pennacle-security/summitOpen-Source-Plattform für Web-Sicherheitstests: Proxy, Scanner und Fuzzer in einem einzigen CLI. Von Pennacle Security.
Ein skriptfähiges CLI für Web-Sicherheitstests: Scanner, Proxy, Fuzzer, Autorisierungstests, WAF-Analyse, Erkennung von Link-Hijacking und Recon.
Kostenlos dort, wo die Äquivalente kostenpflichtig sind - von Pennacle Security.
Wir nutzen Burp und ZAP jeden Tag. Und wir wollten immer wieder drei Dinge, die sie nicht sind: einen Scanner, gegen den wir in CI skripten können, Findings, die uns sagen, wie sicher sie sind, und eine Codebasis, die klein genug ist, um sie in einem Durchgang zu lesen. Summit ist dieses Tool - v0.5, MIT, eine Abhängigkeit (requests), offen entwickelt.
Vollständige Dokumentation: pennacle-security.github.io/summit
Fähigkeiten, die üblicherweise hinter kostenpflichtigen Tools stehen, plus der Scan-Kern:
| Fähigkeit | Summit | Der übliche Weg |
|---|---|---|
| Test auf fehlerhafte Zugriffskontrolle (BOLA/IDOR) | summit authorize | Add-on im Autorize-Stil / kostenpflichtige Workflows |
| Entdeckung versteckter Parameter | summit mine | Add-on im Param-Miner-Stil |
| OpenAPI-gesteuertes Scannen | summit scan --openapi | Add-ons |
| WAF-Fingerprinting + Bypass-Probing | integriert | teilweise / Add-ons |
| Erkennung von Broken-Link-Hijacking | integriert | kostenpflichtige Erweiterung |
| SQLi, XSS, Redirect, Traversal, Takeover, Host-Header, CORS | integriert | Kern-Scanner (kostenlos) |
| Recon-Kette: subfinder -> httpx -> nmap | summit recon | manuelles Zusammenkleben |
| Rate Limiting, Retries, JWT-/Encoder-Toolkit | integriert | Add-ons / kostenpflichtig |
| CI-taugliche, mit Konfidenz gekennzeichnete Findings | der ganze Sinn | kostenpflichtige Automatisierung |
Jedes Finding trägt ein Konfidenz-Label: confirmed (ein beobachteter Fakt) oder potential (eine Heuristik). Diese Unterscheidung zieht sich durch das gesamte Tool.
git clone https://github.com/pennacle-security/summit.git
cd summit
pip install -e .
Python 3.10+. Dann beobachte, wie es gegen ein absichtlich verwundbares lokales Ziel arbeitet:
python examples/vuln_app.py # terminal 1 - the target (127.0.0.1 only)
summit scan http://127.0.0.1:8765 # terminal 2 - the scan
Eine gründlichere Betrachtung eines echten Einsatzes sieht so aus:
summit recon target.com --json recon.json # subdomains -> hosts -> ports
summit scan https://target.com --depth 2 --rate 10 # crawl + all checks
summit scan --openapi api-spec.json # API: scan what the spec admits to
summit authorize https://target.com/admin?user=1 \
--role 'admin=Cookie: session=abc' \
--role 'user=Cookie: session=xyz' # BOLA/IDOR testing
Jede Aussage auf dieser Seite wird durch examples/evidence.py reproduziert – es führt das Demo-Ziel live aus, misst jedes Feature und gibt PASS/FAIL mit den echten Zahlen aus. CI führt es bei jedem Push aus; eine Aussage, die nicht mehr zutrifft, lässt den Build fehlschlagen.
python examples/evidence.py)