pennacle-security/summitOpen-Source-Plattform für Web-Sicherheitstests: Proxy, Scanner und Fuzzer in einem einzigen CLI. Von Pennacle Security.
Eine skriptbare CLI für Web-Sicherheitstests: Scanner, TLS-abfangender Proxy, Fuzzer, Autorisierungstests, WAF-Analyse, Link-Hijack-Erkennung, Race Conditions, geplantes Monitoring und Recon.
Über 58 Prüfungen in 11 Familien, 37 mitgelieferte YAML-Vorlagen, Intruder-artiges Payload-Fuzzing und eine Angriffsflächen-Karte ohne Traffic. Kostenlos, wo die Äquivalente kostenpflichtig sind – von Pennacle Security.
Wir nutzen Burp und ZAP jeden Tag. Und wir wollten immer wieder drei Dinge, die sie nicht sind: einen Scanner, gegen den wir in CI skripten können, Findings, die uns sagen, wie sicher sie sind, und eine Codebasis, die klein genug ist, um sie in einem Durchgang zu lesen. Summit hat jetzt über 58 Prüfungen in 11 Familien, eine Angriffsflächen-Karte mit einem einzigen Befehl, Payload-Fuzzing, das das Intruder-Dateiformat spricht, und einen Proxy, der HTTPS mit einer selbst generierten CA entschlüsselt. Summit ist dieses Tool – v2.1.0, MIT, offen entwickelt. Drei Kernabhängigkeiten (requests, pyyaml, packaging) plus eine optionale (cryptography, nur für TLS-Interception), alle FLOSS, alle Standard.
Vollständige Dokumentation: pennacle-security.github.io/summit
Funktionen, die üblicherweise hinter kostenpflichtigen Tools stecken, plus der Scan-Kern:
| Fähigkeit | Summit | Der übliche Weg |
|---|---|---|
| Tests auf fehlerhafte Zugriffskontrolle (BOLA/IDOR) | summit authorize | Add-on im Autorize-Stil / kostenpflichtige Workflows |
| Entdeckung versteckter Parameter | summit mine | Add-on im Param-Miner-Stil |
| OpenAPI-gesteuertes Scannen | summit scan --openapi | Add-ons |
| WAF-Fingerprinting + Bypass-Probing | integriert | teilweise / Add-ons |
| Kartierung der Angriffsfläche | summit map | Add-ons / kostenpflichtige Workflows |
| SQLi, XSS, Redirect, Traversal, Takeover, Host-Header, CORS | integriert | Kern-Scanner (kostenlos) |
| Recon-Kette: subfinder -> httpx -> nmap | summit recon | manuelles Zusammenkleben |
| Erkennung von Race Conditions | summit race | Burp Turbo Intruder (kostenpflichtig) |
| Payload-Fuzzing im Intruder-Stil | summit fuzz --request | kostenpflichtig (Intruder) |
| TLS-abfangender Proxy | summit proxy --tls-intercept | kostenpflichtiger Kern |
| Geplante Scans mit Diffing pro Runde | summit schedule | cron + Klebe-Skripte |
| TLS-Zertifikatsprüfung | summit tls | manuell / sslscan |
| Rate Limiting, Wiederholungen, JWT/Encoder-Toolkit | integriert | Add-ons / kostenpflichtig |
| CI-fähige, mit Konfidenz gekennzeichnete, mit CWE/CVE getaggte Findings | genau der Sinn der Sache | kostenpflichtige Automatisierung |
| SARIF- + JUnit-XML-Ausgabe | integriert | kostenpflichtiges Reporting |
| Vorgefertigte Binärdateien (linux/amd64, arm64, windows) | bei jedem Release | N/A |
Jedes Finding trägt ein Konfidenz-Label – confirmed (ein beobachteter Fakt), likely (starke Evidenz), needs-manual (eine Heuristik, die ein Mensch prüfen sollte) oder info – und das Label begrenzt die Schwere, sodass eine Vermutung niemals als kritisch auftreten kann. Diese Unterscheidung zieht sich durch das gesamte Tool.
git clone https://github.com/pennacle-security/summit.git
cd summit
pip install -e .
Python 3.10+. Abhängigkeiten: requests, pyyaml, packaging – alle FLOSS, alle Standard.
Installation von PyPI:
pip install summit-scanner
Oder aus der Quelle:
git clone https://github.com/pennacle-security/summit.git
cd summit
pip install -e .
Vorgefertigte Binärdateien sind bei jedem Release verfügbar:
summit-linux-amd64 – Linux x86_64 (Ubuntu 20.04+, Debian 11+, RHEL 8+)summit-linux-arm64 – Linux ARM64 (AWS Graviton, Raspberry Pi 4+, Apple Silicon)summit-windows-amd64.exe – Windows 10+ / Windows Server 2019+Für die Binärdateien ist keine Python-Installation erforderlich.
Beobachten Sie dann, wie es gegen ein absichtlich verwundbares lokales Ziel arbeitet:
python examples/vuln_app.py # terminal 1 - the target (127.0.0.1 only)
summit map http://127.0.0.1:8765 # attack-surface map, no attack traffic
summit scan http://127.0.0.1:8765 # terminal 2 - the scan
Eine gründlichere Betrachtung eines echten Einsatzes sieht so aus:
summit recon target.com --json recon.json # subdomains -> hosts -> ports
summit scan https://target.com --depth 2 --rate 10 # crawl + all checks
summit scan --openapi api-spec.json # API: scan what the spec admits to
summit authorize https://target.com/admin?user=1 \
--role 'admin=Cookie: session=abc' \
--role 'user=Cookie: session=xyz' # BOLA/IDOR testing
Jede Aussage auf dieser Seite wird durch examples/evidence.py reproduziert – es führt das Demo-Ziel live aus, misst jedes Feature und gibt PASS/FAIL mit den echten Zahlen aus. CI führt es bei jedem Push aus; eine Aussage, die nicht mehr zutrifft, lässt den Build fehlschlagen.
python examples/evidence.py)