X

#X| 来源: 网络整理| 查看: 265

X-RAY是一款完善的安全评估工具，有着很多的有点，之前学长推荐了一下，然后自己去试过之后发现确实很好用，然后就写一下这个工具的使用方法，顺便自己复习一下做个笔记。只是我自己纪录自己的学习而已，有些的不好的地方包容一下，互相学习的一个过程而已，大佬勿喷。

下载软件

这个软件是有自己的官方网站的，虽然X-RAY是免费下载，但是它却不是源码开放的。

直接去X-RAY的github上下载（https://github.com/chaitin/xray/releasesb），X-RAY已经更新了很多版本了

找到自己的版本下载。

然后发现官网有一篇文档写的比较详细

xray 是一款功能强大的安全评估工具，由多名经验丰富的一线安全从业者呕心打造而成，主要特性有:

检测速度快。发包速度快; 漏洞检测算法高效。支持范围广。大至 OWASP Top 10 通用漏洞检测，小至各种 CMS 框架 POC，均可以支持。代码质量高。编写代码的人员素质高, 通过 Code Review、单元测试、集成测试等多层验证来提高代码可靠性。高级可定制。通过配置文件暴露了引擎的各种参数，通过修改配置文件可以极大的客制化功能。安全无威胁。xray 定位为一款安全辅助评估工具，而不是攻击工具，内置的所有 payload 和 poc 均为无害化检查。

目前支持的漏洞检测类型包括:

XSS漏洞检测 (key: xss)SQL 注入检测 (key: sqldet)命令/代码注入检测 (key: cmd-injection)目录枚举 (key: dirscan)路径穿越检测 (key: path-traversal)XML 实体注入检测 (key: xxe)文件上传检测 (key: upload)弱口令检测 (key: brute-force)jsonp 检测 (key: jsonp)ssrf 检测 (key: ssrf)基线检查 (key: baseline)任意跳转检测 (key: redirect)CRLF 注入 (key: crlf-injection)Struts2 系列漏洞检测 (高级版，key: struts)Thinkphp系列漏洞检测 (高级版，key: thinkphp)POC 框架 (key: phantasm)

上面我从官网复制下来的，如果要看更详细的可以去官方的文档

（https://docs.xray.cool/#/tutorial/webscan_basic_crawler）

下载完解压之后，有个exe的程序，双击它是没用的，因为X-RAY得用电脑终端进行使用cmd或者powershell，方法如下。

1.打开cmd

2.cd进入文件目录

3.输入

xray_windows_amd64.exe version

4.跳出来这个版本信息就代表下载成功了。