自动化漏洞挖掘

自动化漏洞挖掘

1.Goby&xray安装

xray集成了非常多的漏洞验证脚本，可以帮忙做sql注入xss检测

goby梳理攻击面，扫描IP或域名漏洞

xray使用：

xray包含了主动攻击和被动监听

主动扫描：扫描目标发现漏洞（可能存在漏洞误报的现象，使用要进行手动验证）

xray.exe webscan --basic-crawler http://xxx.com/ --html-output xray-xxx.html

被动监听：只收到流入到我这里的部分漏洞

帮我扫描指定的内容，需要把该内容发送到监听端口上。

（插件）

主动扫描的缺点，做爬虫，容易被发现。

goby中有xray扩展，然后手动配置path路径

利用xray自动扫描

同时还要把yaml配置文件放到goby目录下

安装证书：

进入cmd-输入运行exe加上genca-点击生成的.crt文件-选择本地计算机安装-下一步选择本地受信任的根目录......-安装成功

还有好多没搞明白啊啊啊啊啊