1. 项目概述：为什么我们需要Xray这样的工具？

在安全测试的日常工作中，手动测试的深度和自动化工具的广度，就像人的两条腿，缺一不可。但很多工具要么太重，部署复杂；要么太轻，只能扫个皮毛。我第一次接触Xray，就是被它“开箱即用”和“深度检测”的结合点吸引的。它不像一些商业重型扫描器那样需要复杂的授权和庞大的资源，也不像一些简单脚本那样只能检测基础漏洞。你可以把它理解为一个“智能化的漏洞探测引擎”，它内置的POC（概念验证）库非常活跃，能覆盖从OWASP Top 10到一些最新的、特定框架的漏洞。对于安全工程师、渗透测试人员，甚至是想要了解自己应用安全状况的开发者来说，掌握这样一款工具，相当于在自动化武器库里添了一件趁手的高精度步枪。

这个教程的目的，就是带你从零开始，搞定Xray的整个生命周期：从如何把它“请”到你的机器上，到如何根据不同的场景“调教”它，最后到用一个模拟的靶场环境验证它的威力。我会把我在多次部署和实战中踩过的坑、总结的技巧，毫无保留地分享出来，目标是让你看完后，能独立完成一次有效的漏洞扫描任务。

2. 核心思路与工具选型：为什么是Xray？

在开始动手之前，我们得先搞清楚Xray到底是个什么定位，以及它和市面上其他工具（比如AWVS、Nessus）的区别在哪里。这决定了你后续的使用策略。

2.1 Xray的核心定位与优势

Xray并不是一个全能的“安全堡垒”，它更专注于Web应用和API的漏洞检测。它的核心优势在于：

1. 强大的POC驱动检测：这是Xray的灵魂。它不依赖陈旧的漏洞特征库，而是通过执行一个个编写好的YAML格式的POC来验证漏洞是否存在。这意味着对于新出现的漏洞，只要社区贡献了POC，Xray就能很快具备检测能力，响应速度极快。
2. 多种扫描模式灵活适配：它提供了多种扫描入口，你可以针对一个具体URL进行深度检测，也可以让它像爬虫一样遍历整个网站，更可以设置成被动代理模式，拦截你的浏览器流量进行实时扫描。这种灵活性让它能适应从黑盒测试到灰盒测试的不同场景。
3. 开源与社区活跃：作为一款开源工具，你可以审查它的代码，自定义POC，并且能享受到来自全球安全研究者贡献的更新。这比闭源工具更让人放心，也更有扩展性。
4. 资源占用相对友好：相比于AWVS这类“巨无霸”，Xray对系统资源的消耗要温和得多，在常规配置的VPS或个人电脑上都能流畅运行。

2.2 与Nessus、AWVS的简单对比

这里用一个简单的表格来对比，帮助你理解在不同场景下如何选择：

注意：这个对比不是非此即彼。在实际工作中，我经常将Xray与AWVS联动使用。用AWVS进行第一轮深度爬取和扫描，然后将发现的URL或参数点导入Xray，利用其丰富的POC库进行二次验证和深度探测，两者互补能取得非常好的效果。

2.3 版本选择与下载准备

Xray主要提供两个版本：社区版（免费）和高级版（付费）。对于绝大多数个人学习、内部测试和中小型项目，社区版的功能已经绰绰有余。它包含了核心的扫描引擎和基础的POC库。高级版主要提供更快的扫描速度、更全的POC库和商业支持。

下载建议：

1. 前往官方GitHub仓库的Release页面，这是唯一推荐的下载源，避免第三方渠道可能植入的后门。
2. 根据你的操作系统选择对应的版本。对于Linux/macOS，通常下载xray_linux_amd64.zip或xray_darwin_amd64.zip；对于Windows，则下载xray_windows_amd64.exe.zip。
3. 关键一步：下载后，务必校验文件的SHA256哈希值，与Release页面公布的哈希值进行比对，确保文件完整性。

3. 安装与基础配置详解

拿到安装包只是第一步，正确的安装和初始化配置是保证工具稳定运行的基础。这里我会分系统讲解，并强调几个容易出错的点。

3.1 Linux/macOS 系统安装

在Linux或macOS上，安装过程非常简洁，但权限和路径是核心。

# 1. 解压下载的zip包 unzip xray_linux_amd64.zip -d xray/ # 2. 进入解压目录 cd xray/ # 3. 赋予执行权限（这是最容易忘记的一步！） chmod +x xray_linux_amd64 # 4. 运行帮助命令，验证是否安装成功 ./xray_linux_amd64 help

实操心得：

• 我习惯将xray放在/opt/或~/tools/这样的固定目录下，方便管理。
• 为了能在任何位置直接使用xray命令，可以创建一个软链接到/usr/local/bin/（需要sudo权限）：

  sudo ln -s /path/to/your/xray/xray_linux_amd64 /usr/local/bin/xray

  之后就可以直接使用xray help了。
• 对于macOS用户，如果遇到“无法打开，因为无法验证开发者”的提示，需要到“系统偏好设置 -> 安全性与隐私”中允许运行。

3.2 Windows 系统安装

Windows下的安装更偏向于“即解即用”。

1. 将xray_windows_amd64.exe.zip解压到一个你喜欢的目录，例如D:\SecurityTools\xray\。
2. 进入该目录，你会看到xray_windows_amd64.exe这个可执行文件。
3. 为了便于使用，我强烈建议将xray的路径添加到系统的环境变量PATH中。
   • 右键“此电脑” -> “属性” -> “高级系统设置” -> “环境变量”。
   • 在“系统变量”或“用户变量”中找到Path，编辑，新建一条，填入你的xray目录路径（如D:\SecurityTools\xray）。
4. 打开命令提示符（CMD）或PowerShell，输入xray_windows_amd64.exe help，看到帮助信息即说明安装成功。

避坑指南：

• 杀毒软件误报：这是Windows上最常见的问题。Xray作为一个安全工具，其行为（如端口扫描、发包）极易被Windows Defender或其他杀毒软件判定为恶意软件并隔离。解决方法是将xray的可执行文件目录添加到杀毒软件的信任区（白名单）中。如果添加后仍被拦截，可能需要暂时关闭实时防护进行测试。
• 权限问题：尽量在具有管理员权限的终端中运行xray，特别是当扫描涉及本地服务或特定端口时。

3.3 初始化配置与许可证

首次运行Xray，它会自动在同级目录下生成一个config.yaml配置文件。这个文件是Xray的大脑，控制着扫描的所有行为。

关键配置项解析：

1. mitm（中间人代理）配置：这是被动扫描的核心。你需要配置一个代理监听的地址和端口（默认127.0.0.1:7777），并为其生成SSL证书。

   # 生成CA证书（仅首次需要） ./xray genca

   执行后会在当前目录生成ca.crt和ca.key文件。你需要将ca.crt证书安装到你的浏览器或系统信任根证书区，否则浏览器会拦截所有经过代理的HTTPS流量。

2. 插件配置：在config.yaml的plugins部分，你可以启用或禁用特定的检测模块。初期建议保持默认，即启用所有常见漏洞插件（如sqldet,xss,dirscan等）。当你对扫描目标有明确范围时，可以关闭不必要的插件以提升速度。

3. 漏洞评级：vulnerability部分可以配置漏洞的严重等级判定规则，通常保持默认即可。

重要提示：修改config.yaml后，需要重启Xray才能生效。建议在首次使用前，花10分钟通读一遍配置文件中的注释，这对你后续的深度调优非常有帮助。

4. 五大核心扫描模式实战解析

Xray的强大在于其多面手特性。下面我们深入每一种模式，结合具体命令和场景，让你彻底掌握。

4.1 基础扫描：针对单一URL深度检测

这是最直接的模式，适用于你已经有一个明确怀疑存在漏洞的URL端点。

# 基本命令格式 xray webscan --url http://target.com/vuln.php?id=1 # 带上更详细的输出和报告 xray webscan --url http://target.com/vuln.php?id=1 --html-output single_scan_report.html

命令参数解读：

• --url: 指定要扫描的目标URL。
• --html-output: 将扫描结果输出为HTML格式的报告，更直观。

实战技巧：

• 参数化扫描：如果URL有参数，Xray会自动对参数进行Fuzz（模糊测试）。你可以通过--data参数提交POST请求的数据。

  xray webscan --url http://target.com/login --data "username=admin&password=test"

• 控制深度与速度：在config.yaml中，你可以调整max-depth（最大爬取深度）和max-count（最大请求数）来防止对大型站点的无限制扫描。对于单一URL深度检测，更关心的是plugin的检测强度。

4.2 爬虫模式：让Xray自己探索网站

当你只有一个网站首页，想让它自动发现所有链接并进行漏洞检测时，就需要用到爬虫模式。

# 基本爬虫扫描 xray webscan --basic-crawler http://target.com --html-output crawler_report.html # 限制爬虫范围和速度（非常实用！） xray webscan --basic-crawler http://target.com --max-crawled-count 1000 --proxy http://127.0.0.1:8080

参数解读与避坑：

• --basic-crawler：启动内置的基础爬虫。
• --max-crawled-count：限制最大爬取链接数，防止因网站过大导致扫描失控或长时间占用资源。
• --proxy：为爬虫设置代理。这里有两个重要作用：
  1. 速度限制与匿名：通过一个可控的代理（如Burp Suite），你可以更精细地控制请求速率，避免触发目标网站的WAF（Web应用防火墙）或速率限制。
  2. 流量观察：所有爬虫流量都会经过代理，方便你在Burp Suite中观察、修改或重放请求，进行手动辅助测试。

踩坑实录：我曾对一个大型电商网站使用无限制爬虫，几分钟内发出了数十万请求，直接导致对方的监控告警，并短暂封禁了我的IP。所以，--max-crawled-count和--proxy是生产环境扫描的必备安全绳。

4.3 被动扫描模式：与浏览器联动，实时检测

这是我最常用，也是我认为效率最高的模式。你将Xray设置为代理，然后配置浏览器所有流量经过它。之后你正常手动浏览网站或使用自动化工具测试，Xray在后台静默分析所有经过的请求和响应，发现漏洞实时告警。

启动被动扫描服务器：

xray webscan --listen 127.0.0.1:7777 --html-output passive_report.html

这条命令启动了一个代理服务器，监听在本地的7777端口。

浏览器配置（以Chrome为例）：

1. 安装SwitchyOmega等代理管理插件。
2. 新建一个情景模式，配置代理服务器为127.0.0.1，端口7777，协议HTTP。
3. 确保之前生成的ca.crt证书已导入到系统的受信任根证书颁发机构。对于Chrome，还需要在浏览器中导入该证书（设置 -> 隐私设置和安全性 -> 安全 -> 管理设备证书 -> 受信任的根证书颁发机构 -> 导入）。

优势与场景：

• 精准：只检测你实际访问到的页面和功能点，没有无效流量。
• 安全：请求速率完全由你的浏览行为控制，不易触发防护。
• 协作：非常适合在手动渗透测试时作为辅助，你边测，它边扫，互相印证。

4.4 服务扫描：识别特定服务的漏洞

除了Web，Xray还能扫描一些常见的服务漏洞，比如SSH、FTP、Redis未授权访问等。

# 扫描目标IP的常见服务 xray servicescan --target 192.168.1.100 # 扫描一个IP段 xray servicescan --target 192.168.1.1/24

这个模式在内部网络资产梳理和暴露面排查时非常有用。它能快速告诉你，哪些IP的哪些端口开放了可能存在弱口令或配置缺陷的服务。

4.5 指定插件扫描：精准火力打击

当你通过其他渠道（如情报、手动分析）怀疑目标存在某一类特定漏洞时，可以只启用相关插件进行扫描，极大提升效率。

首先，你需要知道插件名称。运行xray webscan --list-plugins可以查看所有可用插件。

# 只扫描SQL注入和XSS漏洞 xray webscan --url http://target.com --plugins sqldet,xss # 在爬虫模式下只检测目录遍历和敏感文件泄露 xray webscan --basic-crawler http://target.com --plugins dirscan,brute-force

实操心得：在漏洞复现或针对性地验证某个系统时，我经常使用这个模式。例如，听说某个OA系统存在特定的文件上传漏洞，我可以先只用fileupload插件快速扫一遍，确认是否存在风险点。

5. 实战靶场测试：从理论到实践

光说不练假把式。我们将使用一个 deliberately vulnerable（故意存在漏洞）的Web靶场来实战演练。这里我推荐DVWA (Damn Vulnerable Web Application)或bWAPP，它们易于搭建，包含了丰富的漏洞场景。

5.1 靶场环境搭建（以DVWA为例）

1. 使用Docker（最快方式）：

   docker run -d -p 80:80 vulnerables/web-dvwa

   访问http://localhost即可。默认登录账号/密码：admin/password。

2. 调整安全等级：登录DVWA后，在Security页面将安全级别设置为Low，这样漏洞更容易被扫描器触发。

5.2 组合扫描实战

我们将对DVWA进行一轮完整的扫描演示。

步骤一：被动扫描浏览

1. 启动Xray被动扫描：xray webscan --listen 127.0.0.1:7777 --html-output dvwa_passive.html
2. 配置浏览器代理指向127.0.0.1:7777。
3. 手动浏览DVWA的每一个功能模块：SQL Injection, XSS, File Upload, Command Injection等。尽量在每个页面进行一些输入提交操作。
4. 浏览结束后，停止Xray（Ctrl+C），查看生成的dvwa_passive.html报告。你会发现它已经检测到了不少中低危漏洞，比如反射型XSS。

步骤二：针对特定漏洞页面的深度扫描被动扫描可能对需要复杂交互的漏洞（如盲注）检测不全。我们针对SQL注入页面进行主动深度扫描。

xray webscan --url "http://localhost/vulnerabilities/sqli/?id=1&Submit=Submit" --html-output dvwa_sqli_deep.html

查看报告，对比被动扫描的结果，通常主动扫描能发现更多变种的注入类型。

步骤三：全站爬虫扫描（谨慎！）在测试环境可以尝试，但务必控制范围。

xray webscan --basic-crawler http://localhost --max-crawled-count 500 --html-output dvwa_crawler.html

步骤四：报告分析与验证打开生成的HTML报告，Xray会清晰地列出漏洞类型、URL、请求/响应详情以及风险等级。切记，扫描器报告只是“线索”，不是“定论”。你必须对每一个中高危漏洞进行手动验证。

• 对于SQL注入，尝试使用SQLMap或手动添加'、and 1=2等Payload进行验证。
• 对于XSS，尝试弹窗<script>alert(1)</script>验证。
• 记录下误报（工具报了但实际不存在）和漏报（实际存在但工具没报）的情况，这有助于你后续调整扫描策略和理解工具的局限性。

6. 高级技巧与联动使用

掌握了基本操作后，这些技巧能让你的扫描工作事半功倍。

6.1 与Burp Suite联动

Burp Suite是手动测试神器，Xray是自动化利器，两者联动威力巨大。

1. 方案一：Burp作为上游代理（推荐）

   • 启动Xray被动扫描：xray webscan --listen 127.0.0.1:7777
   • 在Burp Suite中，进入Proxy->Options，添加一个上游代理服务器（Upstream Proxy Servers）。规则可以设置为对所有域名生效，代理服务器指向127.0.0.1:7777。
   • 浏览器代理指向Burp（如127.0.0.1:8080）。
   • 工作流：浏览器流量 -> Burp Suite（可拦截、修改）-> Xray（自动化扫描）-> 目标网站。这样你既能手动测试，又能享受Xray的自动化扫描。

2. 方案二：将Burp流量导入Xray

   • 在Burp中将你感兴趣的请求（单个或整个站点地图）右键，选择Save item，保存为xml文件。
   • 使用Xray的--raw-request或通过一些社区脚本将Burp的请求转换为Xray可读的格式进行扫描。这种方式更适用于对特定请求序列进行重放扫描。

6.2 扫描策略优化

• 速率限制：在config.yaml中配置http下的max-qps，限制每秒最大请求数，做个“文明”的扫描器。
• 排除项：使用--exclude参数或配置文件中的exclude字段，排除掉logout、delete等危险链接，或者排除图片、CSS等静态资源，提升扫描效率。
• 自定义POC：当你遇到一个扫描器无法识别的0day或特定框架漏洞时，学习编写YAML格式的POC是终极解决方案。Xray的官方文档有详细的POC编写指南，从模仿现有POC开始是最快的学习路径。

6.3 集成到CI/CD流程

对于有安全左移需求的团队，可以将Xray集成到持续集成管道中，对每次构建的测试环境进行自动化安全扫描。

基本思路：

1. 在Jenkins、GitLab CI等工具的任务中，加入一个扫描步骤。
2. 该步骤下载Xray二进制文件，运行针对测试环境URL的扫描（通常使用基础爬虫或指定URL模式）。
3. 解析扫描结果（JSON格式），设定一个漏洞阈值（如不允许出现高危漏洞）。
4. 如果发现超过阈值的漏洞，则将任务标记为失败，并通知开发人员。

这需要一定的脚本编写能力，核心是调用Xray的--json-output参数获取结构化数据，然后进行判断。

7. 常见问题排查与避坑指南

这里汇总了我自己和社区里经常遇到的一些“坑”。

最重要的避坑原则：

• 明确授权：永远只在你有权测试的目标上使用Xray。未经授权的扫描是违法行为。
• 控制影响：使用速率限制、排除危险路径、避免在业务高峰时段扫描。
• 手动验证：工具只是辅助，最终判断必须由人完成。对每一个中高危发现进行手动验证和影响评估。
• 持续学习：关注Xray的GitHub更新和社区动态，新的POC和功能会不断加入。