray webscan --listen 127.0.0.1:7777 --plugins sqldet,ssrf,xxe --html-output focused_report.html例如在对一个纯 JSON API 接口进行测试时我可以只启用sqldet,ssrf,xxe,path-traversal等与数据处理相关的插件而禁用xss,phantasm等主要用于前端页面的插件这样扫描速度会快很多结果也更聚焦。4.2 扫描策略优化避免“大水漫灌”在config.yaml中有几个关键配置项# 反连平台配置用于检测 SSRF、RCE 等需要外带数据的漏洞 reverse: http: enabled: true listen: 0.0.0.0 # 如果是云服务器注意安全组开放端口 port: 8001 dns: enabled: true listen: 0.0.0.0 port: 53 client: http_base_url: http://your-server-ip:8001 # 必须修改为你的公网IP或域名 dns_server_ip: your-server-ip # 漏洞检测配置 vulnerability: # 最大并发数根据网络和目标承受能力调整 max_parallel: 30 # 单个请求最大重试次数 max_retry: 3 # HTTP 请求超时时间秒 http_timeout: 15 # 是否检测备份文件、目录遍历等 detect_backup_file: true detect_dir_traversal: true # 插件通用配置 plugins: # 限制每个插件对单个目标的最大请求数防止无限循环 max_request_per_host: 500重点说明反连平台这是检测 SSRF、远程命令执行等漏洞的利器。XRAY 在检测时会尝试让目标服务器访问一个由你控制的地址反连平台。你需要一台具有公网 IP 的服务器来搭建这个平台或者在本地使用 frp/ngrok 等工具进行内网穿透。配置成功后当漏洞触发时你会在反连平台的控制台看到目标服务器尝试连接的记录这是漏洞存在的铁证。4.3 处理海量 JS/CSS 文件与目录扫描结果很多朋友在用 XRAY 或目录扫描工具时会扫出成千上万的.js和.css文件直接看报告头都大了。这里分享我的处理流程过滤与聚焦首先这些文件并非全无价值。JS 文件中可能泄露 API 端点、敏感路径、硬编码的密钥。CSS 文件价值相对较低。我会先用文本处理命令进行初步筛选。# 假设扫描结果保存在 urls.txt 中 # 提取所有 .js 文件链接 grep \.js$ urls.txt js_files.txt # 提取所有 .css 文件链接 grep \.css$ urls.txt css_files.txt内容分析对于 JS 文件我会使用工具进行静态分析寻找敏感关键词。# 使用一个简单的脚本批量下载并搜索 (示例) for url in $(cat js_files.txt); do filename$(echo $url | sed s|.*/||) curl -s $url | grep -i api\|key\|token\|secret\|password\|endpoint\|admin\|internal js_analysis.txt echo --- Processed: $url --- js_analysis.txt done也可以使用专业的工具如LinkFinder、JSFinder等它们能更好地解析 JS 代码提取出隐藏的 URL 和路径。整合到 XRAY 扫描将从中发现的新的、有价值的 API 路径例如/api/v1/internal/userList补充到你的目标列表中然后使用 XRAY 的被动代理模式手动或半自动地去访问这些端点进行深入的漏洞检测。切记不要直接用主动扫描去扫这些 JS/CSS 文件路径那会产生大量无意义的 404 或静态文件请求。5. 高级联动实战构建自动化武器库XRAY 真正的威力在于其“连接器”角色它能与现有安全测试工具链完美融合。5.1 与 Burp Suite 联动强强联合Burp Suite 是手动测试的神器XRAY 是自动化检测的利器两者结合可以形成“人工引导自动深挖”的完美闭环。方法一Burp 作为上游代理这是我最常用的模式。将浏览器代理指向 Burp Suite然后在 Burp 中配置一个上游 SOCKS 或 HTTP 代理指向正在运行的 XRAY。启动 XRAY 被动扫描xray webscan --listen 127.0.0.1:7777 --json-output result.json在 Burp Suite 的User options-Connections-Upstream Proxy Servers中添加规则Destination host: *Proxy host: 127.0.0.1Proxy port: 7777 Type:HTTP。浏览器代理指向 Burp如127.0.0.1:8080。这样流量路径是浏览器 - Burp - XRAY - 目标。你在 Burp 里手动测试的所有请求都会经过 XRAY 进行漏洞检测。你可以在 Burp 的 Repeater 模块精心构造一个请求包确认存在可疑点后发送到 XRAY 进行深度扫描。方法二Burp 日志导入 XRAY在 Burp 中完成一部分探索后可以将整个会话的流量导出为Har或Burp XML格式然后使用 XRAY 进行离线扫描。xray webscan --burp-file burp_request.xml --html-output burp_scan_report.html这种方式适合在测试时间窗口受限或者网络环境不适合长时间挂代理时使用。5.2 与 Rad 联动智能爬虫赋能Rad 是另一款优秀的爬虫工具特点是能更好地处理现代前端框架如 Vue, React生成的动态内容。我们可以用 Rad 进行深度爬取然后将结果交给 XRAY 扫描。# 1. 使用 Rad 爬取目标输出到文件 rad -t http://target.com -text-output rad_urls.txt # 2. 对 Rad 爬取到的 URL 进行主动扫描注意控制速率和插件 xray webscan --url-file rad_urls.txt --plugins sqldet,ssrf,xxe --max-parallel 10 --html-output rad_xray_report.html # 或者更好的方式是将 Rad 作为代理后面挂 XRAY # 启动 Rad 代理模式 rad -http 127.0.0.1:8081 # 启动 XRAY监听另一个端口并设置上游代理为 Rad xray webscan --listen 127.0.0.1:7777 --proxy http://127.0.0.1:8081 --html-output proxy_chain_report.html # 浏览器代理指向 XRAY (127.0.0.1:7777)这样Rad 负责智能渲染和爬取XRAY 负责安全检测两者各司其职。5.3 集成到 CI/CD 流水线对于有自研产品的公司可以将 XRAY 的被动扫描集成到自动化测试流程中。思路是使用一个无头浏览器如 Puppeteer, Playwright驱动测试脚本模拟用户核心业务流程同时将浏览器流量导向 XRAY 代理。编写自动化测试脚本使用 Playwright 模拟登录、关键业务操作。启动 XRAY 代理在测试环境中启动 XRAY并配置好输出。配置 Playwright 使用代理在启动浏览器时设置--proxy-server参数指向 XRAY。执行与分析运行测试脚本所有操作流量经过 XRAY 分析。测试结束后解析 XRAY 生成的 JSON 报告如果发现中高危漏洞则令 CI/CD 流水线失败并通知安全团队。这种方式可以实现对新功能上线前的自动化安全回归测试虽然不能替代完整的手动渗透测试但能有效捕获一些常见的、高风险的漏洞。6. 常见问题、排查技巧与实战心得即使工具再强大实战中总会遇到各种问题。这里记录一些我踩过的坑和解决方案。6.1 扫描速度慢或无结果网络问题检查目标是否可达代理设置是否正确。用curl -x http://127.0.0.1:7777 http://test.com测试代理链是否通畅。插件过多禁用不必要的插件。对于内网目标可以适当减少http_timeout和max_retry。目标防护目标可能存在 WAF/IPS频繁的扫描流量被拦截。尝试降低并发数 (max_parallel)增加请求间隔在配置文件中设置delay或使用更隐蔽的扫描插件。HTTPS 证书问题确保浏览器已正确安装并信任 XRAY 的 CA 证书。对于某些严格校验证书的应用如手机 APP可能需要将证书安装到系统根证书库或者使用其他抓包方案。6.2 漏报与误报漏报上下文缺失被动扫描模式下你是否手动覆盖了所有功能点对于未访问到的接口XRAY 无能为力。结合爬虫或 API 文档进行补充。插件未覆盖该漏洞可能不在内置插件检测范围内。需要分析漏洞原理编写自定义 YAML POC。载荷被编码/过滤目标的输入过滤机制可能阻止了测试载荷。需要手动测试绕过方法然后思考如何将绕过技巧转化为 XRAY 插件能执行的测试逻辑。误报特征匹配过于宽泛某些插件的检测规则可能匹配到正常的业务返回。需要人工复核报告对于反复误报的规则可以考虑在配置文件中调整该插件的匹配阈值或者临时禁用该插件。反连平台误报确保你的反连平台没有被其他无关流量访问。检查反连平台日志确认连接确实来自目标应用服务器。6.3 自定义 POC 编写快速入门当遇到一个疑似漏洞的点但 XRAY 没有扫出来时就是自定义 POC 上场的时候了。YAML 格式的 POC 相对简单。name: poc-example-unique-name rules: - method: GET path: /api/userInfo headers: Cookie: sessionadmin expression: | response.status 200 response.body.bcontains(b\isAdmin\: true\) response.body.bcontains(b\password\) detail: author: yourname links: - https://internal-wiki/issue-123这个简单的 POC 规则是发送一个带有特定 Cookie 的 GET 请求到/api/userInfo如果响应状态码是 200并且响应体里同时包含isAdmin: true和password这两个字符串就认为存在越权信息泄露漏洞。将文件保存为xxx.yml放在 XRAY 的pocs目录下扫描时就会自动加载。编写心得关键在于expression字段的编写。它使用 CEL 表达式语言可以访问请求request和响应response的几乎所有属性。多参考官方文档和内置插件的 YAML 源码是快速上手的最佳途径。6.4 资源管理与长期运行对于需要长时间数小时甚至数天运行的大型项目扫描使用--webhook-output将漏洞实时推送至钉钉、飞书、Slack 或自建的消息平台便于及时跟进。日志分割XRAY 本身的日志输出到文件会越来越大。可以使用 Linux 的logrotate工具定期分割和压缩日志文件。进程守护在服务器上长期运行建议使用systemd或supervisor来守护进程确保异常退出后能自动重启。结果去重长时间扫描可能会对同一漏洞点重复报告。需要后期对报告进行合并分析或者编写脚本对 JSON 格式的结果进行去重处理。工具终究是工具XRAY 提供了强大的引擎和灵活的框架但最终扫描的深度和广度取决于使用者的经验和对业务的理解。它不能替代手动测试的创造性和深度但能极大地解放重复性劳动的双手让我们能更聚焦于复杂的逻辑漏洞和业务风险点。将 XRAY 融入你的工作流让它成为你安全测试中的“倍增器”而不是一个简单的“开关”。