pennacle-security/summitPlataforma de código abierto para pruebas de seguridad web: proxy, escáner y fuzzer en una sola CLI. Por Pennacle Security.
Una CLI scriptable para pruebas de seguridad web: escáner, proxy, fuzzer, pruebas de autorización, análisis de WAF, detección de secuestro de enlaces y reconocimiento.
Gratis donde los equivalentes son de pago - por Pennacle Security.
Usamos Burp y ZAP todos los días. También seguíamos queriendo tres cosas que no son: un escáner contra el que podamos automatizar en CI, hallazgos que nos digan cuán seguros son, y una base de código lo suficientemente pequeña para leerla de una sentada. Summit es esa herramienta - v0.5, MIT, una dependencia (requests), construida en abierto.
Documentación completa: pennacle-security.github.io/summit
Capacidades que normalmente están detrás de herramientas de pago, más el núcleo de escaneo:
| Capacidad | Summit | La ruta habitual |
|---|---|---|
| Pruebas de control de acceso roto (BOLA/IDOR) | summit authorize | Complemento estilo Autorize / flujos de pago |
| Descubrimiento de parámetros ocultos | summit mine | Complemento estilo Param Miner |
| Escaneo basado en OpenAPI | summit scan --openapi | complementos |
| Fingerprinting de WAF + sondeo de bypass | integrado | parcial / complementos |
| Detección de secuestro de enlaces rotos | integrado | extensión de pago |
| SQLi, XSS, redirección, traversal, takeover, host header, CORS | integrado | escáneres principales (gratis) |
| Cadena de reconocimiento: subfinder -> httpx -> nmap | summit recon | pegamento manual |
| Limitación de tasa, reintentos, kit de herramientas JWT/encoder | integrado | complementos / de pago |
| Hallazgos listos para CI, etiquetados con confianza | el objetivo principal | automatización de pago |
Cada hallazgo lleva una etiqueta de confianza: confirmed (un hecho observado) o potential (una heurística). Esa distinción recorre toda la herramienta.
git clone https://github.com/pennacle-security/summit.git
cd summit
pip install -e .
Python 3.10+. Luego míralo funcionar contra un objetivo local deliberadamente vulnerable:
python examples/vuln_app.py # terminal 1 - the target (127.0.0.1 only)
summit scan http://127.0.0.1:8765 # terminal 2 - the scan
Un análisis más completo en un compromiso real se ve así:
summit recon target.com --json recon.json # subdomains -> hosts -> ports
summit scan https://target.com --depth 2 --rate 10 # crawl + all checks
summit scan --openapi api-spec.json # API: scan what the spec admits to
summit authorize https://target.com/admin?user=1 \
--role 'admin=Cookie: session=abc' \
--role 'user=Cookie: session=xyz' # BOLA/IDOR testing
Cada afirmación de esta página se reproduce mediante examples/evidence.py: ejecuta el objetivo de demostración en vivo, mide cada característica e imprime PASS/FAIL con los números reales. CI lo ejecuta en cada push; una afirmación que deja de cumplirse hace fallar la compilación.
python examples/evidence.py)