xray2.0シリーズの第2弾ツール「xapp」がリリースされました。ぜひお試しください！

XPOC

xpocはxray2.0シリーズの最初のツールであり、サプライチェーン脆弱性スキャン向けに設計された高速緊急対応ツールです。

プロジェクトアドレス：https://github.com/chaitin/xpoc

XAPP

xappはWebフィンガープリント識別に特化したツールです。xappを使用してWebターゲットが使用している技術を識別し、セキュリティテストの準備を整えることができます。

プロジェクトアドレス：https://github.com/chaitin/xapp

プラグインリポジトリ

私たちは様々なプラグイン専用のリポジトリを作成しました。皆さんがプラグインを共有・利用しやすくすることを目的としています。

ここでは主に、オープンソースでxray形式に変換されたスクリプトを収録しており、誰でも使用できます。

定期的に新しいプラグインを追加していきます。また、皆さんが積極的にプラグインを改良・提出して、このリポジトリを充実させることを期待しています。

プロジェクトアドレス：https://github.com/chaitin/xray-plugins

🚀 クイックスタート

使用前に、Licenseファイルの条項を必ず読み、同意してください。同意しない場合は、本ツールをインストール・使用しないでください。

1. ベーシッククローラーを使用してクロールし、クロールしたリンクに対して脆弱性スキャンを実行

   root@kitploit:~

   xray webscan --basic-crawler http://example.com --html-output vuln.html
   

2. HTTPプロキシを使用したパッシブスキャン

   root@kitploit:~

   xray webscan --listen 127.0.0.1:7777 --html-output proxy.html
   

   ブラウザのHTTPプロキシを http://127.0.0.1:7777 に設定すると、プロキシトラフィックが自動的に分析されスキャンされます。

   HTTPSトラフィックをスキャンする場合は、以下のドキュメントの「HTTPSトラフィックのキャプチャ」セクションをお読みください。

3. 単一のURLのみスキャン（クローラー不使用）

   root@kitploit:~

   xray webscan --url http://example.com/?a=b --html-output single-url.html
   

4. 実行するプラグインを手動で指定

   デフォルトではすべての組み込みプラグインが有効になります。以下のコマンドで今回のスキャンで有効にするプラグインを指定できます。

   root@kitploit:~

   xray webscan --plugins cmd-injection,sqldet --url http://example.com
   xray webscan --plugins cmd-injection,sqldet --listen 127.0.0.1:7777
   

5. プラグイン出力の指定

   スキャン結果の脆弱性情報を特定のファイルに出力するよう指定できます:

   root@kitploit:~

   xray webscan --url http://example.com/?a=b \
   --text-output result.txt --json-output result.json --html-output report.html
   

   レポートサンプル

その他の使い方はドキュメントをご参照ください: https://docs.xray.cool

🪟 検出モジュール

新しい検出モジュールは随時追加されます

⚡️ 高度な使用法

以下の高度な使用法は https://docs.xray.cool/ をご参照ください。

• 設定ファイルの変更
• HTTPSトラフィックのキャプチャ
• HTTPパケット送信設定の変更
• リバース接続プラットフォームの使用
• ...

😘 POCへの貢献

xrayの成長は皆様のご支援のおかげです。相互協力・共に成長する精神に基づき、xrayでは「PoC収録」チャネルを開設しました！ここでは以下の特典があります。

提出フロー

1. コントリビューターはPRの形でGitHub xrayコミュニティリポジトリに提出します。PoC提出先: https://github.com/chaitin/xray/tree/master/pocs、フィンガープリントスクリプト提出先: https://github.com/chaitin/xray/tree/master/fingerprints
2. PR内ではPull Requestテンプレートに従ってPoC情報を記入
3. 内部でPRを審査し、リポジトリにマージするか決定
4. ただし注意点として、PoCの報酬を受け取るには、PoCをCT stackに提出する必要があります。そうすることで報酬を得られます

豪華報酬

• PoCを提供すると充実したコイン報酬が得られます。達成感たっぷり！
• 豊富なグッズ交換コーナー、50種類以上のオリジナルグッズから選べます
• 定期的にJDカードの交換も実施。経済的自由にまた一歩近づきます
• コアコミュニティに参加する機会、特別タスクを請け負い高額報酬を獲得

充実したチュートリアル

• 完全なPoC作成チュートリアルとガイドで、すぐに使いこなせ、無駄な回り道をしません

学習と交流

• コントリビューターや開発者と直接学び合える機会、様々な能力を総合的に向上
• 筆記試験なしのストレート面接機会、良い仕事を夢ではありません

もしすでにPoCを提供したがまだグループに入っていない場合は、カスタマーサービスWeChatを追加してください：

プラットフォーム登録IDを提示して認証を受けてください。認証後、グループに参加できます！

参照: https://docs.xray.cool/#/guide/contribute

🔧関連エコシステム

POC品質確認用ラボ

Evil Pot

Releases

スキャナーに誤検知を発生させるために特化したラボです

プラグインを作成する際は、このラボで結果が検出されないように注意してください

POC作成補助ツール

このツールはPOCの生成を補助します。オンラインバージョンはPOC重複チェックをサポートし、ローカルバージョンは直接パケットを送信して検証をサポートします。

オンラインバージョン

• 規則ラボ
• オンラインバージョンはPOC重複チェックをサポート

ローカルバージョン

• gamma-gui

xray GUI補助ツール

このツールは単純なコマンドラインラッパーであり、直接メソッドを呼び出すものではありません。xrayの計画では、将来的に本格的なGUI版XrayProツールがリリースされる予定です。ご期待ください。

• super-xray

📝 ディスカッション

開発者の皆様、xrayファンの皆様、ディスカッションでの投票にぜひご参加ください。xray 2.0ツールの開発優先順位を決定し、あなたの声でxrayの未来を形作りましょう！🚀

誤検知・見逃しの報告などは、必ず事前に https://docs.xray.cool/#/guide/feedback をお読みください。

問題がある場合は、GitHubでIssueを立てるか、以下のディスカッショングループをご利用ください。

1. GitHub:

   • https://github.com/chaitin/xray/issues
   • https://github.com/chaitin/xray/discussions

2. WeChat公式アカウント：以下のQRコードをスキャンしてフォロー

   

3. WeChatグループ：WeChat公式アカウントを追加し、「联系我们」→「加群」をクリックし、QRコードをスキャンしてグループに参加

4. QQグループ: 717365081

Star History