渗透测试|Xray联动Burp进行被动扫描

至少我们曾经在一起过。

来自：一言

var xhr = new XMLHttpRequest(); xhr.open('get', 'https://v1.hitokoto.cn/'); xhr.onreadystatechange = function () { if (xhr.readyState === 4) { var data = JSON.parse(xhr.responseText); var hitokoto = document.getElementById('hitokoto'); hitokoto.innerText = data.hitokoto; } } xhr.send();

前言

相信大家前段时间的xray一周年都白嫖了几个月的xray高级版吧[aru_15]，这种东西，站长也是第一时间白嫖到了手[aru_24]，如下图：

渗透测试|Xray联动Burp进行被动扫描

温馨提示

三个月到手，基本没用过几次~~[aru_36]

联动Burp

很久前就听过了xray被动扫描很舒服，可是一直没有机会试过，所以这次就想试一下[aru_23]，顺便记录一下踩坑记录~

1.进入xray的安装目录，打开cmd命令窗口，输入以下命令：

xray_windows_amd64.exe webscan --listen 127.0.0.1:7777 --html-output try.html

命令说明

开启xray的web扫描，监听本地的7777端口，并且把扫描的结果输出到try.html文件中，监听效果如下图。

渗透测试|Xray联动Burp进行被动扫描

2.burp设置教程如下图：

渗透测试|Xray联动Burp进行被动扫描

效果演示

浏览器使用burp代理，然后效果如下：

渗透测试|Xray联动Burp进行被动扫描

踩坑记录

切记！不要开着xray去某些网站!如土司，教育类，政府类的网站，后果自负哦~[aru_15]可以在xray的配置文件中设置，如下图：

渗透测试|Xray联动Burp进行被动扫描

站长就是第一次用xray进行被动扫描的时候，忘记关了，然后去逛tools，然后就被当作爬虫行为把账号给封了，后面解释清楚了才把账号弄回来~[aru_28]

渗透测试|Xray联动Burp进行被动扫描