当前位置： 首页 > news >正文

burpsuite+xray实现联动测试（手动分析和自动化测试同时进行）

news 2026/2/7 19:12:27

   目的：安全测试过程中手动分析测试与xray自动化扫描测试结合，这样可以从多层保障安全测试的分析，针对平台业务接口量大的安全测试是十分有用的，可以实现双向测试同时开始。

xray简介

xray 是一款功能强大的安全评估工具，由多名经验丰富的一线安全从业者呕心打造而成，主要特性有:

  • 检测速度快。发包速度快; 漏洞检测算法效率高。
  • 支持范围广。大至 OWASP Top 10 通用漏洞检测，小至各种 CMS 框架 POC，均可以支持。
  • 代码质量高。编写代码的人员素质高, 通过 Code Review、单元测试、集成测试等多层验证来提高代码可靠性。
  • 高级可定制。通过配置文件暴露了引擎的各种参数，通过修改配置文件可以客制化功能。
  • 安全无威胁。xray 定位为一款安全辅助评估工具，而不是攻击工具，内置的所有 payload 和 poc 均为无害化检查。

1.xray安装和使用

1.1下载地址：xray community

 

 1.2下载本地完成

1.3解压完成xray

 1.4 双击运行xray_windows_amd64.exe,生成配置文件如下

 1.5 window是下win+r 运行powershell打开powershell窗口

 

1.6 进入命令终端。

然后 cd 到下载目录，运行 .\xray_windows_amd64.exe 查看xrag情况

2.证书的生成和安装

2.1运行 .\xray_windows_amd64.exe  genca生成证书

 2.2 双击运行证书安装2,3  证书选择导入受信任的根证书颁发机构

***xray的基本使用就在此详细介绍了，此处忽略，下面直接开始联动，默认burpsuite安装完毕***

 3.使用 Burp 的原生功能与 xray 建立起一个多层代理，让流量从 Burp 转发到 xray 中。

3.1首先 xray 建立起 webscan 的监听，运行.\xray_windows_amd64.exe  webscan --listen 127.0.0.1:7777 --html-output result.html

 3.2进入 Burp 后，打开 User options 标签页，然后找到 Upstream Proxy Servers 设置。

点击 Add 添加上游代理以及作用域，Destination host处可以使用*匹配多个任意字符串，?匹配单一任意字符串，而上游代理的地址则填写 xray 的监听地址。

请求经过了burp

​​​​​​​

 

 转发到了 xray 中

 

联动成功了

相关文章：

burpsuite+xray实现联动测试（手动分析和自动化测试同时进行）

目的：安全测试过程中手动分析测试与xray自动化扫描测试结合，这样可以从多层保障安全测试的分析，针对平台业务接口量大的安全测试是十分有用的，可以实现双向测试同时开始。 xray简介 xray 是一款功能强大的安全评估工具&#xff…...

编程日记 2023/6/10 10:03:50

2023年专业连锁行业研究报告

第一章 行业概况 专业连锁行业是指以连锁经营模式运营的公司，其主要业务涵盖零售、餐饮、酒店、医疗、教育等领域。这些公司通过规模化、标准化的经营模式和供应链管理，提供专业化、高质量的产品和服务。专业连锁行业在全球范围内蓬勃发展，并…...

编程日记 2023/6/10 9:58:49

Mysql数据库（六）：基本的SELECT语句

基本的SELECT语句 前言一、SELECT...二、SELECT ... FROM三、列的别名四、去除重复行五、空值参与运算六、着重号七、查询常数八、显示表结构九、过滤数据 前言 本博主将用CSDN记录软件开发求学之路上亲身所得与所学的心得与知识，有兴趣的小伙伴可以关注博主&#…...

编程日记 2023/6/10 9:53:49

在CentOS7环境中，实现使用openresty配置文件，达到jwt指定用户userid不能访问的效果

#在CentOS7环境中，实现使用openresty配置文件，达到jwt指定用户userid不能访问的效果。 首先，你需要安装 OpenResty 和 JWT 组件： 安装 OpenResty 参考 OpenResty 的官方安装文档，在终端执行如下命令： $…...

编程日记 2023/6/10 9:48:48

SpringBoot 源码分析初始化应用上下文(1)-createApplicationContext

前言：springBoot的版本是 2.2.4.RELEASE 一、入口 /*** Run the Spring application, creating and refreshing a new* {link ApplicationContext}.* param args the application arguments (usually passed from a Java main method)* return a running {link A…...

编程日记 2023/6/10 9:43:47

STM32队列

目录 什么是队列？ 队列特点 1. 数据入队出队方式 2. 数据传递方式 3. 多任务访问 4. 出队、入队阻塞 队列相关 API 函数 1. 创建队列 参数： 2. 写队列 参数： 返回值： 3. 读队列 参数： 返回值&#xf…...

编程日记 2023/6/10 9:38:46

探索Beyond Compare：让文件比较和管理变得简单高效

在这个信息爆炸时代，我们的日常生活和工作中需要处理大量的数据和文档。在这个过程中，有时候我们会面临找出不同文件之间的差异、合并重复内容等需求。那么，有没有一款软件可以帮助我们轻松地完成这些任务呢？答案当然是肯定的&…...

编程日记 2023/6/10 9:33:44

动态网站Servelt基础

文章目录 一、Servlet基础（一）Servlet概述1、Servlet是什么2、Servlet容器3、Servlet应用程序的体系结构 （二）Servlet的特点1、功能强大2、可移植3、性能高效4、安全性高5、可扩展 （三）Servlet接口1、Servl…...

编程日记 2023/6/10 9:28:43

Docker 网络

Docker 网络实现原理 Docker使用Linux桥接，在宿主机虚拟一个Docker容器网桥(docker0)，Docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地址，称为Container-IP，同时Docker网桥是每个容器的默认网关。因为在同一宿主机…...

编程日记 2023/6/10 9:23:42

Tomcat的优化

Tomcat的优化 一、Tomcat 优化Tomcat 配置文件参数优化 二、系统内核优化三、Tomcat 配置 JVM 参数：参数含义 一、Tomcat 优化 Tomcat默认安装下的缺省配置并不适合生产环境，它可能会频繁出现假死现象需要重启，只有通过不断压测优化才能让它…...

编程日记 2023/6/10 9:18:41

一个问题来对比文心一言和chatgpt

问题： 请注意， 孩子不会说话，他无法用语言来回复妈妈的问题， 请生成以下剧本：一个妈妈和一岁不会说话的婴儿的日常vlog的剧本 文心一言 场景一：早晨 （妈妈和孩子在客厅里醒来） 妈妈&…...

编程日记 2023/6/10 9:13:40

防雪崩利器之Hystrix

Hystrix作为一个容错组件，本文从它的作用、熔断设计、工作流程和应用方面一一道来，帮助大家了解如何使用。 1、什么是灾难性雪崩效应 要讲Hystrix，我们就要讲一种场景，在微服务架构中，如果底层服务出现故障&#xff0…...

编程日记 2023/6/10 9:08:38

机器学习复习（上）

严正声明：本文的答案是ChatGPT的回答，仅供参考，不代表就是正确答案！！！ 1.解释什么是过拟合和欠拟合，如何降低过拟合? 过拟合（overfitting）指的是一个模型在训练数据上表…...

编程日记 2023/6/10 9:03:37

node笔记_express结合formidable实现前后端的文件上传

文章目录 ⭐前言⭐安装http请求的文件解析依赖库💖 安装 formidable💖 node formidable接受formData上传参数 ⭐上传的页面搭建💖 vue2 element upload💖 node 渲染 上传文件 ⭐后端生成api上传文件到指定目录💖完整的…...

编程日记 2023/6/10 8:58:36

CKA 09_Kubernetes工作负载与调度 资源调度 三类QoS request 资源需求 limit 资源限额

文章目录 1. 资源调度1.1 准备工作1.2 为什么需要 request 和 limit1.3 内存限制1.3.1 Brustable1.3.2 Guaranteed1.3.3 BestEffort1.3.4 当容器申请的资源超出 limit 和 request 1.4 CPU限制 1. 资源调度 1.1 准备工作 Kubernetes 采用 request 和 limit 两种限制类型来对资源…...

编程日记 2023/6/10 8:53:35

【pytorch】维度变换

【pytorch】维度变换 View操作unSqueeze操作图片处理的一个案例squeeze 维度删减操作维度扩展-expand维度扩展-repeat矩阵的转置操作-transpose View操作 将一个四维的张量（b x c x h x w）转换成一个二维的张量 对于四张图片 将每一张图像用一行向量进…...

编程日记 2023/6/10 8:48:34

vue3中的nextTick()

目录 nextTick() 方法用法回调函数方式使用await方式使用 实现原理使用nextTick() 方法时的注意事项 nextTick() 方法 nextTick() 方法是一个非常强大的工具，是一个等待下一次 DOM 更新刷新的工具方法。用于将一个函数以异步的方式推迟到下一个 DOM 更新周期执行。…...

编程日记 2023/6/10 8:43:33

高效学习传感器｜霍尔式传感器

01、霍尔式传感器的工作原理 1●霍尔效应 霍尔式传感器的物理基础是霍尔效应。如图1所示，在一块长度为l、宽度为b、厚度为d的长方体导电板上，左、右、前、后侧面都安装上电极。在长度方向上通入电流I，在厚度方向施加磁感应强度为B的磁场。 ■…...

编程日记 2023/6/10 8:38:32

2023年前端面试高频考点HTML5+CSS3

目录 浏览器的渲染过程⭐⭐⭐ CSS 、JS 阻塞 DOM 解析和渲染 回流（重排）和重绘⭐⭐ 选择器 ID选择器、类选择器、标签选择器（按优先级高到低排序）⭐⭐ 特殊符号选择器（＞,,~，空格&#xff0…...

编程日记 2023/6/10 8:33:31

企业开源测试项目实战（附全套实战项目教程+视频+源码）

接口测试项目 1. No matching distribution found for itypes1.1.0 Could not find a version that satisfies the requirement itypes1.1.0 (from -r requirements.txt (line 8)) (from versions: ) No matching distribution found for itypes1.1.0 (from -r requirements.…...

编程日记 2023/6/10 8:28:30

【Linux】shell脚本忽略错误继续执行

在 shell 脚本中，可以使用 set -e 命令来设置脚本在遇到错误时退出执行。如果你希望脚本忽略错误并继续执行，可以在脚本开头添加 set e 命令来取消该设置。 举例1 #!/bin/bash# 取消 set -e 的设置 set e# 执行命令，并忽略错误 rm somefile…...

编程新知 2025/9/11 15:27:32

工业自动化时代的精准装配革新：迁移科技3D视觉系统如何重塑机器人定位装配

AI3D视觉的工业赋能者 迁移科技成立于2017年，作为行业领先的3D工业相机及视觉系统供应商，累计完成数亿元融资。其核心技术覆盖硬件设计、算法优化及软件集成，通过稳定、易用、高回报的AI3D视觉系统，为汽车、新能源、金属制造等行…...

编程新知 2025/11/25 4:59:47

【Java学习笔记】BigInteger 和 BigDecimal 类

BigInteger 和 BigDecimal 类 二者共有的常见方法 方法功能add加subtract减multiply乘divide除 注意点：传参类型必须是类对象 一、BigInteger 1. 作用：适合保存比较大的整型数 2. 使用说明 创建BigInteger对象 传入字符串 3. 代码示例 import j…...

编程新知 2025/11/8 15:39:00

协议转换利器，profinet转ethercat网关的两大派系，各有千秋

随着工业以太网的发展，其高效、便捷、协议开放、易于冗余等诸多优点，被越来越多的工业现场所采用。西门子SIMATIC S7-1200/1500系列PLC集成有Profinet接口，具有实时性、开放性，使用TCP/IP和IT标准，符合基于工业以太网的…...

编程新知 2026/2/4 16:02:36

jdbc查询mysql数据库时，出现id顺序错误的情况

我在repository中的查询语句如下所示&#xff0c;即传入一个List<intager>的数据&#xff0c;返回这些id的问题列表。但是由于数据库查询时ID列表的顺序与预期不一致&#xff0c;会导致返回的id是从小到大排列的&#xff0c;但我不希望这样。 Query("SELECT NEW com…...

编程新知 2026/2/4 19:50:05

快速排序算法改进:随机快排-荷兰国旗划分详解

随机快速排序-荷兰国旗划分算法详解 一、基础知识回顾1.1 快速排序简介1.2 荷兰国旗问题 二、随机快排 - 荷兰国旗划分原理2.1 随机化枢轴选择2.2 荷兰国旗划分过程2.3 结合随机快排与荷兰国旗划分 三、代码实现3.1 Python实现3.2 Java实现3.3 C实现 四、性能分析4.1 时间复杂度…...

编程新知 2026/2/4 16:34:53

Linux安全加固：从攻防视角构建系统免疫

Linux安全加固：从攻防视角构建系统免疫 构建坚不可摧的数字堡垒 引言：攻防对抗的新纪元 在日益复杂的网络威胁环境中，Linux系统安全已从被动防御转向主动免疫。2023年全球网络安全报告显示，高级持续性威胁（APT）攻击同比增长65%，平均入侵停留时间缩短至48小时。本章将从…...

编程新知 2025/9/30 15:48:08

大模型——基于Docker+DeepSeek+Dify ：搭建企业级本地私有化知识库超详细教程

基于Docker+DeepSeek+Dify ：搭建企业级本地私有化知识库超详细教程 下载安装Docker Docker官网：https://www.docker.com/ 自定义Docker安装路径 Docker默认安装在C盘，大小大概2.9G，做这行最忌讳的就是安装软件全装C盘，所以我调整了下安装路径。 新建安装目录：E:\MyS…...

编程新知 2026/2/6 11:33:19

Android屏幕刷新率与FPS(Frames Per Second) 120hz

Android屏幕刷新率与FPS(Frames Per Second) 120hz 屏幕刷新率是屏幕每秒钟刷新显示内容的次数&#xff0c;单位是赫兹&#xff08;Hz&#xff09;。 60Hz 屏幕&#xff1a;每秒刷新 60 次&#xff0c;每次刷新间隔约 16.67ms 90Hz 屏幕&#xff1a;每秒刷新 90 次&#xff0c;…...

编程新知 2026/1/29 13:02:09

算法250609 高精度

加法 #include<stdio.h> #include<iostream> #include<string.h> #include<math.h> #include<algorithm> using namespace std; char input1[205]; char input2[205]; int main(){while(scanf("%s%s",input1,input2)!EOF){int a[205]…...

编程新知 2025/9/17 10:04:40