1. 从零上手 X-RAY这套工具到底在解决什么问题第一次接触 X-RAY 的人十有八九是被它的名字唬住的。听起来像是某种高精尖的影像设备实际上它是一套在安全测试和资产梳理场景里被广泛使用的工具集。我最早用它是在一次内部资产盘点的活儿里当时手里攥着几百个域名和 IP 段靠手工一个个去探端口、认指纹三天下来眼睛都快瞎了效率低得让人抓狂。后来同事甩给我一个 X-RAY 的压缩包说“你试试这个”我才算真正入了门。X-RAY 的核心定位说白了就是自动化地帮你发现目标资产上存在的潜在风险。它能做的事情包括端口探测、服务识别、目录扫描、漏洞检测等等而且整个流程可以串起来跑不需要你在多个工具之间来回倒腾。对于做安全评估、渗透测试、资产测绘的人来说这东西能省下大量重复劳动的时间。但它的门槛也不算低——不是双击一下就能出结果的那种你得理解它的工作模式配好参数才能让它真正干活。这篇文章主要面向两类人一类是刚接触 X-RAY、想把它跑起来的新手另一类是用过几次但总觉得“跑出来的结果不太对”的中级用户。我会从最基础的使用逻辑讲起把配置、扫描、结果解读这几个环节拆开揉碎了说中间穿插我自己踩过的坑和总结出来的技巧。读完你至少能做到知道 X-RAY 能干什么、不能干什么能独立配出一套可用的扫描方案能看懂扫描结果里哪些是真正值得关注的东西。提示X-RAY 的使用必须建立在合法授权的基础上。未经授权对他人资产进行扫描不仅违反职业道德还可能触犯法律。本文所有内容仅用于授权的安全测试和学习研究场景。2. X-RAY 的核心工作模式与基础配置2.1 两种运行模式Web 界面与命令行X-RAY 提供了两种使用方式一种是带图形界面的 Web 模式另一种是纯命令行的 CLI 模式。很多人第一次下载下来看到目录里一堆文件就懵了不知道该点哪个。我先把这两个模式的区别讲清楚。Web 模式的操作逻辑是你启动一个本地服务然后通过浏览器访问一个本地地址在页面上配置扫描目标、选择扫描策略、查看结果。这个模式适合新手因为所有选项都是可视化的不需要记命令。启动方式通常是在 X-RAY 的根目录下执行类似./xray web的命令然后浏览器打开提示的地址就行。CLI 模式则是直接在终端里敲命令比如./xray webscan --url http://example.com这样的形式。这个模式适合把 X-RAY 集成到自动化流程里比如你写个脚本批量扫描一堆目标CLI 模式就方便得多。而且 CLI 模式的输出可以重定向到文件方便后续处理。我个人的建议是新手先用 Web 模式跑通一遍完整流程熟悉各个参数的含义然后再转到 CLI 模式做批量任务。直接上 CLI 容易因为参数写错导致扫描失败排查起来也麻烦。2.2 配置文件的关键参数解读X-RAY 的配置文件通常是一个 YAML 格式的文件里面定义了扫描的各种行为。这个文件是整个工具的核心改错一个参数可能导致扫描结果完全不可用。我挑几个最关键的参数来说。并发数concurrency这个参数控制同时发起的请求数量。默认值一般比较保守如果你扫描的目标响应很快可以适当调高比如从默认的 10 调到 30 甚至 50。但要注意调太高会导致目标服务器压力过大可能触发对方的防护机制反而让扫描中断。我一般会根据目标的响应速度动态调整响应在 200ms 以内的并发可以开到 30响应超过 1 秒的老老实实保持在 10 以下。超时时间timeout这个参数决定了单个请求等待多久算失败。默认通常是 10 秒但在实际环境中有些目标响应特别慢10 秒可能不够。我遇到过一种情况目标服务器本身没问题但中间经过了一层负载均衡响应时间被拉长到 15 秒以上结果 X-RAY 一直报超时扫描根本跑不下去。后来把 timeout 调到 20 秒才正常。但也不能调太大否则一个卡住的请求会拖慢整个扫描进度。代理设置proxy这个参数用于将扫描流量转发到指定的代理服务器。在授权测试中有时需要通过特定的出口进行访问或者需要对流量进行抓包分析这时候就需要配置代理。格式一般是http://127.0.0.1:8080这样的形式。配置代理后你可以用抓包工具看到 X-RAY 发出的所有请求方便调试和验证。扫描策略policy这个参数决定了 X-RAY 使用哪些检测规则。默认策略包含的规则比较多扫描时间会较长。如果你只想快速排查某类问题可以指定只加载相关的规则文件。比如只关心目录遍历问题就只加载对应的策略文件这样扫描速度会快很多。下面这张表总结了我常用的几个配置项及其推荐值配置项默认值推荐值快速扫描推荐值深度扫描说明concurrency103010并发请求数根据目标响应速度调整timeout10820单请求超时秒数慢速目标需调大max_qps无限制5020每秒最大请求数防止触发防护proxy空按需配置按需配置代理地址用于流量分析policy默认全量按需指定默认全量扫描策略文件路径2.3 目标范围的界定与输入格式X-RAY 支持多种目标输入格式这是很多人容易搞混的地方。你可以直接给一个 URL比如http://example.com也可以给一个 IP 地址加端口比如192.168.1.1:8080还可以给一个网段比如192.168.1.0/24。不同格式对应的扫描行为是不一样的。给 URL 的时候X-RAY 会先访问这个地址然后基于返回的内容做进一步检测。给 IP 加端口的时候它会先探测这个端口是否开放然后再根据服务类型做识别。给网段的时候它会先做主机发现找出存活的主机再逐个扫描。这里有个坑要注意如果你给的是一个域名X-RAY 默认只会扫描这个域名对应的那一个站点不会自动扩展到子域名。很多人以为输入example.com就会把mail.example.com、blog.example.com都扫了实际上不会。要扫描子域名你得先把子域名收集好然后作为多个目标输入进去。另外输入目标时最好带上协议头。虽然 X-RAY 会尝试自动识别但有时候识别不准。比如目标只支持 HTTPS你输入的时候没带https://它可能先用 HTTP 去试试不通再换 HTTPS白白浪费一轮时间。直接写清楚https://example.com就省事多了。3. 扫描流程拆解从发起请求到拿到结果3.1 第一步目标存活探测与端口开放判断X-RAY 拿到目标列表后第一件事是判断目标是否存活。对于 IP 目标它会先发 ICMP 包或者 TCP SYN 包探测主机是否在线。对于 URL 目标它会直接发一个 HTTP 请求看是否有响应。这个环节有个细节值得注意有些服务器禁用了 ICMP 响应但 HTTP 服务是正常的。如果你只依赖 ICMP 来判断存活就会漏掉这些目标。X-RAY 在这方面处理得比较好它会结合多种探测方式不单靠某一种。但如果你自己写脚本做前置筛选就要注意这个问题。端口开放判断是紧接着的一步。X-RAY 会根据你配置的端口范围去尝试连接。默认情况下它会扫描一些常见端口比如 80、443、8080、8443 等。如果你想扫描更多端口需要在配置里指定端口范围。这里建议不要一上来就扫全端口1-65535那样太耗时而且大部分端口都是关闭的意义不大。先扫常见端口发现开放的服务后再针对性地深入这是更高效的策略。3.2 第二步服务识别与指纹匹配端口开放了接下来要判断上面跑的是什么服务。X-RAY 会发送特定的探测请求然后根据返回的 banner 信息、响应头、页面特征等来判断服务类型和版本。这个环节的准确性直接影响后续的漏洞检测。比如你把一个 Nginx 误判成了 Apache那针对 Apache 的检测规则就不会生效针对 Nginx 的规则又可能误报。X-RAY 内置了比较丰富的指纹库但也不是万能的。我遇到过一种情况目标服务做了伪装返回的 banner 信息是伪造的X-RAY 识别出来的结果和实际情况完全对不上。这种时候就需要人工介入通过其他手段确认服务类型。指纹匹配的另一个问题是版本号识别。很多漏洞是跟特定版本绑定的如果版本号识别不出来就没法判断是否存在对应漏洞。X-RAY 会尝试从多个位置提取版本信息包括响应头、页面内容、特定路径的返回等。如果这些位置都没有版本信息它就只能标记为“未知版本”后续的版本相关检测就无法进行。3.3 第三步目录扫描与敏感路径发现服务识别完之后X-RAY 会尝试扫描一些常见的敏感路径。比如/admin、/backup、/.git、/config这些。这个环节的原理是用一个内置的字典去逐个请求这些路径根据返回的状态码和内容长度来判断是否存在。这里有个经验之谈字典的选择比扫描速度更重要。X-RAY 自带的字典覆盖了常见的敏感路径但如果你针对的是特定类型的应用比如某个 CMS最好再补充一些针对性的路径。比如针对 WordPress 站点加上/wp-admin、/wp-content、/xmlrpc.php这些针对 Spring Boot 应用加上/actuator、/env、/health这些。另外判断路径是否存在不能只看状态码。有些服务器对所有不存在的路径都返回 200但内容是一个统一的错误页面。这种时候就要看返回内容的长度和特征。X-RAY 会记录正常页面的特征然后对比敏感路径的返回如果长度差异明显或者内容特征不同就判定为存在。这个逻辑听起来简单但实际调参的时候需要根据目标的特点来调整阈值。3.4 第四步漏洞检测与结果输出前面几步都是铺垫这一步才是重头戏。X-RAY 会根据前面收集到的信息加载对应的检测规则逐个尝试。检测规则的本质是一段逻辑发送特定的请求然后根据返回判断是否存在漏洞。比如检测 SQL 注入它会尝试在参数中插入特定的 payload然后观察返回内容是否有数据库报错信息、页面是否出现异常变化等。检测 XSS它会插入一段脚本代码然后看这段代码是否被原样返回且没有被转义。这个环节的误报和漏报是不可避免的。误报是指 X-RAY 报告存在漏洞但实际上不存在漏报是指存在漏洞但 X-RAY 没检测出来。误报多是因为检测规则过于宽松漏报多是因为检测规则不够全面或者目标做了特殊处理。我的经验是对 X-RAY 报出来的结果一定要人工验证一遍再下结论。尤其是高危漏洞不能直接拿报告去交差万一报错了会很尴尬。结果输出方面X-RAY 支持多种格式包括纯文本、JSON、HTML 等。JSON 格式适合后续用脚本处理HTML 格式适合直接给人看。我一般会同时输出两种格式JSON 用来做统计和分析HTML 用来做汇报和存档。4. 实操演示一次完整的扫描过程4.1 环境准备与工具启动假设你已经拿到了 X-RAY 的压缩包解压到一个目录下。在开始之前先确认几件事你的机器上有没有安装必要的运行环境比如某些版本可能需要特定的运行时目标网络是否可达以及你是否已经获得了扫描授权。启动 Web 模式的操作很简单进入 X-RAY 所在目录执行启动命令。终端会输出一个本地访问地址通常是http://127.0.0.1:某个端口。用浏览器打开这个地址就能看到操作界面了。第一次打开界面建议先去设置页面把基础配置过一遍。重点看三个地方并发数、超时时间、代理设置。如果你是在本地测试环境里扫描自己的靶机并发可以开大一点超时可以设短一点这样出结果快。如果是在真实环境里做授权测试并发要保守一些超时要留足余量。4.2 配置扫描目标与策略选择在 Web 界面上找到新建扫描任务的入口。把你要扫描的目标填进去。如果是多个目标每行一个。填完之后选择扫描策略。策略选择这里有个取舍全量策略覆盖的检测项多但耗时长精简策略速度快但可能漏掉一些问题。我的做法是分两轮第一轮用精简策略快速过一遍看看有没有明显的问题第二轮针对第一轮发现的可疑点用全量策略深入检测。这样既保证了速度又保证了覆盖度。如果你用的是 CLI 模式对应的命令大概是这样的./xray webscan --url http://target.example.com --policy default --output result.json这条命令的意思是对http://target.example.com发起 Web 扫描使用默认策略结果输出到result.json文件。你可以把--url换成--list来指定一个包含多个目标的文件实现批量扫描。4.3 扫描过程中的监控与调整扫描启动后不要就干等着。要盯着几个指标请求速率、错误率、当前进度。如果发现错误率突然升高可能是并发太高把目标打挂了或者触发了对方的防护机制。这时候要赶紧把并发降下来或者加个延迟。我遇到过一次典型情况扫描刚开始没多久目标服务器就返回大量 503 错误。一开始以为是目标挂了后来发现是对方的 WAF 把我们的请求拦截了。解决办法是降低请求频率并且在请求头里加上更真实的 User-Agent模拟正常浏览器的行为。调整之后扫描就恢复正常了。还有一个监控点是扫描进度。如果发现某个环节卡了很久不动可能是遇到了一个响应特别慢的请求或者某个检测规则陷入了死循环。这时候可以手动跳过当前环节或者调整超时时间让它尽快失败。4.4 结果解读哪些是真正需要关注的扫描跑完之后拿到结果文件接下来就是解读。X-RAY 的输出通常包含这几类信息发现的端口和服务、识别出的指纹、扫描到的敏感路径、检测出的漏洞。端口和服务这部分重点关注那些不应该对外开放的端口。比如数据库端口3306、5432、6379 等如果对外开放了就是一个严重的问题。管理后台端口8080、8443 等对外开放也需要关注。指纹信息这部分主要看有没有识别出已知存在漏洞的组件版本。比如某个老版本的框架、某个有已知漏洞的中间件。如果发现了这类组件要优先处理。敏感路径这部分重点看那些包含敏感信息的路径。比如/backup目录下如果有数据库备份文件那就是大问题。/.git目录如果可访问源码就可能泄露。漏洞检测这部分是最需要仔细甄别的。X-RAY 报出来的漏洞按危害等级分高危的优先看。但记住前面说的一定要人工验证。验证的方法很简单按照 X-RAY 给出的请求构造方式自己手动发一次请求看返回结果是否和 X-RAY 描述的一致。如果一致那就是真漏洞如果不一致可能是误报。下面这张表是我总结的结果解读优先级结果类型关注优先级典型风险验证方式高危漏洞最高可直接导致数据泄露或系统沦陷手动构造请求验证敏感路径暴露高源码、配置、备份文件泄露浏览器直接访问确认危险端口开放高数据库、管理后台被外部访问尝试连接确认服务中低危漏洞中信息泄露、配置不当抽样验证指纹信息低需结合版本判断对照漏洞库查询5. 常见问题与排查技巧实录5.1 扫描跑不起来或中途卡死这是新手最常遇到的问题。表现是启动扫描后进度条一直不动或者跑了几个目标就卡住了。原因通常有几种。第一种是网络不通。X-RAY 发出的请求根本到不了目标。排查方法是在终端里用curl或ping手动测试一下目标是否可达。如果手动都访问不了那 X-RAY 肯定也访问不了。第二种是目标响应太慢。X-RAY 等了一会儿没收到响应就认为超时了但超时之后它可能没有正确处理导致卡住。解决办法是把超时时间调大或者把并发降下来减少同时等待的请求数。第三种是配置文件写错了。比如 YAML 格式的缩进不对、参数名拼错了、路径写错了。这种问题最隐蔽因为 X-RAY 可能不会报错只是默默地不按你期望的方式运行。排查方法是把配置文件精简到最少必要项跑通了再逐步加回去。5.2 扫描结果大量误报怎么处理误报多的时候先别急着怀疑 X-RAY 的能力先看看是不是自己的配置有问题。常见的误报原因包括目标返回了统一的自定义错误页面导致 X-RAY 把错误页面当成了正常页面目标做了 URL 重写所有路径都返回同一个页面目标有 CDN 或 WAF返回的内容被修改过。针对这些情况可以采取的措施有调整 X-RAY 的页面相似度判断阈值让它能更好地区分正常页面和错误页面在扫描前先手动访问几个不存在的路径记录下错误页面的特征然后在配置里排除这些特征如果目标有 WAF降低扫描频率或者换一种检测方式。还有一个技巧是用多个工具交叉验证。X-RAY 报出来的漏洞用另一个工具再测一遍。如果两个工具都报了那大概率是真的如果只有一个报了就要多留个心眼。5.3 如何提高扫描的覆盖率和准确率覆盖率和准确率是一对矛盾想覆盖更多就得发更多请求误报可能就更多想准确率更高就得收紧检测规则漏报可能就更多。我的经验是分阶段扫描。第一阶段用宽松策略快速过一遍目标是发现明显的、确定的问题。这一阶段不追求覆盖所有漏洞类型只关注那些最容易检测、误报率最低的项。第二阶段针对第一阶段发现的可疑点用严格策略深入检测。这一阶段可以接受较慢的速度但要保证每个报出来的结果都是经过充分验证的。第三阶段是人工验证。对第二阶段报出来的结果逐个手动确认。这一步不能省因为自动化工具再聪明也比不上人脑对上下文的理解。另外保持 X-RAY 的规则库更新也很重要。新的漏洞不断出现检测规则也需要不断更新。定期检查有没有新版本的规则包及时更新才能保证检测能力不落后。5.4 授权与合规注意事项这一点必须单独拿出来说。X-RAY 是一把双刃剑用得好是安全评估的利器用不好就是违法的工具。在扫描任何目标之前必须确认你拥有合法的授权。授权可以是书面的也可以是邮件确认的但一定要有明确的授权范围。授权范围包括允许扫描哪些目标、允许使用哪些扫描方式、允许在什么时间段扫描。超出授权范围的扫描即使你没有恶意也可能被视为违规行为。另外扫描过程中要注意不要对目标造成破坏。高并发扫描可能导致目标服务不可用这就是一种破坏。所以并发数要控制好遇到敏感系统更要谨慎。如果扫描过程中发现目标出现了异常应该立即停止扫描并通知相关方。注意本文所有技术内容仅用于合法的安全测试和学习研究。请务必在获得明确授权的前提下使用相关工具和技术。6. 进阶技巧让 X-RAY 发挥更大价值6.1 自定义检测规则X-RAY 支持自定义检测规则这是它比较强大的一个特性。你可以根据自己遇到的特定场景写针对性的检测逻辑。比如你发现某个内部系统有一个特殊的接口可能存在越权问题就可以写一条规则来批量检测这个接口。自定义规则的写法通常是基于 YAML 的定义请求的构造方式、匹配的条件、漏洞的描述等。写规则的关键是匹配条件要足够精确既要能命中真正的漏洞又要尽量避免误报。我一般会先用几个已知存在漏洞和已知不存在漏洞的目标来测试规则确认规则的准确性之后再放到生产环境里用。6.2 与其他工具的联动X-RAY 不是孤立的它可以和其他工具配合使用形成更完整的工作流。比如用子域名收集工具先收集一批子域名然后把结果导入 X-RAY 做批量扫描或者用 X-RAY 做初步扫描发现可疑点之后用更专业的工具做深入检测。联动的关键在于数据格式的对接。X-RAY 支持 JSON 格式的输出大部分工具也支持 JSON 格式的输入所以对接起来不算麻烦。你可以写个简单的脚本把上一个工具的输出转换成 X-RAY 需要的输入格式然后把 X-RAY 的输出再转换成下一个工具需要的格式。6.3 扫描结果的自动化处理如果你经常需要扫描大量目标手动解读结果是不现实的。这时候就需要自动化处理。我的做法是写一个脚本读取 X-RAY 输出的 JSON 文件按照预设的规则筛选出需要关注的结果然后生成一份摘要报告。筛选规则可以根据你的实际需求来定。比如只关注高危漏洞、只关注特定类型的敏感路径、只关注新增的资产等。摘要报告可以包括发现的问题总数、按类型分布、按危害等级分布、需要优先处理的事项列表等。这样处理之后你就不需要每次都从头看一遍完整的扫描结果只需要看摘要报告然后针对重点问题深入查看即可。效率能提升好几倍。6.4 性能调优经验最后分享几个性能调优的经验。并发数和超时时间要匹配并发高的时候超时要设短一点否则大量请求堆积在等待状态反而拖慢整体速度并发低的时候超时可以设长一点给慢速目标更多时间。扫描策略要按需加载不要每次都加载全量策略那样会做很多无用的检测。根据目标的类型和你的关注点只加载相关的策略文件。结果输出要精简如果只是做初步筛查不需要输出所有细节只输出关键信息即可。这样可以减少 I/O 开销也能让后续处理更快。定期清理缓存和临时文件X-RAY 在运行过程中会产生一些缓存和临时文件时间长了会占用大量磁盘空间也可能影响运行速度。定期清理一下保持环境干净。我在实际使用中发现同样的目标经过调优之后的扫描速度能比默认配置快两到三倍而且结果质量并没有下降。关键是要理解每个参数背后的逻辑根据实际情况灵活调整而不是照搬默认值。踩过几次坑之后你会慢慢形成自己的配置模板到时候上手新目标就能很快进入状态。
