Vigolium v0.1.13-beta

Avaldatud avatud algversioon Vigolium v0.1.13-beta — veebirakenduste haavatavuste skanner, mis ühendab klassikalise määratletud skaneerimise LLM-põhise agentuuriga. Projekt on saadaval GitHubis ja seda levitatakse litsentsi all GNU AGPLv3; kommertsalane on toodud pilve Cloud Console, samas kui skanneri alus on deklaratiivne avatud.

Vigolium pakub kahte peamist töörežiimi: vigolium scan — tavaline mitmeastmeline skaneerimine, mis sisaldab sisu otsimist, veebibrauseri spidering'ut, aktiivset ja passiivset auditeerimist; ja vigolium agent — agentuurirežiim, kus LLM valib moodulid, plaanib rünnakud, genereerib kasutajate JavaScripti laiendusi ja ühendab dünaamilise testimise koodi auditeerimisega.

Andmete kohaselt aktuaalset moodulite käsiraamatut, Vigolium hõlmab 251 kontrollimoodulit, neist 154 aktiivset ja 97 passiivset. Aktiivsed moodulid saadavad muudetud päringud ning rakendavad fuzzingut, süstimist ja käitumisanalüüsi, passiivsed — analüüsivad juba olemasolevaid päringu/vastuse paare ilma täiendava liikluse genereerimiseta.

Võimalused

• Native Scan — tavaline määratletud skaneerimine.
  Vigolium scan režiim on mõeldud kiirete jauuesti produtseeritavate kontrollide jaoks. See läbib mitu etappi: välised andmete kogumine, sisu avastamine, browser/SPА-spidering ja auditeerimine. See režiim on mugav CI, regulaarsete kontrollide ja olukordade jaoks, kus on oluline saada ettearvatav tulemus ilma LLM-i kaasamiseta.

• Agentic Scan — agentuuri audit LLM-iga.
  Vigolium agent režiim kasutab sisseehitatud runtime olium. Agent suudab ise otsida lõpp-punkte, valida moodulid, käivitada kontrollid, analüüsida koodi, teha SAST-i ja uuesti kontrollida avastusi. Toetatakse Autopiloti, Swarm ja Query režiime: alates sihtkoha autonoomsest skaneerimisest kuni üheainsa päringuni koodi ülevaatamiseks, lõpp-punktide otsimiseks ja saladuste avastamiseks.

• Kontrollid XSS, SQLi, NoSQLi, SSTI, LFI, RCE, XXE ja SSRF.
  Moodulite käsiraamat sisaldab kontrollide loetelu peegel-XSS-i, SQL-i süstide veaparanduste ja boolean-based blind SQLi, NoSQL-i süstide, serveri poole malli süstimise, kohaliku faili kaasamise, käsu süstimise, XXE, SSRF ja out-of-band-haavatavuste kohta. Avastuste jaoks kasutatakse tõsiduse skaalat alates kriitilisest kuni infoni ja usaldusväärsuse skaalat kindel, kindel, ettevaatlik.

• OAST-kontrolle 'pimedate' haavatavuste jaoks.
  Vigolium suudab tuvastada blind XSS, blind SSRF, blind XXE ja blind RCE callback-mehhanismide kaudu, sealhulgas interactsh'i abil. See on vajalik olukordades, kus haavatavus ei avaldu otse HTTP-vastuses, vaid server teeb välise DNS/HTTP-päringu või täidab edasilükatud toimingu.

• Value-aware mutation — parameetrite mutatsioon väärtuse tähendust arvestades.
  Skanner klassifitseerib parameetreid semantilise tüübi järgi: number, UUID, JWT, email ja teised variandid, seejärel valib konteksti sobivad mutatsioonid. See peaks vähendama müra võrreldes sama payload'ide jõhkrate asendustega kõigis väljad järjest.

• Toetab erinevaid sisendi formaate.
  Sisendina saab edastada URL-e, OpenAPI/Swagger spetsifikatsioone, Postmani kogusid, andmeid Burp Suite'ist, cURL ja Nuclei JSONL. Samuti toetatakse URL-ide edastamist stdin'i kaudu ja eraldi skaneerimise etappide käivitamist.

• Autentitud skaneerimine ja IDOR/BOLA kontrollid.
  Vigolium toetab mitut sessiooni samal ajal: sessioone saab edastada inline, laadida failidest või kirjeldada täiendavaid login flow'sid, sealhulgas tokenite väljavõtmist. Seda kasutatakse horisontaalse ja vertikaalse juurdepääsu kontrollimise, sealhulgas IDOR/BOLA ja privileegide tõstmise kontrollimiseks.

• Kontrollid raamistikude ja tüüpiliste lekkede jaoks.
  Moodulite loendis on kontrollid Next.js, Spring/Java, Django, Flask, FastAPI, Laravel, Symfony, Rails, Express ja ASP.NET/IIS jaoks. Näiteks Springi puhul kontrollitakse avatud Actuator endpoints'e, Spring Boot Admin'i, Spring Cloud Config'i, H2 Console'i, Jolokia ja Java rakenduste serverite konsooli; Next.js puhul — lekked kaudu /_next/data, SSRF Image Optimizeris ja middleware'ist möödasõidud.

• JavaScripti laiendused.
  Kasutaja saab kirjutada oma mooduleid ja hooks'e JavaScriptis sisseehitatud JS-mootori kaudu koos HTTP API-ga, mis arvestab sessioone. Oluline piirang: sellised laiendused võivad käivitada suvalisi käske ja ei ole isoleeritud liivakastis, seega tuleb neid käsitleda nagu tavalisi täitmise koodi.

• Erinev triage etapp tulemuste jaoks.
  LLM-assisted turvatestimisel tekib sageli probleem usutavate, kuid mitte korduvate leidudega. Vigoliumi autor kirjeldab triage'i kui eraldi läbitöötamist: kõigepealt skanner kogub kandidaate, seejärel eraldi kontroll kontrollib kõik leiud tõenditega uuesti üle.

• Eelarve piirangud agentrežiimi jaoks.
  Agendipõhiste skannimiste puhul võib piirduda tokenite, tööriistade kutsete arvu, triage'i iteratsioonide arvu ja kogumahutavuse ajaga. See on oluline CI ja kindlate ajaga testide jaoks: agent ei tohi lõputult "kaevata" ühte eesmärki ja põletada ebaoluliste hüpoteeside peale eelarvet.

• Aruanded, järjekord ja skaleerimine.
  Native Scan-is on välja kuulutatud konkurentsivõimeline töötlusvõrk, per-host kiiruspiirang, hübriidne järjekord mälus, ketas või Redis, samuti iseseisvad HTML-aruanded. Väljundi jaoks on saadaval console, JSONL ja HTML.

• Serverirežiim, API ja integreerimine Burp Suite'iga.
  Vigolium saab käivitada kui API-server, vastu võtta liiklust, aktiveerida läbipaistva HTTP-proksi ja automaatselt skannida saadud andmeid. Burp Suite'i jaoks on mainitud eraldi laiendust burp-vigolium, mis võimaldab saata live-liiklust Vigolium serverisse.

• Töölaud ja konsool.
  Lisaks CLI-le, projekt kirjeldab Töölaud — isetehtud juhtpaneel tulemuste visualiseerimiseks, projektide haldamiseks ja leidude jälgimiseks. Konsool — pilvepõhine kommertstase halduskannete, keskse aruandluse, koostöö ja kontrollide ajastamise jaoks.

Paigaldamine

Projekt pakub installimist shell-skripti, npm, Docker, Homebrew, Bun ja allikast koostamise kaudu. Allikast koostamiseks on README-s välja toodud nõuded Go 1.26+ ja bun 1.3.11+.

curl -fsSL https://vigolium.com/install.sh | bash

npm install -g @vigolium/vigolium

docker pull j3ssie/vigolium:latest
docker run —rm j3ssie/vigolium:latest scan -h

Arendajad hoiatavad eraldi, et Vigolium on ründevate turvaarendustööriist: agentide režiim käivitatakse ilma liivakastita ja omab täisjuurdepääsu shellile, failisüsteemile ja hosti võrgule, samuti võivad laiendused täita suvalisi käske. Seetõttu on soovitatav agentide kontrollimisi käivitada ühekordsetes konteinerites või virtuaalmasinates, mis on piiratud konkreetse testimise raamiga.

Allikas: linux.org.ru