长亭xray:Web漏洞扫描神器（免费社区版）

已于 2022-08-25 16:21:25 修改
阅读量4.4k 收藏 16
点赞数 3
分类专栏： 安全工具 文章标签： 前端 安全 运维
于 2020-07-23 10:31:48 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u012206617/article/details/107530216
版权
安全工具 专栏收录该内容
183 篇文章 69 订阅 ¥19.90 ¥99.00
订阅专栏
Xray是一款基于Go语言的Web漏洞扫描工具，具备跨平台、并发能力强、速度快等特点。它提供多种使用方式，包括命令行扫描、代理被动扫描等，支持自定义POC，适合白帽子、甲方安全建设和乙方工具开发者使用。使用Xray，可以通过配置文件和指定插件进行细粒度扫描，并能通过反连平台检测需要反连触发的漏洞。
摘要由CSDN通过智能技术生成

下载地址：

特色

  • 使用 go 语言编写，跨平台、纯异步、无阻塞，并发能力强，扫描速度刚刚的
  • 提供多种使用方式，调用姿势方便，输入输出非常标准化，极具可集成性
  • 使用 YAML 配置文件非常方便地定义 POC，可以快速扩展扫描能力
  • 全程使用无害 POC 进行探测，在确保能发现漏洞的基础上不会给业务带来严重影响，非常适用于企业内部安全建设
  • 命令行式的免费被动扫描工具，不多见
  • 自备盲打平台，可检测需要反连才能触发的漏洞，如：存储型 XSS、无回显的 SSRF、XXE、命令注入等
  • 更新速度快，用着不爽可以在 github 提需求，很快就能解决（我试过了，是真的）
了解本专栏 订阅专栏 解锁全文
墨痕诉清风
关注
  • 3
    点赞
  • 踩
  • 16
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 1
    评论
专栏目录
订阅专栏
web安全渗透测试工具篇（一）：快速发现漏洞之漏洞综合扫描和联动
HACKONE的博客
05-24 290
Burpsuite，Awvs，Xray，Goby，Afrog，Yakit，Nuclei，Vulmap，Pocassist，Nessus，Pentestkit，Kunyu，Pocsuite3，浏览器各类插件，Burpsuite插件(HaE,ShiroScan,FastJsonScan,Log4j2Scan,Springscan，JScan等)。Acunetix一款商业的Web漏洞扫描程序，它可以检查Web应用程序中的漏洞，如SQL注入、跨站脚本攻击、身份验证页上的弱口令长度等。
WEB渗透测试之三大漏扫神器
热门推荐
pygain的博客
10-04 8万+
通过踩点和查点，已经能确定渗透的目标网站。接下来可以选择使用漏扫工具进行初步的检测，可以极大的提高工作的效率。 功欲善其事必先利其器，下面介绍三款适用于企业级漏洞扫描的软件 1.AWVS AWVS （ Acunetix Web Wulnerability Scanner）是一个自动化的 Web 应用程序安全测试工具，它可以扫描任何可通过 Web 浏览器访问的和遵循 HTTP/HTTP
xray代理设置_xray 社区版使用指南
weixin_39867662的博客
11-28 2663
项目地址https://github.com/chaitin/xray/背景在去年的 7 月 7 号，长亭科技四周年的大好日子，我们发布了两款新产品，洞鉴 和 牧云。洞鉴 以资产管理、安全评估、漏洞管理为中心，来解决传统漏洞扫描产品不够贴近业务场景，很难做好安全闭环的问题；牧云 则是站在服务器的角度，为云平台提供更加强有力的安全支撑。这两款新产品的诞生填补了长亭在应用安全解决方案中的一大空缺。在洞...
网站漏洞扫描软件Burp suite和Xray安装应用及联合使用
最新发布
XLbb的博客
07-23 1567
Burp suite是web应用程序测试的最佳工具之一，其多种功能可以帮助我们执行各种任务；包括数据包请求拦截与修改、扫描web应用程序漏洞，以及暴力破解登录菜单，执行会话令牌等多种的随机性检查。 xray社区是长亭科技推出的免费白帽子工具平台，目前社区有xray、xpoc和radium工具，均有多名经验丰富的安全开发人员；以及数以万名社区贡献者共同打造而成；相比于其他国外扫描器，xray支持反向扫描，可以进行配合手工检测。
探针漏洞_长亭xray：一款自动化Web漏洞扫描神器（免费社区版）
weixin_36212493的博客
01-12 2152
xray 简介xray 是从长亭洞鉴核心引擎中提取出的社区版漏洞扫描神器，支持主动、被动多种扫描方式，自备盲打平台、可以灵活定义 POC，功能丰富，调用简单，支持 Windows / macOS / Linux 多种操作系统，可以满足广大安全从业者的自动化 Web 漏洞探测需求。https://www.zhihu.com/video/1145001352550928384特色使用 go 语言编写，...
打卡第59天：长亭XRAY
Griswold_t_cn的博客
02-28 757
一晚上都在整理XRAY使用手册，主要是离线保存 结论： markdown真的很适合github的readme本地保存
漏洞扫描器 XRAY
HAKUNAMATATATTA的博客
11-27 4919
xray 是一款功能强大的安全评估工具，由多名经验丰富的一线安全从业者呕心打造而成，主要特性有:检测速度快：发包速度快;漏洞检测算法高效。支持范围广：大至 OWASP Top 10 通用漏洞检测，小至各种 CMS 框架 POC，均可以支持。代码质量高：编写代码的人员素质高, 通过 Code Review、单元测试、集成测试等多层验证来提高代码可靠性。高级可定制：通过配置文件暴露了引擎的各种参数，通过修改配置文件可以极大的客制化功能。
xray：漏洞扫描利器
zkaqlaoniao的博客
11-07 5026
长亭科技旗下的一款网络安全漏洞扫描工具，用于检测和评估web应用程序的安全性。具有一下特点：检测速读快、检查范围广、代码质量高、高级可定制以及安全无危害。属于不开源的项目，用户直接下载xray的可执行文件，即可运行该工具xray使用了与burpsuit一样的盈利模式：社区版、高级版和企业版XSS漏洞检测 (key: xss)SQL 注入检测 (key: sqldet)命令/代码注入检测 (key: cmd-injection)目录枚举 (key: dirscan)
xray _Windows_amd64.exe (漏洞扫描）
03-30
xray 是从长亭洞鉴核心引擎中提取出的社区版漏洞扫描神器，支持主动、被动多种扫描方式，自备盲打平台、可以灵活定义 POC，功能丰富，调用简单，支持 Windows / macOS / Linux 多种操作系统，可以满足广大安全从业者...
漏洞扫描工具——xray使用方法
初岄的博客
03-24 3070
漏洞扫描工具——xray使用方法
全版本xray漏洞扫描工具
07-02
Xray 社区是长亭科技推出的免费白帽子工具平台，目前社区有xray 漏洞扫描器 和Radium 爬虫工具，均有多名经验丰富的安全开发人员和数万名社区贡献者共同打造而成。
Xray-web漏洞扫描工具.zip
02-02
xray 是一款功能强大的安全评估工具，由多名经验丰富的一线安全从业者呕心打造而成，主要特性有: 检测速度快。发包速度快; 漏洞检测算法高效。 支持范围广。大至 OWASP Top 10 通用漏洞检测，小至各种 CMS 框架 POC，均可以支持。 代码质量高。编写代码的人员素质高, 通过 Code Review、单元测试、集成测试等多层验证来提高代码可靠性。 高级可定制。通过配置文件暴露了引擎的各种参数，通过修改配置文件可以极大的客制化功能。 安全无威胁。xray 定位为一款安全辅助评估工具，而不是攻击工具，内置的所有 payload 和 poc 均为无害化检查。 目前支持的漏洞检测类型包括: XSS漏洞检测 (key: xss) SQL 注入检测 (key: sqldet) 命令/代码注入检测 (key: cmd_injection) 目录枚举 (key: dirscan) 路径穿越检测 (key: path_traversal) XML 实体注入检测 (key: xxe) 文件上传检测 (key: upload) 弱口令检测 (key: brute_force) jsonp 检测 (key: jsonp) ssrf 检测 (key: ssrf) 基线检查 (key: baseline) 任意跳转检测 (key: redirect) CRLF 注入 (key: crlf_injection) Struts2 系列漏洞检测 (高级版，key: struts) Thinkphp系列漏洞检测 (高级版，key: thinkphp) POC 框架 (key: phantasm) 其中 POC 框架默认内置 Github 上贡献的 poc，用户也可以根据需要自行构建 poc 并运行。 设计理念 发最少的包做效果最好的探测。 如果一个请求可以确信漏洞存在，那就发一个请求。如果两种漏洞环境可以用同一个 payload 探测出来，那就 不要拆成两个。 允许一定程度上的误报来换取扫描速度的提升 漏洞检测工具无法面面俱到，在漏报和误报的选择上必然要选择误报。如果在使用中发现误报比较严重，可以进行反馈。 尽量不用时间盲注等机制检测漏洞。 时间检测受影响因素太多且不可控，而且可能会影响其他插件的运行。因此除非必要（如 sql）请尽量使用与时间无关的 payload。 尽量不使用盲打平台 如果一个漏洞能用回显检测就用回显检测，因为盲打平台增加了漏洞检测过程的不确定性和复杂性。 耗时操作谨慎处理 全局使用 Context 做管理，不会因为某个请求而导致全局卡死。 简易架构 了解 xray 的整体架构可以更好的理解 cli 和配置文件的设置，方便大家更好的使用。 整体来看，扫描器这类工具大致都是由三部分组成： 来源处理 漏洞检测 结果输出 来源处理 这一部分的功能是整个漏洞检测的入口，在 xray 中我们定义了四个入口，分别是 HTTP 被动代理 简易爬虫 单个 URL URL列表的文件 单个原始 HTTP 请求文件 漏洞检测 这一部分是引擎的核心功能，用于处理前面 来源处理 部分产生的标准化的请求。用户可以针对性的启用插件，配置扫描插件的参数，配置 HTTP 相关参数等。 结果输出 漏洞扫描和运行时的状态统称为结果输出，xray 定义了如下几种输出方式: Stdout (屏幕输出, 默认开启) JSON 文件输出 HTML 报告输出 Webhook 输出 使用教程见：xray 是一款功能强大的安全评估工具，由多名经验丰富的一线安全从业者呕心打造而成，主要特性有: 检测速度快。发包速度快; 漏洞检测算法高效。 支持范围广。大至 OWASP Top 10 通用漏洞检测，小至各种 CMS 框架 POC，均可以支持。 代码质量高。编写代码的人员素质高, 通过 Code Review、单元测试、集成测试等多层验证来提高代码可靠性。 高级可定制。通过配置文件暴露了引擎的各种参数，通过修改配置文件可以极大的客制化功能。 安全无威胁。xray 定位为一款安全辅助评估工具，而不是攻击工具，内置的所有 payload 和 poc 均为无害化检查。 目前支持的漏洞检测类型包括: XSS漏洞检测 (key: xss) SQL 注入检测 (key: sqldet) 命令/代码注入检测 (key: cmd_injection) 目录枚举 (key: dirscan) 路径穿越检测 (key: path_traversal) XML 实体注入检测 (key: xxe) 文件上传检测 (key: upload) 弱口令检测 (key: brute_force) jsonp 检测 (key: jsonp) ssrf 检测 (key: ssrf) 基线检查 (key: baseline) 任意跳转检测 (key: redirect) CRLF 注入 (key: crlf_injection) Struts2 系列漏洞检测 (高级版，key: struts) Thinkphp系列漏洞检测 (高级版，key: thinkphp) POC 框架 (key: phantasm) 其中 POC 框架默认内置 Github 上贡献的 poc，用户也可以根据需要自行构建 poc 并运行。 设计理念 发最少的包做效果最好的探测。 如果一个请求可以确信漏洞存在，那就发一个请求。如果两种漏洞环境可以用同一个 payload 探测出来，那就 不要拆成两个。 允许一定程度上的误报来换取扫描速度的提升 漏洞检测工具无法面面俱到，在漏报和误报的选择上必然要选择误报。如果在使用中发现误报比较严重，可以进行反馈。 尽量不用时间盲注等机制检测漏洞。 时间检测受影响因素太多且不可控，而且可能会影响其他插件的运行。因此除非必要（如 sql）请尽量使用与时间无关的 payload。 尽量不使用盲打平台 如果一个漏洞能用回显检测就用回显检测，因为盲打平台增加了漏洞检测过程的不确定性和复杂性。 耗时操作谨慎处理 全局使用 Context 做管理，不会因为某个请求而导致全局卡死。 简易架构 了解 xray 的整体架构可以更好的理解 cli 和配置文件的设置，方便大家更好的使用。 整体来看，扫描器这类工具大致都是由三部分组成： 来源处理 漏洞检测 结果输出 来源处理 这一部分的功能是整个漏洞检测的入口，在 xray 中我们定义了四个入口，分别是 HTTP 被动代理 简易爬虫 单个 URL URL列表的文件 单个原始 HTTP 请求文件 漏洞检测 这一部分是引擎的核心功能，用于处理前面 来源处理 部分产生的标准化的请求。用户可以针对性的启用插件，配置扫描插件的参数，配置 HTTP 相关参数等。 结果输出 漏洞扫描和运行时的状态统称为结果输出，xray 定义了如下几种输出方式: Stdout (屏幕输出, 默认开启) JSON 文件输出 HTML 报告输出 Webhook 输出
crawlergo_x_XRAY:3600Kee-Teamcrawlergo动态爬虫结合长亭XRAY扫描器的被动扫描功能
05-03
crawlergo_x_XRAY 360 0Kee-Team 的 crawlergo动态爬虫 结合 长亭XRAY扫描器的被动扫描功能 (其它被动扫描器同理) 20201130更新，launcher_new.py增加随机http请求头，避免被扫描器识别。 注：需在pip安装 fake_useragent 库 pip install fake_useragent 20190115更新，launcher_new.py使用crawlergo提供的方法推送请求给xray crawlergo默认推送方法有个不足就是无法与爬虫过程异步进行。使用launcher.py可以异步节省时间。 注：若运行出现权限不足，请删除crawlergo空文件夹。 如遇到报错注意将64位的crawlergo.exe和launcher.py还有targets.txt放在一个目录，将crawlergo目录删除 20190113
Python对接 xray 和微信实现自动告警
01-20
xray 是从长亭洞鉴核心引擎中提取出的社区版漏洞扫描神器，支持主动、被动多种扫描方式，自备盲打平台、可以灵活定义 POC，功能丰富，调用简单，支持 Windows / macOS / Linux 多种操作系统，可以满足广大安全从业者...
工具----8、Xray漏洞扫描器
七天
01-26 1万+
文章目录一、xray下载二、xray安装、使用 一、xray下载 xray 是一款功能强大的安全评估工具，由多名经验丰富的一线安全从业者呕心打造而成，主要特性有: 1、检测速度快。发包速度快; 漏洞检测算法高效。 2、支持范围广。大至 OWASP Top 10 通用漏洞检测，小至各种 CMS 框架 POC，均可以支持。 3、代码质量高。编写代码的人员素质高, 通过 Code Review、单元测试、集成测试等多层验证来提高代码可靠性。 4、高级可定制。通过配置文件暴露了引擎的各种参数，通过修改配置文件可
Xray：Web 漏洞扫描器-徐庆臣（黑客洗白者）
清晨码农的专栏
08-27 233
随着 WVS 的没落，国内的长亭科技出了一款叫作 Xray 的漏洞扫描器，现在国内不少白帽子开始使用它。我在使用 Xray 的时候发现，Xray 的准确率要比 WVS 高，但漏洞发现率不是很高，经常扫完后报告是空的，而且 Xray 的扫描速度很慢，还有一定优化的空间。Xray_and_crwlergo_in_serve、crawlergo_x_XRAY），在扫到漏洞后，微信会自动通知。
xray扫描器的使用 （长亭科技公司创造）
yyj1781572的博客
11-27 8974
xray扫描器的使用 xray是一款可以使用HTTP/HTTPS代理进行被动扫描的安全工具
xray扫描器的使用长亭xray被动扫描
计算机毕业论文源码，学生个人网页制作html源码。贴近用户做网络推广和互联网优化。
11-30 964
长亭xray被动扫描为了实现点到哪里扫到哪里，用长亭xray配合burp suite插件，插件名为Passive Scan Client GitHub - lilifengcode/Burpsuite-Plugins-Usage: Burpsuite-Plugins-Usage 在xray路径下运行powershell ，执行上图命令，打开浏览器
Xray图形化漏洞扫描工具
08-18
目前，Xray只有命令行版本，并且需要通过config.yaml配置文件来启动。对于新手来说，可能不太容易上手。但是根据引用的信息，Xray正在规划中开发一款真正完善的GUI版本的工具，称为XrayPro。所以，我们可以期待将来会有一个图形化的Xray漏洞扫描工具可用。另外，引用提到了Full-Scanner，它是一个多功能扫描工具，支持被动和主动信息收集，还可以与漏洞扫描工具联动，并且可以导入POC和EXP。所以，如果你需要一个图形化的漏洞扫描工具，可以考虑使用Full-Scanner。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *2* [神兵利器 | Xray图形化漏洞扫描工具v1.6](https://blog.csdn.net/qq_34839026/article/details/130397849)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"] - *3* [Full-Scanner是一个多功能扫描工具，支持被动/主动信息收集，漏洞扫描工具联动，可导入POC和EXP](https://blog.csdn.net/qq_41860876/article/details/130907259)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

墨痕诉清风

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值