毕业实习（三）xray与goby

目录

一、要求

二、内容与步骤记录

（一）安装xray，实现对pikachu靶场的主动和被动扫描

1.xray安装

2.使用xray实现对pikachu靶场的主动和被动扫描

（1）主动扫描

（2）被动扫描

（3）xray和burpsuite联动扫描流量代理后流量走向

（二）goby实现对pikachu靶场的扫描

1.goby的下载

2.创建一个新的任务

3.开始扫描

4.查看扫描结果

三、思考与总结

---

一、要求

1.安装xray 实现对pikachu靶场的主动和被动扫描（需要输出扫描报告）

2.安装goby，实现对pikachu靶场的扫描，无法安装的同学可以安装windows虚拟机，在虚拟机中进行操作

3.加分项：实现xray和burpsuite联动扫描

4.加分项：说明两者联动扫描流量代理后流量走向，即上层代理服务器的工作原理

二、内容与步骤记录

（一）安装xray，实现对pikachu靶场的主动和被动扫描

xray 是一款开源的安全扫描工具，主要用于发现和检测 Web 应用程序中的各种安全漏洞。它由中文安全社区团队开发，因其强大的扫描能力和易用性在安全测试和渗透测试领域非常受欢迎。xray 支持多种扫描模式，包括主动扫描、被动扫描以及联动扫描，可以快速、高效地发现 Web 应用中的安全问题。

1.xray安装

xray的下载网址为https://github.com/chaitin/xray/releases，根据自己的电脑配置，选择下载

然后把xray_windows_amd64.exe.zip解压，在cmd中第一次执行xray_windows_amd64.exe genca发现报错如下：

再一次执行xray_windows_amd64.exe genca，正常完成。

鼠标左键双击ca.crt。

点击安装证书。

选择本地计算机，然后点击下一步。

然后弹出来的弹窗选择是，然后选择“将所有的证书都放入下列存储”，点击浏览，点击“受信任的根证书颁发机构”，然后选择确定。

然后点击下一步，点击完成，点击确定，显示导入成功

2.使用xray实现对pikachu靶场的主动和被动扫描

-确保已经安装了 xray，并且可以在命令行中访问。

-确保pikachu靶场已经启动并运行。

（1）主动扫描

主动扫描是指 xray 主动地对目标进行漏洞扫描，这通常涉及到发起http请求并分析响应来识别潜在的漏洞。

①打开终端，执行以下命令来启动 xray 的主动扫描：

xray_windows_amd64.exe webscan --basic-crawler
http://localhost:801/pikachu-master --html-output active_scan_report.html

-basic-crawler：这是 xray 的一个爬虫模块，它会自动抓取指定 URL 并扫描找到的每一个链接。

- html-output：指定生成的 HTML 报告文件名为 active_scan_report.html。

②扫描完成后，查看生成的active_scan_report.html文件以获取扫描结果。

（2）被动扫描

被动扫描是指 xray 监听通过的http流量，并分析流量中的请求和响应来发现潜在的漏洞。被动扫描通常结合代理工具（如 burpsuite、Fiddler 或者浏览器插件）一起使用。

①配置burpsuite

启动burpsuite，打开 Proxy 标签页，然后选择proxy setting，确保浏览器已经配置好使用burpsuite代理。

②在setting中找到 Upstream Proxy Servers点击add按钮，配置一个新的上游代理：

Destination host: *（表示所有请求）

Proxy Host: 127.0.0.1（xray 监听的 IP）

Proxy Port: 7777（xray 监听的端口）

这样，所有通过 burpsuite 代理的流量都会转发到 xray。

③使用浏览器访问目标网站或应用，本次使用的是pikachu靶场， burpsuite 将拦截所有流量，并将其转发到 xray 进行被动扫描。xray 会分析流量中的所有请求和响应，并尝试识别潜在的漏洞。

执行以下命令来启动 xray 的被动扫描：

xray_windows_amd64.exe webscan --listen 127.0.0.1:7777 --html-output passive_scan_report.html

- listen 127.0.0.1:7777：xray 将会监听在 127.0.0.1:7777 端口。

- html-output：指定生成的 HTML 报告文件名为 passive_scan_report.html。

④.扫描完成后，查看生成的 passive_scan_report.html 文件以获取扫描结果。

*被动扫描模式适用于需要持续监控流量的场景，所以和主动扫描不同，它不会自动结束，需要手动停止它来结束扫描并生成最终的扫描报告

（3）xray和burpsuite联动扫描流量代理后流量走向

上层代理服务器（Upstream Proxy）的工作原理是在一个代理服务器（在此为burpsuite）配置另一个代理服务器（在此为xray）作为其上游数据传输路径。此设置通常用于将流量进一步转发或隐藏来源，也可以用于安全和审计目的。

在burpsuite和xray的联动中，上层代理的工作原理/流量走向如下：

①浏览器→burpsuite:

浏览器中的请求首先被配置为通过burpsuite代理。通常，这涉及将浏览器的http代理设置为burpsuite监听的地址。这意味着所有的http请求都会先到达burpsuite。

②burpsuite（拦截、修改）→xray:

burpsuite接收到来自浏览器的请求后，可以选择拦截这些请求，以便手动检查和修改。在配置了上层代理后，burpsuite将会把处理过的请求转发给上层代理，即xray监听的地址和端口。

③xray（被动扫描）→目标服务器:

xray接收到从burpsuite转发的请求后，会对这些请求和响应进行被动扫描，分析其中的安全漏洞。然后，xray会将这些请求转发到实际的目标服务器，并接收服务器的响应。目标服务器处理请求并返回响应，这些响应会经过xray，再回到burpsuite。

④目标服务器→xray→burpsuite:

目标服务器的响应首先返回给xray，xray会再次分析这些响应内容以识别潜在的漏洞，分析完成后，xray将响应转发回burpsuite。

⑤burpsuite（响应处理）→浏览器:

burpsuite接收来自xray的响应后，可以选择对这些响应进行拦截和修改，或者直接转发给浏览器。最后，浏览器收到响应并展示给用户。

（二）goby实现对pikachu靶场的扫描

Goby是一款功能强大的网络安全测试工具，类似于xray，它可以用于对web应用进行安全扫描，识别常见的安全漏洞。

1.goby的下载

官网下载地址：https://gobies.org/#dl

 下载完后，直接启动Goby.exe即可打开，不需要安装

2.创建一个新的任务

在目标输入框中输入目标，即pikachu靶场的URL

3.开始扫描

4.查看扫描结果

扫描完成后，Goby 将显示一个详细的扫描报告，包括：

（1）漏洞详情：显示发现的所有漏洞及其详细信息，如漏洞类型（例如 SQL 注入、XSS）、风险级别、受影响的 URL 和参数。

（2）资产信息：显示扫描目标的基础信息，如操作系统、开放端口、服务等。

（3）解决建议：提供每个漏洞的修复建议和参考信息。

三、思考与总结

1.xray

- 主动扫描：更全面，覆盖靶场的所有页面，但可能会引起警报或被防护机制阻止。

- 被动扫描：通过监听正常流量发现漏洞，不会引起警报，但覆盖面可能不如主动扫描广泛。

2.xray更偏向于专业的漏洞检测和安全测试，而goby则更注重资产管理和漏洞信息的综合呈现。同时，goby的图形界面使其易于使用，其强大的漏洞检测能力能够覆盖大多数常见的 Web 漏洞。