xray是一款非常好用的漏洞扫描器，可以帮助我们扫描发现对应网站上的漏洞，下面以免费的社区版为例记录一下配置和使用的过程。
官网：xray.cool 官方文档：README

火狐导入CA证书

基础的下载配置过程文档里写的很清楚了，其中火狐导入证书和其他浏览器不太一样，下面简单介绍一下：
在终端进入xray目录后用命令

.xray_windows_amd64.exe genca

在目录中生成ca证书。

然后到火狐浏览器中找到设置=>隐私与安全=>证书

点击查看证书导入刚刚生成的.crt文件即可

信任打钩：

配置浏览器代理

火狐浏览器也是可以安装SwitchyOmega插件的，所以配置代理的方法可以参照文档里谷歌浏览器的配置方法。
在设置=>扩展与主题中搜索SwitchyOmega安装插件：
搜索后添加即可：

进入插件添加一个情景模式，配置如下：


具体过程和文档中Chorme浏览器配置方式基本是一样的。

基本使用过程

首先在xray目录的.yaml文件中把想要检测的网址添加到白名单里：

这里基础使用还是以测试站为例，注意最好不要扫未授权的网站，否则后果自负。
通过终端启动xray，使用命令监听对应端口：

.xray_windows_amd64.exe webscan --listen 127.0.0.1:7777 --html-output xray-testphp.html

之后回到浏览器切换到xray的代理：

然后直接用浏览器访问需要扫描的网站，这里是 http://testphp.vulnweb.com/
我们在终端可以看到扫描正在进行中：
扫描完毕后会在当前目录下生成一个.html格式的报告文件：

打开后长这个样子：

里面的网址就是存在漏洞的点，中间一栏就是漏洞的类型，可以看到泄露了.bak，index.zip文件等等内容，以上就是一次基础的扫描过程。
进一步的，我们访问常见的可能存在漏洞的地方，比如网站里的搜索框：

http://testphp.vulnweb.com/search.php?test=query
可以看到扫描出了更多的漏洞：

比如XSS，SQL注入这种比较有价值的漏洞，终端里也提供了对应的payload，比如这个XSS漏洞。

我们进入漏洞利用的网址，输入它提供的payload:

可以看到成功弹出了对话框，确实存在xss漏洞：

以上就是在火狐浏览器配置使用xray的基本流程，xray对漏洞挖掘有很大的帮助，可以很大程度上减轻人工工作量。不过还是要注意只能扫经过授权的网站。