Vigolium v0.1.13-beta

Публикувано е началното отворено издание Vigolium v0.1.13-beta — скенер за уязвимости за уеб приложения, комбиниращ класическо детерминирано сканиране с агентен одит на база LLM. Проектът е достъпен в GitHub и се разпространява под лиценз GNU AGPLv3; търговската част е прехвърлена в облака Cloud Console, докато ядрото на скенера е обявено за отворено.

Vigolium предлага два основни режима на работа: vigolium scan — обикновено многостепенно сканиране с търсене на съдържание, spidering чрез браузър, активен и пасивен одит; и vigolium agent — агентен режим, където LLM избира модули, планира атаки, генерира потребителски JavaScript разширения и комбинира динамично тестване с одит на изходния код.

Според актуален справочник на модулите, Vigolium включва 251 модул за проверка, от които 154 активни и 97 пасивни. Активните модули изпращат променени заявки и прилагат fuzzing, инжекции и поведенчески анализ, пасивните — анализират вече налични двойки заявка/отговор без генериране на допълнителен трафик.

Възможности

• Native Scan — обикновено детерминирано сканиране.
  Режимът vigolium scan е предназначен за бързи и възпроизводими проверки. Той преминава през няколко фази: външно събиране на данни, откритие на съдържание, browser/SPA-spidering и одит. Този режим е удобен за CI, редовни проверки и случаи, когато е важно да се получи предсказуем резултат без участието на LLM.

• Agentic Scan — агентен одит с LLM.
  Режимът vigolium agent използва вграден runtime olium. Агентът може сам да търси endpoints, да избира модули, да стартира проверки, да анализира код, да извършва SAST и да повторно проверява находките. Поддържат се сценарии Autopilot, Swarm и Query mode: от автономно сканиране на целта до еднократни заявки за преглед на кода, търсене на endpoints и откриване на секрети.

• Проверки XSS, SQLi, NoSQLi, SSTI, LFI, RCE, XXE и SSRF.
  В справочника на модулите са изброени проверки на отразено XSS, SQL инжекции по грешки и boolean-based blind SQLi, NoSQL инжекции, server-side template injection, local file inclusion, command injection, XXE, SSRF и out-of-band уязвимости. За находките се използва скала на сериозност от critical до info и скала на увереност certain, firm, tentative.

• OAST проверки за „слепи“ уязвимости.
  Vigolium може да проверява blind XSS, blind SSRF, blind XXE и blind RCE чрез callback механизми, включително и чрез interactsh. Това е необходимо за случаи, когато уязвимостта не се проявява директно в HTTP отговора, но сървърът прави външен DNS/HTTP заявка или изпълнява отложено действие.

• Value-aware mutation — мутация на параметри с оглед на смисъла на стойността.
  Сканиращият инструмент класифицира параметрите по семантичен тип: число, UUID, JWT, email и други опции, след което подбира мутации в контекста. Това трябва да намали шума в сравнение с грубата подмяна на еднакви payload’и в всички полета подред.

• Поддръжка на различни входни формати.
  Като вход могат да се подават URL, спецификации OpenAPI/Swagger, колекции Postman, данни от Burp Suite, cURL и Nuclei JSONL. Също така се поддържа подаване на URL през stdin и стартиране на отделни фази на сканиране.

• Аутентифицирано сканиране и проверки на IDOR/BOLA.
  Vigolium поддържа няколко сесии едновременно: сесиите могат да се подават inline, да се зареждат от файлове или да се описват пълни login flows с извличане на токени. Това се използва за проверки на хоризонтален и вертикален контрол на достъпа, включително IDOR/BOLA и повишаване на привилегиите.

• Проверки на фреймворкове и типични течове.
  В списъка с модули има проверки за Next.js, Spring/Java, Django, Flask, FastAPI, Laravel, Symfony, Rails, Express и ASP.NET/IIS. Например, за Spring се проверяват отворени Actuator endpoints, Spring Boot Admin, Spring Cloud Config, H2 Console, Jolokia и консолите на Java application servers; за Next.js — течове през /_next/data, SSRF в Image Optimizer и заобикаляне на middleware.

• JavaScript разширения.
  Потребителят може да пише собствени модули и hooks на JavaScript чрез вградения JS двигател с HTTP API, вземащ предвид сесиите. Важно ограничение: такива разширения могат да изпълняват произволни команди и не са изолирани в пясъчник, затова трябва да се възприемат като обикновен изпълняем код.

• Отделна фаза triage за резултатите.
  В LLM-assisted security testing често възниква проблем с правдоподобни, но не воспроизводими находки. Авторът на Vigolium описва triage като отделен процес: първо скенерът събира кандидати, след което отделна проверка повторно сверява всяка находка с доказателства.

• Ограничения на бюджета за агентен режим.
  За агентното сканиране можете да ограничите токените, броя на извикванията на инструментите, числото на итерации triage и общото време за изпълнение. Това е важно за CI и пентестовете с фиксирано време: агентът не трябва безкрайно да „копае“ в една цел и да гори бюджета за малко полезни хипотези.

• Доклади, опашка и мащабиране.
  В Native Scan са заявени конкурентен worker pool, per-host rate limiting, хибридна опашка в паметта, на диска или в Redis, както и самодостатъчни HTML-отчети. За изход са налични console, JSONL и HTML.

• Сървърен режим, API и интеграция с Burp Suite.
  Vigolium може да се стартира като API-сървър, да приема трафик, да включва прозрачен HTTP-прокси и да автоматично сканира получените данни. За Burp Suite е споменато отделно разширение burp-vigolium, което позволява изпращането на live-трафик към сървъра Vigolium.

• Работна станция и Конзола.
  Освен CLI, проектът описва Работна станция — self-hosted табло за визуализация на резултатите, управление на проекти и проследяване на находки. Конзола — облачен търговски слой за управлявано сканиране, централизирана отчетност, сътрудничество и планиране на проверки.

Инсталиране

Проектът предлага инсталация чрез shell-скрипт, npm, Docker, Homebrew, Bun и компилация от източници. За компилация от източници в README са посочени изисквания Go 1.26+ и bun 1.3.11+.

curl -fsSL https://vigolium.com/install.sh | bash

npm install -g @vigolium/vigolium

docker pull j3ssie/vigolium:latest
docker run —rm j3ssie/vigolium:latest scan -h

Разработчиците изрично предупреждават, че Vigolium е инструмент за офанзивна сигурност: агентният режим се стартира без песъчница и получава пълен достъп до shell, файловата система и мрежата на хоста, а разширенията също могат да изпълняват произволни команди. Затова се препоръчва агентните проверки да се стартират в еднократен контейнер или виртуална машина, ограничена в рамките на конкретно тестване.

Източник: linux.org.ru