分类
全部
产品
厂商
领域
文章
关联搜索
漏洞扫描
指纹识别
资产发现
端口扫描
资产探测
在近期的运营过程中，我们发现已有的收录 PoC 奖励制度还不够完善，且在有部分功能缺失。 为了提高师傅们提交 PoC 的奖励，也为了让 xray 可以更精准的扫描到更多的漏洞，能给师傅们提供更好的检测效果，我们对现有的规则进行了更新。
267人阅读
2022-04-08
2020年9月2号，宜信安全应急响应中心发布了一篇名为 “superscan之被动扫描” 的文章，主要对 superscan 被动扫描的实现过程进行了分享。superscan 是宜信安全部基于 xray 研发的综合性威胁监控平台，不仅关注传统威胁，更加关注来自网络空间，各个角度全方位的威胁。与 xray 一样，该产品目前未开源。
244人阅读
2022-03-17
在使用该工具前，请确保已仔细阅读 免责声明，并已同意声明中的各条款。 xray 是一款功能强大的安全评估工具，由多名经验丰富的一线安全从业者呕心打造而成
303人阅读
2022-04-15
xray支持用户自己编写YAML格式的POC规则，YAML是JSON的超集，也就是说，你甚至可以用JSON编写POC，但这里还是建议大家使用YAML来编写，原因如下： YAML的值无需使用双引号包裹，所以特殊字符无需转义 YAML的内容更加可读 YAML中可以使用注释
356人阅读
2022-05-25
前几天白嫖了 xray 的高级版,因此试着利用 xray+AWVS 的形式来看看能不能找到 CNVD 上公布存在问题 CMS 的漏洞。
190人阅读
2022-03-24
很多人不满足现在的生活，觉得一生平淡无奇。从小到大循规蹈矩，读一个普通的高中，考一所普通的大学，再找一份普通的工作。 其实当一个普通人也是用尽了全力。当你的普通堆砌，人生就会变得不再普通，正如那些白帽子与 xray 的故事。
196人阅读
2022-03-16
不管是白帽子用于漏洞挖掘还是企业进行日常安全巡检，web 漏扫首先要问题的问题是解决扫描目标，并找准目标探测入口。 俗话说：“巧妇难为无米之炊”。纵使手握 xray 如此强大的扫描器，如果一个白帽子不能清楚的知道 web 资产的分布情况，扫描也无从下手。 xray 在最开始的时候，四处寻找一个快速、全面、准确、易用的子域名收集工具，用于集成在 xray 引擎中，最后无疾而终。
311人阅读
2022-03-28
前几天白嫖了 xray 的高级版,因此试着利用 xray+AWVS 的形式来看看能不能找到 CNVD 上公布存在问题 CMS 的漏洞。
228人阅读
2022-03-16
作为一个从乙方转到甲方的安全从业人员，近期，我的观点慢慢从挖掘技术的深度，转变为“解决问题“的模式。漏洞扫描系统作为不可获缺的企业安全建设组件，在平时的工作内容也是占有一席之地。遗憾的是，作为一个小甲方，我们确实没有足够的预算来支撑完全购买优秀的乙方安全产品以构建自己的安全体系。但是万幸“老东家”免费开放了 xray 的使用，同时作为一个公益项目，欢迎广大企业集成。这对我来说简直是新世纪福音。
192人阅读
2022-03-16
Rad则是一款基于手动测试的漏洞扫描工具，可以在扫描过程中通过手动测试来发现更多的漏洞。 将这两款工具协同使用，可以提高漏洞发现的效率和准确性。具体而言，可以先使用xray进行自动化扫描，发现Web应用程序中的一些基础漏洞，并利用xray提供的Payloads来尝试利用漏洞。然后使用Rad进行手动测试，利用Rad提供的代理工具来截取和修改请求，发现更深层次的漏洞
307人阅读
2023-05-16
不知不觉，xray 一周年已经过去一个月了。我们在感叹时间过的飞快的同时又在思考，xray 在哪些地方还需要完善和增加的东西。我们希望 xray 不仅仅只是一个漏洞检测工具，而是白帽子之间沟通交流的桥梁，更是安全渗透工程师与安全研发工程师之间的攻防思维的碰撞平台。下面来看看我们勤劳的安全攻城狮给 xray 带来了哪些新功能吧~
213人阅读
2022-03-28
身为拿来主义的忠实拥护者，长亭的各种工具用起来是很香的，xray ，xpoc，牧云，雷池等等工具在工作中是帮了大忙的。这两天长亭的新平台云图上线了，云图的目标是帮助企业做攻击面的管理，理解下来就是，监测查找暴露面，发现暴露面是否有安全问题，这在安全的工作中也是一个持续性的工作。通常最笨拙的方法就是各种资产测绘，子域名挖掘，端口扫描，指纹识别，POC扫描各种工作辅佐来完成这一连串复杂的工作，结果就是“累死人”。
478人阅读
2023-11-07
HTTPS 劫持其实是一个老生常谈的话题，从上古时代的 HTTPS 降级（maybe sslstrip），到现在很稳定的安全工具 burpsuite，xray 等，以及一些常见的网络调试工具 fiddler、charles、surge，很多都直接或者间接利用了 HTTPS 的 MITM 攻击。
811人阅读
2022-03-24
怎么回事，都4202年了，斯叔不允许还有人不会对API接口进行渗透测试。 ·show time 其实这种api的测试各大厂商都有对应的自动化工具了，以绿盟为例，我看在绿盟的朋友用的EZ（类似于xray的一款工具）里面就直接集成了对api的扫描测试，可以通过调用对应的参数实现躺着收洞。
319人阅读
2024-02-26
338
0
一款甲方资产巡航扫描系统。系统定位是发现资产，进行端口爆破。帮助企业更快发现弱口令问题。主要功能包括: 资产探测、端口爆破、定时任务、管理后台识别、报表展示
长亭科技
2.4k
2
洞鉴是一款从资产视角出发，集Web漏洞扫描、主机服务漏洞扫描、基线合规检查于一体，实现资产风险闭环管理的安全评估系统。
