vigolium/vigolium

Vigolium 是什么

Vigolium 是一款开源安全扫描器，可以通过两种方式运行：

• 原生扫描 – 一款用 Go 编写的高速、确定性、多阶段扫描器。它内置了数百个模块，用于发现内容、爬取单页应用，并测试多种漏洞类别（XSS、SQLi、认证绕过、OAST 等）。
• 代理扫描 – 一种 AI 增强模式，使用内部“olium”代理框架。代理会规划攻击、选择模块、生成自定义 JavaScript 扩展、执行源代码审计，并自动对结果进行分类。

两种模式都可以通过命令行、Docker 容器或 REST API 服务器使用。

---

主要功能

领域	功能
扫描广度	331 个模块（213 个主动模糊测试器，118 个被动模式匹配器），覆盖 OWASP Top 10、云/基础设施、API 协议和带外（OAST）测试。
发现	内容枚举（Deparos）、Chromium 驱动的 SPA 爬虫（Spitolas），以及可通过策略预设（均衡、深度等）调整的多阶段流水线。
认证支持	通过 CLI 标志、YAML/JSON 文件或自动登录流程进行会话感知认证；支持 IDOR/BOLA 的多会话测试。
可扩展性	内置 JavaScript/TypeScript 引擎，无需重新编译即可编写自定义模块、钩子或完整扩展。
AI 驱动代理	olium 运行时支持“自动驾驶”（完全自主）或“群体”（主代理 + 专家代理）模式，可选择性模块、生成 JS 攻击，并执行源代码审计（通过 vigolium-audit 或 piolium）。
服务器/API	vigolium server 启动 REST API（受认证密钥保护），可接收流量、在接收时自动扫描，并暴露 OpenAI 兼容的聊天端点以供编程使用。
报告	生成自包含的 HTML 报告；同时提供原始 JSON/NDJSON 输出，适用于 CI 流水线。
部署选项	原生二进制（Linux/macOS/Windows）、npm 全局包、Docker 镜像或从源码构建（Go 1.27+、bun 1.3.11+）。

---

典型工作流程

1. 安装 – curl … | bash 或 npm i -g @vigolium/vigolium。
2. 运行快速扫描 – vigolium scan -t https://example.com。
3. 添加认证或自定义模块 – 使用 --auth、--auth-file 或 vigolium ext … 加载 JS 扩展。
4. 生成报告 – vigolium scan … --format html -o report.html。
5. 可选 AI 增强审计 – vigolium agent autopilot -t https://example.com --source ./src，让代理规划攻击并执行源代码审计。
6. 提供结果 – 启动 vigolium server 并接收流量，或使用内置 UI 仪表板。

---

适用人群

• 需要快速、可脚本化且能集成到 CI/CD 流水线的扫描器的安全工程师。
• 寻找 AI 辅助工具、可自动生成攻击链并分类结果的红队/漏洞赏金猎人。
• 希望通过服务器模式或 Docker 镜像对内部服务进行持续扫描的 DevOps/SRE 团队。
• 想要编写自定义 JavaScript 扩展来测试特定认证流程的开发人员。

---

如何开始

1. 阅读快速入门指南 – https://docs.vigolium.com/getting-started/quickstart。
2. 探索模块列表 – https://docs.vigolium.com/native-scan/modules-reference。
3. 尝试 AI 模式 – vigolium agent autopilot -t https://target.com（需要通过 agent.olium.provider 配置 OpenAI 兼容 API 密钥）。
4. 运行 UI 服务器 – VIGOLIUM_API_KEY=secret vigolium server，然后在控制台显示的地址打开仪表板。

---

许可证与社区

核心扫描器采用开源许可证发布（见仓库的 LICENSE 文件）。开发在 GitHub 上协调，Discord 社区、Twitter 和赞助商（Daytona）提供沙盒基础设施。欢迎通过拉取请求贡献；构建说明请参阅 HACKING.md。