XRAY 0.19.0

Features:

• redirect 模块增加 js 跳转的支持
• xss 模块支持 location based xss
• html 报告改为延迟创建，而不是立即创建
• 更加智能的设置最大 goroutine 的数量

Bugfixes:

• 修复 cmd_injection、dirscan、brute_force 模块的部分误报
• 修复 jsonp 的一种情况的漏报

XRAY 0.18.2

Features:

• 大幅改善网络比较差或有 waf 时的扫描速度
• 优化过滤策略，减少不必要的扫描请求

Bugfixes:

• 修复代理配置密码时偶发性崩溃问题

网盘下载链接: https://yunpan.360.cn/surl_y3Gu6cugi8u

XRAY 0.18.0

Features:

• 完善 sql 注入的报错检测
• 完善反连平台前端，增加 RMI 请求展示
• poc 中增加 substr(string, int, int) 字符串截取函数
• 优化代理对文件下载的处理，防止潜在的内存占用过大的问题
• 优化 xss 插件输出的 payload
• 增加 fastjson 插件对 query 位置 json 的处理
• 增加 arm v7 32 位构建

Bugfixes:

• 修复部分情况下 https 代理不能正常工作的问题
• 修复 Windows 下反连平台前端不能工作的问题
• 修复子域名爆破模块处理泛解析的一些问题

XRAY 0.17.2

Features:

• 增加命令注入 windows 下的一个 payload
• 更新检查的链接使用 https

Bugfixes:

• 修复反连平台独立部署时的配置问题
• 修复部分 poc 中的错误

XRAY 0.17.0

Features:

• 高级版增加 fastjson 反序列化漏洞检测插件 如何获取高级版?
• 添加自动更新功能，自动从 github 下载最新版本 ./xray upgrade

Bugfixes:

• 修复配置错误导致的启动 panic
• 部分错误修正和实现优化

XRAY 0.16.5

Features:

• 增加 ARM 架构 CPU 的下载链接
• 优化 sql 时间盲注检测
• 强化 poc 格式检查
• 其他用户交互优化

Bugfixes:

• 修复 webhook num_found_urls 不生效问题
• 修复 poc urlencode 函数问题

网盘下载链接: https://yunpan.360.cn/surl_y3Gu6cugi8u

XRAY 0.16.3

Features:

• 增加 poclint 命令，可以一键检查自定义 poc 格式问题，用法如
  • ./xray poclint --poc "1.yaml"
  • ./xray poclint --poc "/home/xray/pocs/*"
• poc 新增 urlencode 和 urldecode 函数
• webhook-output 增加状态统计信息（详情见文档)
• 优化 sql 注入正则匹配性能
• 强化请求过滤器对 body 的处理

Bugfixes:

• 修复 thinkphp 注入检测部分误报问题（高级版)

XRAY 0.16.0

Features:

• poc 增加 base64, base64Decode 函数，增加 reverse.is_domain_name_server 变量
• 优化 xss 检测模块，支持更多情况的绕过
• 支持 xss 源在 cookie 中的检测（需手动修改插件配置 include_cookie开启)

Bugfixes:

• 修复 http2 站点偶发性崩溃问题
• 移除了部分容易导致误报的 sql 注入 payload
• 修复部分情况下，请求的延迟是一个巨大的数字的问题

网盘下载链接: https://yunpan.360.cn/surl_y3Gu6cugi8u

XRAY 0.15.3

Features:

• yaml poc 语法大幅修改，新增4种变量类型，详情参照文档
• sqldet 支持注入点在排序位置的检测

Bugfixes:

• 修复爬虫经常性超时问题

Other:

• 因 windows 下 console 兼容性问题，在 windows 下不再支持使用 consoleui 和 promptui

XRAY 0.15.0

Features:

• 支持配置插件并发数(max_parallel，默认性能相比之前提高10倍
• 高级版添加子域名扫描命令，支持字典爆破，API 获取，域传送三种方式收集子域名。如何获取高级版
• 添加致远OA htmlofficeservlet 远程代码执行 POC poc-go-seeyon-htmlofficeservlet-rce
• 添加泛微OA DB 信息泄露 POC poc-go-ecology-db-config-info-leak
• 命令行参数--json-output 和 --html-otput 增加变量__timestamp__ 和 __datetime__，自动替换为时间戳或日期时间，避免输出到同一文件时报错。如
  • --html-output report__datetime__.html 将使用 report2019_11_01-10_03_26.html 作为报告文件名

Bugfixes:

• 修复高级版 thinkphp 插件的一处漏报
• 修复反连平台处理 ipv6 的一些问题
• 修复过滤器竞争问题导致的同一漏洞多次输出问题