网安实训第三日作业

一、Xray

1.Xray介绍

Xray 是一款功能强大的安全评估工具，由多名经验丰富的一线安全从业者呕心打造而成，可支持与AWVS，BP等众多安全工具联合使用。

1.1Xray简易架构：

说明：了解 Xray 的整体架构可以更好的理解客户端和配置文件的设置，方便更好的使用。
第一部分：来源处理（输入）。扫描目标输入，包括指定单一URL，基础爬虫和HTTP代理手动输入
第二部分：漏洞检测（操作）。内置漏洞扫描插件，自定义POC等方式
第三部分：结果输出（输出）。扫描结果输出，支持Html，Json，Webhook格式输出

1.2Xray安装

Xray为单文件二进制文件，无依赖，也无需安装，下载后直接使用，可直接参考如下链接安装使用：
Xray安装参考链接

介绍 - xray Documentation

1.3两种模式

简易爬虫模式

参数：- - basic-crawler
说明：在漏洞扫描前会先进行基础爬虫爬取页面，相比来源处理一单个URL，会先对提供的URL进行爬虫扫描，扫描链接更多，扫描也更全面

HTTP代理模式
参数：- - listen
HTTP代理扫描逻辑：
说明：代理模式下的基本架构为，扫描器作为中间人，首先原样转发流量，并返回服务器响应给浏览器等客户端，通讯两端都认为自己直接与对方对话，同时记录该流量，然后修改参数并重新发送请求进行扫描

2.安装xray并导入证书

1.生成证书

2.安装证书

3.xray使用

基础命令

1.主动扫描

.\xray_windows_amd64.exe webscan --basic-crawler http://127.0.0.1/pikachu/ --html-output report.html

生成报告

2.被动扫描

.\xray_windows_amd64.exe webscan --listen 127.0.0.1:8989 --html-output report2.html

生成报告

二、gobuy

使用goby对pikachu进行扫描