RAD与XRAY联动：实现无感漏洞扫描的实战配置与优化策略

1. 项目概述：当RAD遇上XRAY，一种更“聪明”的漏洞扫描方式

在渗透测试和信息安全评估的日常工作中，漏洞扫描是绕不开的一环。传统的扫描方式，无论是直接丢给AWVS、Nessus一个URL，还是用Burp Suite的爬虫被动抓取，都或多或少存在一些痛点。比如，面对复杂的单页面应用（SPA）或者大量依赖JavaScript交互的现代Web应用，传统爬虫经常“迷路”，爬取深度和广度都不够，导致漏扫。又或者，主动式扫描器过于“热情”，请求频率和载荷特征明显，很容易触发目标站点的WAF（Web应用防火墙）或风控规则，扫描还没完成，IP就先被ban了。我自己在实战中就经常遇到，一个精心策划的测试，因为扫描器动静太大而提前“暴露”，非常尴尬。

所以，当我在社区里看到有人讨论“RAD + XRAY”这个组合时，立刻来了兴趣。这本质上是一种“动静结合”的思路：用一个更智能、更贴近真实浏览器的爬虫（RAD）去发现目标应用的所有接口和页面，然后将这些发现的结果，交给一个专注于漏洞检测的引擎（XRAY）去做深度扫描。RAD负责“无感”地摸清地形，XRAY负责精准地“排雷”。这种分工，让两者都能发挥自己的长处。RAD爬得全、爬得稳，不易被拦截；XRAY则专注于漏洞检测逻辑，检测规则强大。今天，我就结合自己多次实战和踩坑的经验，来详细拆解这套组合拳的具体玩法、核心配置以及那些手册上不会写的避坑指南。无论你是刚入门的安全测试人员，还是想优化自己工作流的老手，相信这篇内容都能给你带来一些新的启发。

2. 核心工具选型与原理拆解

2.1 为什么是RAD？—— 基于浏览器内核的智能爬虫

首先得明白，我们为什么需要RAD，而不是直接用gospider、hakrawler或者Burp自带的爬虫。

RAD（Robust Automatic Discovery）的核心优势在于它内置了一个完整的Chrome浏览器内核。这意味着它爬取网页的过程，和你在电脑前用Chrome浏览器手动点击、翻页、提交表单是完全一样的。它会等待页面完全加载（包括所有异步JavaScript请求），执行页面上的JavaScript代码，从而能发现那些仅通过静态HTML分析无法找到的API接口、动态生成的路由和隐藏的表单。

举个例子，一个使用Vue或React构建的管理后台，其核心的“用户列表”数据可能通过/api/admin/users这个接口获取，而这个接口只在用户点击了“管理”菜单，页面组件挂载后才会被JavaScript代码调用。传统基于正则匹配链接的爬虫，根本看不到这个接口。但RAD可以，因为它真的“运行”了页面上的JS。

注意：RAD的强大也带来了资源消耗。它比传统爬虫更吃内存和CPU，因为每个标签页都是一个微型Chrome实例。在配置时，需要根据机器性能合理控制并发数。

2.2 为什么是XRAY？—— 专注于漏洞检测的被动扫描器

XRAY是一款优秀的被动式漏洞扫描器。这里的“被动”是关键，它不像AWVS那样主动向目标发送大量测试载荷，而是作为一个中间人，分析流经它的HTTP/HTTPS流量，并对这些流量中潜在的参数点、请求结构进行漏洞检测。

它的工作模式非常适合与RAD搭配：RAD作为流量生成器，模拟用户行为产生大量真实的、覆盖全面的HTTP请求；这些请求被代理到XRAY；XRAY接收到这些请求后，并不直接转发给目标（除非配置为主动扫描），而是先对其进行分析，识别出可能存在漏洞的点（如SQL注入、XSS、命令注入的参数），然后智能地生成相应的测试Payload，构造新的请求发送出去，并根据返回结果判断漏洞是否存在。

这种模式的好处是，扫描的流量源是RAD模拟的真实浏览器行为，相比扫描器自带的攻击特征，更不容易被识别和拦截。XRAY只需要专注于它最擅长的漏洞检测算法。

2.3 组合工作流全景图

理解了各自的特点，整个工作流就清晰了：

1. 启动XRAY：首先将XRAY启动为一个上游代理服务器，并开启它的被动扫描引擎。它会在本地监听一个端口（如7777），等待流量流入。
2. 配置RAD：将RAD的代理设置为XRAY的监听地址（127.0.0.1:7777）。这意味着RAD发出的所有请求，都会先经过XRAY。
3. 执行爬取：RAD开始对目标URL进行深度爬取。它打开页面，点击链接，提交表单，触发AJAX请求……所有这些产生的HTTP/HTTPS流量，都流经XRAY。
4. 漏洞检测与报告：XRAY分析流经的每一个请求，对其中的参数进行漏洞测试。一旦发现漏洞，会实时在控制台输出，并可以生成HTML或JSON格式的详细报告。

这个流程实现了从“资产发现”到“漏洞检测”的自动化串联，而且由于RAD的浏览器行为模拟，整个扫描过程对目标站点而言，更像是一个“活跃的用户”而非“攻击者”，从而实现了标题所说的“无感”。

3. 环境搭建与基础配置实战

光说不练假把式，我们一步步把环境搭起来。这里我以Kali Linux或Ubuntu这类Linux发行版为例，Windows和macOS的思路类似，主要是可执行文件的不同。

3.1 XRAY的安装与初步配置

XRAY是闭源的商业软件，但提供了功能完善的社区版。我们首先去其官方GitHub仓库下载最新版本的核心引擎。

# 创建一个专门的工作目录 mkdir -p ~/tools/rad-xray && cd ~/tools/rad-xray # 下载最新的XRAY社区版核心文件 (请替换为实际最新版本号) wget https://github.com/chaitin/xray/releases/download/1.9.4/xray_linux_amd64.zip # 解压 unzip xray_linux_amd64.zip # 给予执行权限 chmod +x xray_linux_amd64

接下来，我们需要一个配置文件来告诉XRAY如何工作。XRAY支持YAML格式的配置。创建一个基本的配置文件config.yaml：

# config.yaml plugins: # 启用基础爬虫插件（用于处理RAD传递过来的请求） basic-crawler: enabled: true # 启用漏洞扫描插件 xss: enabled: true sqldet: enabled: true cmd-injection: enabled: true dirscan: enabled: true path-traversal: enabled: true # 其他插件按需启用，如xxe, ssrf, brute-force等 mitm: # 设置上游代理（如果需要通过Burp等工具观察流量，可以设置） # upstream_proxy: "http://127.0.0.1:8080" restriction: # 限制扫描的域名范围，非常重要！避免扫描到非授权目标。 includes: - "*.target-domain.com" # 请替换为你的实际目标主域名 - "*.target-domain-2.com" # 输出配置 output: # 控制台输出 stdout: enabled: true # 只输出高危和中危漏洞，避免信息过载 level: medium # HTML报告输出 file: enabled: true filename: ./report/xray-report.html level: low # 报告中包含低危信息

实操心得：restriction.includes配置项是安全红线。务必在启动前仔细核对，确保只包含授权测试的域名。我曾有一次因为配置了泛域名*.com而误扫了其他无关站点，虽然及时停止，但教训深刻。建议使用精确的子域名或域名。

3.2 RAD的安装与关键参数解析

RAD同样可以从GitHub获取。它是一个Go语言编写的二进制文件，下载即用。

# 下载RAD (请替换为实际最新版本号) wget https://github.com/chaitin/rad/releases/download/0.4/rad_linux_amd64.zip unzip rad_linux_amd64.zip chmod +x rad_linux_amd64

RAD的参数很多，理解几个关键的，就能组合出强大的爬取策略：

• -t： 指定目标URL。可以是一个，也可以是包含多个URL的文件。
• -http-proxy： 指定代理服务器。这就是我们连接XRAY的关键，设置为http://127.0.0.1:7777。
• -b： 指定浏览器路径。RAD默认会查找系统Chrome，如果没找到或想指定特定版本，用这个参数。
• -c： 并发数。控制同时打开的浏览器标签页数量。数字越大，爬取越快，但资源消耗也越大，也越容易被封。对于中小型站点，建议从5开始。
• -depth： 爬取深度。从种子URL开始，允许跟随链接的层数。需要根据站点结构调整。
• -no-headless： 非无头模式。加上这个参数，你会看到浏览器窗口一个个弹出并自动操作，非常直观，适合调试爬取逻辑。生产环境通常不加（即默认无头模式）。
• -text-output： 将爬取到的所有请求（URL、方法、参数）以文本格式输出到一个文件。这个文件可以作为其他工具的输入，非常有用。

3.3 首次联动测试：扫描一个测试站点

让我们用一个安全的、专门用于测试的靶场（例如http://testphp.vulnweb.com）来跑通整个流程。

步骤一：启动XRAY监听在终端1中，进入工作目录，运行：

./xray_linux_amd64 webscan --listen 127.0.0.1:7777 --html-output xray-initial.html

这个命令启动了XRAY的Web漏洞扫描模块，监听在本地的7777端口，并将扫描结果输出到xray-initial.html。看到输出[INFO] webscan listening on 127.0.0.1:7777即表示启动成功。

步骤二：启动RAD进行爬取打开另一个终端（终端2），同样进入工作目录，运行：

./rad_linux_amd64 -t http://testphp.vulnweb.com -http-proxy http://127.0.0.1:7777 -c 3 -depth 3

这个命令让RAD去爬取测试站点，并发数为3，深度为3，所有流量通过代理127.0.0.1:7777发出，也就是流经XRAY。

此时，观察两个终端的输出。终端2（RAD）会显示它正在访问的URL。终端1（XRAY）则会安静地分析流量，一旦发现潜在漏洞，会立即在控制台高亮显示。爬取结束后，打开生成的xray-initial.html，就能看到一份结构清晰的漏洞报告。

4. 高级策略与深度优化配置

基础流程跑通只是第一步。要想在真实、复杂的生产环境中用好这套组合，必须进行深度调优。下面是我从多次实战中总结出的关键策略。

4.1 爬虫策略精细化：让RAD更“像人”

粗暴的全站爬取效率低且风险高。我们需要给RAD制定更聪明的策略。

1. 利用已有信息作为种子：不要总是从首页开始。如果你在信息收集阶段已经通过子域名枚举、目录爆破、JS文件分析等手段发现了一批特定接口或后台地址，可以把它们保存到一个urls.txt文件中，直接作为RAD的输入。

./rad_linux_amd64 -t urls.txt -http-proxy http://127.0.0.1:7777 -c 2

这样RAD会直接从这些深度页面开始探索，效率更高。

2. 控制爬取节奏与范围：

• -delay： 在每个请求之间插入随机延迟（如-delay 1-3，延迟1到3秒），模拟人类操作间隔，极大降低被封IP的概率。
• -exclude： 排除某些路径。比如你知道/logout会导致会话结束，/admin/deleteAll是危险操作，一定要排除。-exclude “logout|delete|reset”。
• -include： 与-exclude相反，只爬取包含特定关键词的路径。例如，你只想关注API接口，可以用-include “api|/v1/|/json/”。

3. 处理登录态与表单：这是RAD的强项，也是难点。对于需要登录的站点，你需要先手动登录一次，然后将浏览器Cookie导出为Netscape格式文件（可以使用EditThisCookie等浏览器插件），然后通过-cookie参数提供给RAD。

./rad_linux_amd64 -t http://target.com -http-proxy http://127.0.0.1:7777 -cookie cookies.txt

对于复杂的登录表单（如有验证码、多步认证），RAD可能无法自动处理。这时可以考虑先用脚本或手动方式获取一个有效的会话Cookie，再交给RAD使用。

4.2 XRAY检测引擎调优：平衡效率与深度

XRAY的检测能力可以通过插件和配置精细控制。

1. 插件级开关与配置：在config.yaml中，你可以为每个插件单独设置参数。例如，SQL注入检测（sqldet）可能产生大量请求，你可以调整其检测强度或超时时间。

sqldet: enabled: true # 检测强度，可选值：low, medium, high detect_level: medium # 单个检测请求的超时时间（秒） request_timeout: 10

对于目录扫描（dirscan），一定要加载一个强大的字典文件。默认字典可能不够用，你可以指定自定义字典路径。

dirscan: enabled: true dict_path: “./my_custom_dir_dict.txt”

2. 主动扫描与被动扫描的抉择：我们目前使用的是XRAY的被动扫描模式（webscan --listen）。这种模式下，XRAY只检测RAD触发的请求中的漏洞。但XRAY也支持主动扫描，它会主动发送更多类型的探测请求。 你可以将两者结合：先让RAD+XRAY被动扫描一遍，收集所有端点。然后将RAD输出的请求列表（-text-output生成的文件）交给XRAY进行主动深度扫描。

# 第一步：RAD爬取并输出请求列表 ./rad_linux_amd64 -t http://target.com -text-output rad_requests.txt # 第二步：XRAY对收集到的请求进行主动扫描 ./xray_linux_amd64 webscan --url-file rad_requests.txt --html-output xray-active-report.html

主动扫描更深入，但动静也更大，极易触发防护。务必在授权测试的深夜或维护窗口进行，并做好流量监控。

4.3 性能与稳定性保障

长时间、大规模的扫描对工具和网络都是考验。

• 资源监控：使用htop或glances监控系统内存和CPU。如果RAD进程内存持续增长（可能存在内存泄漏），需要定期重启任务。可以将大目标拆分成多个小任务，分批次扫描。
• 断点续扫：RAD本身不支持断点续传。一个变通的方法是，用-text-output定期保存已发现的URL，如果扫描中断，可以将已发现的URL作为新种子，并配合-exclude参数排除已扫描过的部分（这需要自己记录）。
• 分布式扫描构想：对于超大型目标，单机可能力不从心。可以考虑的思路是，用多台机器运行RAD，爬取不同的子域名或路径模块，但将所有RAD的代理指向同一个中心化的XRAY实例（需要确保XRAY所在机器性能足够）。更复杂的方案则需要自己编写任务调度脚本。

5. 实战避坑指南与疑难排错

这一部分是我认为价值最高的，都是真刀真枪踩出来的坑。

5.1 常见问题与解决方案速查表

5.2 我的独家避坑心得

1. “无感”是第一要义：时刻记住你是想模拟一个真实用户。除了加延迟、降并发，还要注意爬取时间。不要在目标站点的业务高峰时段（如工作日上午9-11点）进行高强度扫描。选择凌晨或周末，扫描行为在访问日志里看起来更“合理”。
2. 先侦察，再扫描：不要一上来就对主域名www.target.com用默认参数开扫。先用子域名枚举工具（如subfinder,amass）摸清资产范围，用httpx或nuclei做一遍快速存活探测和浅层指纹识别。找出那些可能防护薄弱（如老旧后台系统admin.old-target.com、测试环境test.target.com）的子域作为优先扫描目标。
3. 保存一切中间结果：RAD的-text-output和XRAY的原始报告一定要保存。这些中间数据在后续的深入分析、漏洞复现、报告编写时是无价之宝。可以用日期和目标名称建立清晰的目录结构来归档每次扫描。
4. 组合拳才是王道：RAD+XRAY不是银弹。它擅长发现常规Web漏洞和隐藏接口。但对于逻辑漏洞、业务权限绕过、复杂的API安全测试，它力有不逮。一定要结合手动测试、Burp Suite的Repeater和Intruder模块、以及针对特定框架（如Spring Boot Actuator, Swagger API）的专项工具进行综合评估。
5. 法律与授权是生命线：最后，也是最重要的，绝对不要在未获得明确书面授权的情况下对任何系统进行渗透测试或漏洞扫描。你的所有测试行为，都必须在合法合规的范围内进行。在测试前，与客户或项目负责人明确测试范围、时间、强度，并准备好应急预案。这不仅是职业操守，也是保护你自己。

这套“RAD爬虫 + XRAY扫描”的组合，经过恰当的配置和策略调整，确实能成为渗透测试资产发现和初筛阶段的一把利器。它能以相对较低的“噪音”覆盖更全面的攻击面，把我们从繁琐的重复性页面点击中解放出来，去聚焦更需要人类智慧的漏洞挖掘和利用环节。工具永远在迭代，但理解其原理、灵活运用并规避风险的思路是共通的。希望这篇超详细的指南，能帮你少走弯路，更高效、更安全地开展测试工作。如果在实践中遇到新的问题，多看看工具的官方文档和社区讨论，往往能找到灵感。