当前位置： 首页 > news >正文

burpsuite+xray实现联动测试（手动分析和自动化测试同时进行）

news 2026/2/8 18:17:41

   目的：安全测试过程中手动分析测试与xray自动化扫描测试结合，这样可以从多层保障安全测试的分析，针对平台业务接口量大的安全测试是十分有用的，可以实现双向测试同时开始。

xray简介

xray 是一款功能强大的安全评估工具，由多名经验丰富的一线安全从业者呕心打造而成，主要特性有:

  • 检测速度快。发包速度快; 漏洞检测算法效率高。
  • 支持范围广。大至 OWASP Top 10 通用漏洞检测，小至各种 CMS 框架 POC，均可以支持。
  • 代码质量高。编写代码的人员素质高, 通过 Code Review、单元测试、集成测试等多层验证来提高代码可靠性。
  • 高级可定制。通过配置文件暴露了引擎的各种参数，通过修改配置文件可以客制化功能。
  • 安全无威胁。xray 定位为一款安全辅助评估工具，而不是攻击工具，内置的所有 payload 和 poc 均为无害化检查。

1.xray安装和使用

1.1下载地址：xray community

 

 1.2下载本地完成

1.3解压完成xray

 1.4 双击运行xray_windows_amd64.exe,生成配置文件如下

 1.5 window是下win+r 运行powershell打开powershell窗口

 

1.6 进入命令终端。

然后 cd 到下载目录，运行 .\xray_windows_amd64.exe 查看xrag情况

2.证书的生成和安装

2.1运行 .\xray_windows_amd64.exe  genca生成证书

 2.2 双击运行证书安装2,3  证书选择导入受信任的根证书颁发机构

***xray的基本使用就在此详细介绍了，此处忽略，下面直接开始联动，默认burpsuite安装完毕***

 3.使用 Burp 的原生功能与 xray 建立起一个多层代理，让流量从 Burp 转发到 xray 中。

3.1首先 xray 建立起 webscan 的监听，运行.\xray_windows_amd64.exe  webscan --listen 127.0.0.1:7777 --html-output result.html

 3.2进入 Burp 后，打开 User options 标签页，然后找到 Upstream Proxy Servers 设置。

点击 Add 添加上游代理以及作用域，Destination host处可以使用*匹配多个任意字符串，?匹配单一任意字符串，而上游代理的地址则填写 xray 的监听地址。

请求经过了burp

​​​​​​​

 

 转发到了 xray 中

 

联动成功了

相关文章：

burpsuite+xray实现联动测试（手动分析和自动化测试同时进行）

目的：安全测试过程中手动分析测试与xray自动化扫描测试结合，这样可以从多层保障安全测试的分析，针对平台业务接口量大的安全测试是十分有用的，可以实现双向测试同时开始。 xray简介 xray 是一款功能强大的安全评估工具&#xff…...

编程日记 2023/6/10 10:03:50

2023年专业连锁行业研究报告

第一章 行业概况 专业连锁行业是指以连锁经营模式运营的公司，其主要业务涵盖零售、餐饮、酒店、医疗、教育等领域。这些公司通过规模化、标准化的经营模式和供应链管理，提供专业化、高质量的产品和服务。专业连锁行业在全球范围内蓬勃发展，并…...

编程日记 2023/6/10 9:58:49

Mysql数据库（六）：基本的SELECT语句

基本的SELECT语句 前言一、SELECT...二、SELECT ... FROM三、列的别名四、去除重复行五、空值参与运算六、着重号七、查询常数八、显示表结构九、过滤数据 前言 本博主将用CSDN记录软件开发求学之路上亲身所得与所学的心得与知识，有兴趣的小伙伴可以关注博主&#…...

编程日记 2023/6/10 9:53:49

在CentOS7环境中，实现使用openresty配置文件，达到jwt指定用户userid不能访问的效果

#在CentOS7环境中，实现使用openresty配置文件，达到jwt指定用户userid不能访问的效果。 首先，你需要安装 OpenResty 和 JWT 组件： 安装 OpenResty 参考 OpenResty 的官方安装文档，在终端执行如下命令： $…...

编程日记 2023/6/10 9:48:48

SpringBoot 源码分析初始化应用上下文(1)-createApplicationContext

前言：springBoot的版本是 2.2.4.RELEASE 一、入口 /*** Run the Spring application, creating and refreshing a new* {link ApplicationContext}.* param args the application arguments (usually passed from a Java main method)* return a running {link A…...

编程日记 2023/6/10 9:43:47

STM32队列

目录 什么是队列？ 队列特点 1. 数据入队出队方式 2. 数据传递方式 3. 多任务访问 4. 出队、入队阻塞 队列相关 API 函数 1. 创建队列 参数： 2. 写队列 参数： 返回值： 3. 读队列 参数： 返回值&#xf…...

编程日记 2023/6/10 9:38:46

探索Beyond Compare：让文件比较和管理变得简单高效

在这个信息爆炸时代，我们的日常生活和工作中需要处理大量的数据和文档。在这个过程中，有时候我们会面临找出不同文件之间的差异、合并重复内容等需求。那么，有没有一款软件可以帮助我们轻松地完成这些任务呢？答案当然是肯定的&…...

编程日记 2023/6/10 9:33:44

动态网站Servelt基础

文章目录 一、Servlet基础（一）Servlet概述1、Servlet是什么2、Servlet容器3、Servlet应用程序的体系结构 （二）Servlet的特点1、功能强大2、可移植3、性能高效4、安全性高5、可扩展 （三）Servlet接口1、Servl…...

编程日记 2023/6/10 9:28:43

Docker 网络

Docker 网络实现原理 Docker使用Linux桥接，在宿主机虚拟一个Docker容器网桥(docker0)，Docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地址，称为Container-IP，同时Docker网桥是每个容器的默认网关。因为在同一宿主机…...

编程日记 2023/6/10 9:23:42

Tomcat的优化

Tomcat的优化 一、Tomcat 优化Tomcat 配置文件参数优化 二、系统内核优化三、Tomcat 配置 JVM 参数：参数含义 一、Tomcat 优化 Tomcat默认安装下的缺省配置并不适合生产环境，它可能会频繁出现假死现象需要重启，只有通过不断压测优化才能让它…...

编程日记 2023/6/10 9:18:41

一个问题来对比文心一言和chatgpt

问题： 请注意， 孩子不会说话，他无法用语言来回复妈妈的问题， 请生成以下剧本：一个妈妈和一岁不会说话的婴儿的日常vlog的剧本 文心一言 场景一：早晨 （妈妈和孩子在客厅里醒来） 妈妈&…...

编程日记 2023/6/10 9:13:40

防雪崩利器之Hystrix

Hystrix作为一个容错组件，本文从它的作用、熔断设计、工作流程和应用方面一一道来，帮助大家了解如何使用。 1、什么是灾难性雪崩效应 要讲Hystrix，我们就要讲一种场景，在微服务架构中，如果底层服务出现故障&#xff0…...

编程日记 2023/6/10 9:08:38

机器学习复习（上）

严正声明：本文的答案是ChatGPT的回答，仅供参考，不代表就是正确答案！！！ 1.解释什么是过拟合和欠拟合，如何降低过拟合? 过拟合（overfitting）指的是一个模型在训练数据上表…...

编程日记 2023/6/10 9:03:37

node笔记_express结合formidable实现前后端的文件上传

文章目录 ⭐前言⭐安装http请求的文件解析依赖库💖 安装 formidable💖 node formidable接受formData上传参数 ⭐上传的页面搭建💖 vue2 element upload💖 node 渲染 上传文件 ⭐后端生成api上传文件到指定目录💖完整的…...

编程日记 2023/6/10 8:58:36

CKA 09_Kubernetes工作负载与调度 资源调度 三类QoS request 资源需求 limit 资源限额

文章目录 1. 资源调度1.1 准备工作1.2 为什么需要 request 和 limit1.3 内存限制1.3.1 Brustable1.3.2 Guaranteed1.3.3 BestEffort1.3.4 当容器申请的资源超出 limit 和 request 1.4 CPU限制 1. 资源调度 1.1 准备工作 Kubernetes 采用 request 和 limit 两种限制类型来对资源…...

编程日记 2023/6/10 8:53:35

【pytorch】维度变换

【pytorch】维度变换 View操作unSqueeze操作图片处理的一个案例squeeze 维度删减操作维度扩展-expand维度扩展-repeat矩阵的转置操作-transpose View操作 将一个四维的张量（b x c x h x w）转换成一个二维的张量 对于四张图片 将每一张图像用一行向量进…...

编程日记 2023/6/10 8:48:34

vue3中的nextTick()

目录 nextTick() 方法用法回调函数方式使用await方式使用 实现原理使用nextTick() 方法时的注意事项 nextTick() 方法 nextTick() 方法是一个非常强大的工具，是一个等待下一次 DOM 更新刷新的工具方法。用于将一个函数以异步的方式推迟到下一个 DOM 更新周期执行。…...

编程日记 2023/6/10 8:43:33

高效学习传感器｜霍尔式传感器

01、霍尔式传感器的工作原理 1●霍尔效应 霍尔式传感器的物理基础是霍尔效应。如图1所示，在一块长度为l、宽度为b、厚度为d的长方体导电板上，左、右、前、后侧面都安装上电极。在长度方向上通入电流I，在厚度方向施加磁感应强度为B的磁场。 ■…...

编程日记 2023/6/10 8:38:32

2023年前端面试高频考点HTML5+CSS3

目录 浏览器的渲染过程⭐⭐⭐ CSS 、JS 阻塞 DOM 解析和渲染 回流（重排）和重绘⭐⭐ 选择器 ID选择器、类选择器、标签选择器（按优先级高到低排序）⭐⭐ 特殊符号选择器（＞,,~，空格&#xff0…...

编程日记 2023/6/10 8:33:31

企业开源测试项目实战（附全套实战项目教程+视频+源码）

接口测试项目 1. No matching distribution found for itypes1.1.0 Could not find a version that satisfies the requirement itypes1.1.0 (from -r requirements.txt (line 8)) (from versions: ) No matching distribution found for itypes1.1.0 (from -r requirements.…...

编程日记 2023/6/10 8:28:30

RocketMQ延迟消息机制

两种延迟消息 RocketMQ中提供了两种延迟消息机制 指定固定的延迟级别 通过在Message中设定一个MessageDelayLevel参数，对应18个预设的延迟级别指定时间点的延迟级别 通过在Message中设定一个DeliverTimeMS指定一个Long类型表示的具体时间点。到了时间点后&#xf…...

编程新知 2026/2/5 5:03:16

mongodb源码分析session执行handleRequest命令find过程

mongo/transport/service_state_machine.cpp已经分析startSession创建ASIOSession过程，并且验证connection是否超过限制ASIOSession和connection是循环接受客户端命令，把数据流转换成Message，状态转变流程是：State::Created 》 St…...

编程新知 2026/1/15 4:39:38

可靠性+灵活性：电力载波技术在楼宇自控中的核心价值

可靠性灵活性：电力载波技术在楼宇自控中的核心价值 在智能楼宇的自动化控制中，电力载波技术（PLC）凭借其独特的优势，正成为构建高效、稳定、灵活系统的核心解决方案。它利用现有电力线路传输数据，无需额外布…...

编程新知 2025/9/27 2:43:26

华为OD机试-食堂供餐-二分法

import java.util.Arrays; import java.util.Scanner;public class DemoTest3 {public static void main(String[] args) {Scanner in new Scanner(System.in);// 注意 hasNext 和 hasNextLine 的区别while (in.hasNextLine()) { // 注意 while 处理多个 caseint a in.nextIn…...

编程新知 2026/1/28 11:11:03

高危文件识别的常用算法：原理、应用与企业场景

高危文件识别的常用算法：原理、应用与企业场景 高危文件识别旨在检测可能导致安全威胁的文件，如包含恶意代码、敏感数据或欺诈内容的文档，在企业协同办公环境中（如Teams、Google Workspace）尤为重要。结合大模型技术&…...

编程新知 2026/2/8 10:51:42

sipsak：SIP瑞士军刀！全参数详细教程！Kali Linux教程！

简介 sipsak 是一个面向会话初始协议 (SIP) 应用程序开发人员和管理员的小型命令行工具。它可以用于对 SIP 应用程序和设备进行一些简单的测试。 sipsak 是一款 SIP 压力和诊断实用程序。它通过 sip-uri 向服务器发送 SIP 请求，并检查收到的响应。它以以下模式之一…...

编程新知 2026/1/29 8:51:33

Python Ovito统计金刚石结构数量

大家好，我是小马老师。 本文介绍python ovito方法统计金刚石结构的方法。 Ovito Identify diamond structure命令可以识别和统计金刚石结构，但是无法直接输出结构的变化情况。 本文使用python调用ovito包的方法，可以持续统计各步的金刚石结构，具体代码如下： from ovito…...

编程新知 2026/1/26 5:39:08

MFC 抛体运动模拟：常见问题解决与界面美化

在 MFC 中开发抛体运动模拟程序时，我们常遇到 轨迹残留、无效刷新、视觉单调、物理逻辑瑕疵 等问题。本文将针对这些痛点，详细解析原因并提供解决方案，同时兼顾界面美化，让模拟效果更专业、更高效。 问题一：历史轨迹与小球残影残留 现象 小球运动后，历史位置的 “残影”…...

编程新知 2026/1/29 12:12:12

Unity UGUI Button事件流程

场景结构 测试代码 public class TestBtn : MonoBehaviour {void Start(){var btn GetComponent<Button>();btn.onClick.AddListener(OnClick);}private void OnClick(){Debug.Log("666");}}当添加事件时 // 实例化一个ButtonClickedEvent的事件 [Formerl…...

编程新知 2026/2/1 14:51:21

Linux安全加固：从攻防视角构建系统免疫

Linux安全加固：从攻防视角构建系统免疫 构建坚不可摧的数字堡垒 引言：攻防对抗的新纪元 在日益复杂的网络威胁环境中，Linux系统安全已从被动防御转向主动免疫。2023年全球网络安全报告显示，高级持续性威胁（APT）攻击同比增长65%，平均入侵停留时间缩短至48小时。本章将从…...

编程新知 2025/9/30 15:48:08