pennacle-security/summitPlataforma de código abierto para pruebas de seguridad web: proxy, escáner y fuzzer en una sola CLI. Por Pennacle Security.
Una CLI scriptable para pruebas de seguridad web: escáner, proxy con interceptación TLS, fuzzer, pruebas de autorización, análisis de WAF, detección de secuestro de enlaces, condiciones de carrera, monitoreo programado y reconocimiento.
Más de 58 comprobaciones en 11 familias, 37 plantillas YAML incluidas, fuzzing de payloads al estilo Intruder y un mapa de superficie de ataque sin tráfico. Gratis donde los equivalentes son de pago - por Pennacle Security.
Usamos Burp y ZAP todos los días. También seguíamos queriendo tres cosas que no son: un escáner contra el que podamos escribir scripts en CI, hallazgos que nos digan cuán seguros están, y una base de código lo suficientemente pequeña como para leerla de una sentada. Summit ahora tiene más de 58 comprobaciones en 11 familias, un mapa de superficie de ataque con un solo comando, fuzzing de payloads que habla el formato de archivo de Intruder, y un proxy que descifra HTTPS con una CA que genera por sí mismo. Summit es esa herramienta - v2.1.0, MIT, construida en abierto. Tres dependencias principales (requests, pyyaml, packaging) más una opcional (cryptography, solo para interceptación TLS), todas FLOSS, todas estándar.
Documentación completa: pennacle-security.github.io/summit
Capacidades que normalmente están detrás de herramientas de pago, más el núcleo de escaneo:
| Capacidad | Summit | La ruta habitual |
|---|---|---|
| Pruebas de control de acceso roto (BOLA/IDOR) | summit authorize | Complemento estilo Autorize / flujos de trabajo de pago |
| Descubrimiento de parámetros ocultos | summit mine | Complemento estilo Param Miner |
| Escaneo basado en OpenAPI | summit scan --openapi | complementos |
| Fingerprinting de WAF + sondeo de bypass | integrado | parcial / complementos |
| Mapeo de superficie de ataque | summit map | complementos / flujos de trabajo de pago |
| SQLi, XSS, redirección, traversal, takeover, host header, CORS | integrado | escáneres principales (gratis) |
| Cadena de reconocimiento: subfinder -> httpx -> nmap | summit recon | unión manual |
| Detección de condiciones de carrera | summit race | Burp Turbo Intruder (de pago) |
| Fuzzing de payloads estilo Intruder | summit fuzz --request | de pago (Intruder) |
| Proxy con interceptación TLS | summit proxy --tls-intercept | núcleo de pago |
| Escaneos programados con diferenciación por ronda | summit schedule | cron + scripts de unión |
| Auditoría de certificados TLS | summit tls | manual / sslscan |
| Limitación de tasa, reintentos, kit de herramientas JWT/encoder | integrado | complementos / de pago |
| Hallazgos listos para CI, etiquetados por confianza, etiquetados con CWE/CVE | ese es el objetivo | automatización de pago |
| Salida SARIF + JUnit XML | integrado | informes de pago |
| Binarios precompilados (linux/amd64, arm64, windows) | cada versión | N/A |
Cada hallazgo lleva una etiqueta de confianza - confirmed (un hecho observado), likely (evidencia sólida), needs-manual (una heurística para que la revise una persona) o info - y la etiqueta limita la severidad, de modo que una suposición nunca puede hacerse pasar por crítica. Esa distinción recorre toda la herramienta.
git clone https://github.com/pennacle-security/summit.git
cd summit
pip install -e .
Python 3.10+. Dependencias: requests, pyyaml, packaging - todas FLOSS, todas estándar.
Instalar desde PyPI:
pip install summit-scanner
O desde el código fuente:
git clone https://github.com/pennacle-security/summit.git
cd summit
pip install -e .
Binarios precompilados disponibles en cada release:
summit-linux-amd64 - Linux x86_64 (Ubuntu 20.04+, Debian 11+, RHEL 8+)summit-linux-arm64 - Linux ARM64 (AWS Graviton, Raspberry Pi 4+, Apple Silicon)summit-windows-amd64.exe - Windows 10+ / Windows Server 2019+No se requiere instalación de Python para los binarios.
Luego míralo funcionar contra un objetivo local deliberadamente vulnerable:
python examples/vuln_app.py # terminal 1 - the target (127.0.0.1 only)
summit map http://127.0.0.1:8765 # attack-surface map, no attack traffic
summit scan http://127.0.0.1:8765 # terminal 2 - the scan
Un análisis más completo en un compromiso real se ve así:
summit recon target.com --json recon.json # subdomains -> hosts -> ports
summit scan https://target.com --depth 2 --rate 10 # crawl + all checks
summit scan --openapi api-spec.json # API: scan what the spec admits to
summit authorize https://target.com/admin?user=1 \
--role 'admin=Cookie: session=abc' \
--role 'user=Cookie: session=xyz' # BOLA/IDOR testing
Cada afirmación de esta página se reproduce mediante examples/evidence.py: ejecuta el objetivo de demostración en vivo, mide cada característica e imprime PASS/FAIL con los números reales. CI lo ejecuta en cada push; una afirmación que deja de cumplirse hace fallar la compilación.
python examples/evidence.py)