pennacle-security/summitمنصة اختبار أمن الويب مفتوحة المصدر: وكيل و ماسح و مُشوِّش في واجهة سطر أوامر واحدة. من Pennacle Security.
أداة سطر أوامر واحدة قابلة للبرمجة النصية لاختبار أمان الويب: ماسح ضوئي، ووكيل اعتراض TLS، وأداة تشويش (fuzzer)، واختبار التفويض، وتحليل WAF، وكشف اختطاف الروابط، وحالات التسابق، والمراقبة المجدولة، والاستطلاع.
أكثر من 58 فحصًا عبر 11 عائلة، و37 قالب YAML مضمّن، وتشويش الحمولات بأسلوب Intruder، وخريطة سطح هجوم دون حركة مرور. مجاني حيث تكون البدائل المكافئة مدفوعة - من Pennacle Security.
نستخدم Burp وZAP كل يوم. وقد ظللنا أيضًا نرغب في ثلاثة أشياء ليستا كذلك: ماسح ضوئي يمكننا البرمجة النصية ضده في CI، ونتائج تخبرنا بمدى تأكدها، وقاعدة شيفرة صغيرة بما يكفي لقراءتها في جلسة واحدة. يمتلك Summit الآن أكثر من 58 فحصًا عبر 11 عائلة، وخريطة سطح هجوم بأمر واحد، وتشويش حمولات يتحدث صيغة ملف Intruder، ووكيلًا يفك تشفير HTTPS باستخدام CA يولّده بنفسه. Summit هو تلك الأداة - الإصدار v2.1.0، برخصة MIT، مبني في العلن. ثلاث تبعيات أساسية (requests، pyyaml، packaging) بالإضافة إلى واحدة اختيارية (cryptography، فقط لاعتراض TLS)، جميعها FLOSS، وجميعها قياسية.
التوثيق الكامل: pennacle-security.github.io/summit
قدرات تقع عادةً خلف أدوات مدفوعة، بالإضافة إلى نواة الفحص:
| القدرة | Summit | المسار المعتاد |
|---|---|---|
| اختبار التحكم في الوصول المكسور (BOLA/IDOR) | summit authorize | إضافة بنمط Autorize / سير عمل مدفوع |
| اكتشاف المعاملات المخفية | summit mine | إضافة بنمط Param Miner |
| الفحص المدفوع بـ OpenAPI | summit scan --openapi | إضافات |
| بصمة WAF + فحص التجاوز | مدمج | جزئي / إضافات |
| رسم خريطة سطح الهجوم | summit map | إضافات / سير عمل مدفوع |
| SQLi، XSS، إعادة التوجيه، اجتياز المسار، الاستيلاء، ترويسة المضيف، CORS | مدمج | ماسحات أساسية (مجانية) |
| سلسلة الاستطلاع: subfinder -> httpx -> nmap | summit recon | ربط يدوي |
| كشف حالات التسابق (Race condition) | summit race | Burp Turbo Intruder (مدفوع) |
| تشويش الحمولات بنمط Intruder | summit fuzz --request | مدفوع (Intruder) |
| وكيل يعترض TLS | summit proxy --tls-intercept | النواة المدفوعة |
| فحوصات مجدولة مع مقارنة الفروقات لكل جولة | summit schedule | cron + سكربتات ربط |
| تدقيق شهادة TLS | summit tls | يدوي / sslscan |
| تحديد المعدل، إعادة المحاولات، مجموعة أدوات JWT/الترميز | مدمج | إضافات / مدفوع |
| نتائج جاهزة لـ CI، موسومة بمستوى الثقة، ومصنّفة بـ CWE/CVE | هذا هو الهدف كله | أتمتة مدفوعة |
| إخراج SARIF + JUnit XML | مدمج | تقارير مدفوعة |
| ملفات ثنائية جاهزة (linux/amd64، arm64، windows) | كل إصدار | غير متاح |
كل نتيجة تحمل وسم ثقة - confirmed (حقيقة مُلاحَظة)، أو likely (دليل قوي)، أو needs-manual (استدلال إرشادي ليتحقق منه إنسان)، أو info - والوسم يحدّ من الخطورة، لذا لا يمكن لتخمين أن ينتحل صفة "حرج". هذا التمييز يسري عبر الأداة بأكملها.
git clone https://github.com/pennacle-security/summit.git
cd summit
pip install -e .
Python 3.10+. التبعيات: requests، pyyaml، packaging - جميعها برمجيات حرة ومفتوحة المصدر (FLOSS)، وجميعها قياسية.
التثبيت من PyPI:
pip install summit-scanner
أو من المصدر:
git clone https://github.com/pennacle-security/summit.git
cd summit
pip install -e .
ملفات ثنائية مبنية مسبقًا متاحة على كل إصدار:
summit-linux-amd64 - Linux x86_64 (Ubuntu 20.04+، Debian 11+، RHEL 8+)summit-linux-arm64 - Linux ARM64 (AWS Graviton، Raspberry Pi 4+، Apple Silicon)summit-windows-amd64.exe - Windows 10+ / Windows Server 2019+لا حاجة لتثبيت Python للملفات الثنائية.
ثم شاهده يعمل ضد هدف محلي معرّض للثغرات عمدًا:
python examples/vuln_app.py # terminal 1 - the target (127.0.0.1 only)
summit map http://127.0.0.1:8765 # attack-surface map, no attack traffic
summit scan http://127.0.0.1:8765 # terminal 2 - the scan
تمريرة أكثر شمولاً على مهمة حقيقية تبدو هكذا:
summit recon target.com --json recon.json # subdomains -> hosts -> ports
summit scan https://target.com --depth 2 --rate 10 # crawl + all checks
summit scan --openapi api-spec.json # API: scan what the spec admits to
summit authorize https://target.com/admin?user=1 \
--role 'admin=Cookie: session=abc' \
--role 'user=Cookie: session=xyz' # BOLA/IDOR testing
كل ادعاء في هذه الصفحة يُعاد إنتاجه بواسطة examples/evidence.py - فهو يشغّل الهدف التجريبي مباشرةً، ويقيس كل ميزة، ويطبع PASS/FAIL مع الأرقام الحقيقية. تنفّذه CI عند كل دفعة؛ وأي ادعاء يتوقف عن الصمود يُفشل البناء.
python examples/evidence.py)