Vigolium v0.1.13-beta

Публикувана е начална отворена версия Vigolium v0.1.13-beta — сканер за уязвимости за уеб приложения, съчетаващ класическо детерминирано сканиране с агентен одит на база LLM. Проектът е достъпен в GitHub и се разпространява под лиценз GNU AGPLv3; търговската част е изнесена в облака Cloud Console, докато ядрото на скенера е обявено като отворено.

Vigolium предлага два основни режима на работа: vigolium scan — обикновено многоетапно сканиране с търсене на съдържание, spidering през браузър, активен и пасивен одит; и vigolium agent — агентен режим, в който LLM избира модули, планира атаки, генерира потребителски JavaScript разширения и комбинира динамично тестване с одит на изходния код.

Според данни актуален справочник на модулите, Vigolium включва 251 модул за проверка, от които 154 активни и 97 пасивни. Активните модули изпращат изменени заявки и прилагат fuzzing, инжекции и поведенчески анализ, а пасивните — анализират вече налични двойки заявка/отговор без генериране на допълнителен трафик.

Възможности

• Native Scan — обикновено детерминирано сканиране.
  Режимът vigolium scan е предназначен за бързи и възпроизводими проверки. Той преминава през няколко фази: външно събиране на данни, откриване на съдържание, browser/SPA-spidering и одит. Този режим е удобен за CI, регулярни проверки и случаи, когато е важно да се получи предсказуем резултат без участие на LLM.

• Agentic Scan — агентен одит с LLM.
  Режимът vigolium agent използва вграден runtime olium. Агентът може сам да търси endpoints, да избира модули, да стартира проверки, да анализира код, да извършва SAST и да проверява отново находките. Поддържат се сценарии Autopilot, Swarm и Query mode: от автономно сканиране на целта до еднократни заявки за ревю на код, търсене на endpoints и откриване на тайни.

• Проверки XSS, SQLi, NoSQLi, SSTI, LFI, RCE, XXE и SSRF.
  В справочника на модулите са изброени проверки за отражен XSS, SQL инжекции по грешки и boolean-based blind SQLi, NoSQL инжекции, server-side template injection, локално включване на файлове, инжектиране на команди, XXE, SSRF и out-of-band уязвимости. За находките се използва скала на сериозност от critical до info и скала на увереност: certain, firm, tentative.

• OAST проверки за "слепи" уязвимости.
  Vigolium може да проверява слепи XSS, слепи SSRF, слепи XXE и слепи RCE чрез механизми за повикване, включително чрез interactsh. Това е необходимо за случай, когато уязвимостта не се проявява директно в HTTP отговора, но сървърът извършва външен DNS/HTTP-запрос или изпълнява отложено действие.

• Мутация, осъзнаваща стойността — мутиране на параметри, вземащо предвид смисъла на стойността.
  Сканерът класифицира параметрите по семантичен тип: число, UUID, JWT, имейл и други варианти, след което подбира мутации под контекста. Това трябва да намали шума в сравнение с груба подмяна на същите payload-ове във всички полета подред.

• Поддръжка на различни входни формати.
  Като вход може да се предават URL, спецификации OpenAPI/Swagger, колекции Postman, данни от Burp Suite, cURL и Nuclei JSONL. Също така се поддържа подаване на URL чрез stdin и стартиране на отделни фази на сканиране.

• Аутентифицирано сканиране и проверки IDOR/BOLA.
  Vigolium поддържа няколко сесии едновременно: сесиите могат да се предават inline, да се зареждат от файлове или да се описват пълноценни login flows с извличане на токени. Това се използва за проверки на хоризонтален и вертикален контрол на достъпа, включително IDOR/BOLA и повишаване на привилегии.

• Проверки на фреймворци и типични течове.
  В списъка с модули има проверки за Next.js, Spring/Java, Django, Flask, FastAPI, Laravel, Symfony, Rails, Express и ASP.NET/IIS. Например, за Spring се проверяват отворени Actuator endpoints, Spring Boot Admin, Spring Cloud Config, H2 Console, Jolokia и конзоли на Java application servers; за Next.js — течове чрез /_next/data, SSRF в Image Optimizer и обходи на middleware.

• JavaScript разширения.
  Потребителят може да пише собствени модули и hooks на JavaScript чрез вградения JS двигател с HTTP API, който отчита сесиите. Важно ограничение: такива разширения могат да изпълняват произволни команди и не са изолирани в пясъчната кутия, затова трябва да се възприемат като обикновен изпълняем код.

• Отделна фаза на triage за резултатите.
  При LLM-assisted security testing често възниква проблем с правдоподобни, но невъзстановими находки. Авторът на Vigolium описва triage като отделен проход: първо сканерът събира кандидати, след което отделна проверка повторно сверява всяка находка с доказателствата.

• Ограничения на бюджета за агентен режим.
  За агентиското сканиране може да се ограничават токените, броят на извикванията на инструментите, числото на итерациите triage и общото време за изпълнение. Това е важно за CI и пентестове с фиксирано време: агентът не трябва безкрайно да "копае" една цел и да изразходва бюджета за малко полезни хипотези.

• Доклади, опашка и мащабиране.
  В Native Scan са обявени конкурентен работен пул, ограничаване на скоростта на хостовете, хибридна опашка в паметта, на диска или в Redis, както и самодостатъчни HTML отчети. За изход са налични конзола, JSONL и HTML.

• Сървърен режим, API и интеграция с Burp Suite.
  Vigolium може да работи като API сървър, да приема трафик, да включва прозрачен HTTP прокси и автоматично да сканира получените данни. За Burp Suite се споменава отделно разширение burp-vigolium, което позволява изпращане на активен трафик към Vigolium сървъра.

• Работна станция и конзола.
  В допълнение към CLI, проектът описва Работна станция — собствено хоствано табло за визуализиране на резултати, управление на проекти и проследяване на находки. Конзола — облачен търговски слой за управлявано сканиране, централизиран доклад, сътрудничество и планиране на проверки.

Инсталиране на

Проектът предлага инсталиране чрез shell скрипт, npm, Docker, Homebrew, Bun и компилация от източници. За компилация от източници в README са посочени изискванията Go 1.26+ и bun 1.3.11+.

curl -fsSL https://vigolium.com/install.sh | bash

npm install -g @vigolium/vigolium

docker pull j3ssie/vigolium:latest
docker run —rm j3ssie/vigolium:latest scan -h

Разработчиците специално предупреждават, че Vigolium е инструмент за офанзивна сигурност: режимът на агента стартира без пясъчна среда и получава пълен достъп до shell, файловата система и мрежата на хоста, а разширенията също могат да изпълняват произволни команди. Следователно, агентните проверки се препоръчва да се изпълняват в еднократен контейнер или виртуална машина, ограничена в рамките на конкретното тестване.

Източник: linux.org.ru