pennacle-security/summitओपन-सोर्स वेब सुरक्षा परीक्षण प्लेटफ़ॉर्म: एक ही CLI में प्रॉक्सी, स्कैनर और फ़ज़र। Pennacle Security द्वारा।
वेब सुरक्षा परीक्षण के लिए एक स्क्रिप्टेबल CLI: स्कैनर, TLS-इंटरसेप्टिंग प्रॉक्सी, फ़ज़र, प्राधिकरण परीक्षण, WAF विश्लेषण, लिंक-हाईजैक डिटेक्शन, रेस कंडीशन, शेड्यूल्ड मॉनिटरिंग और रेकॉन।
11 परिवारों में 58+ जाँचें, 37 बंडल किए गए YAML टेम्पलेट, Intruder-शैली पेलोड फ़ज़िंग और एक नो-ट्रैफ़िक अटैक-सरफ़ेस मैप। जहाँ समकक्ष सशुल्क हैं वहाँ मुफ़्त - Pennacle Security द्वारा।
हम हर दिन Burp और ZAP का उपयोग करते हैं। हमें लगातार तीन चीज़ें चाहिए थीं जो वे नहीं हैं: एक स्कैनर जिसके विरुद्ध हम CI में स्क्रिप्ट लिख सकें, ऐसे निष्कर्ष जो बताएँ कि वे कितने निश्चित हैं, और एक कोडबेस जो इतना छोटा हो कि एक बैठक में पढ़ा जा सके। Summit में अब 11 परिवारों में 58+ जाँचें, एक-कमांड अटैक-सरफ़ेस मैप, Intruder फ़ाइल फ़ॉर्मेट में बोलने वाली पेलोड फ़ज़िंग, और एक प्रॉक्सी है जो अपने स्वयं के जनरेट किए गए CA से HTTPS को डिक्रिप्ट करती है। Summit वही टूल है - v2.1.0, MIT, खुले में निर्मित। तीन मुख्य निर्भरताएँ (requests, pyyaml, packaging) और एक वैकल्पिक (cryptography, केवल TLS इंटरसेप्शन के लिए), सभी FLOSS, सभी मानक।
पूर्ण दस्तावेज़ीकरण: pennacle-security.github.io/summit
वे क्षमताएँ जो आमतौर पर सशुल्क टूलिंग के पीछे होती हैं, साथ ही स्कैनिंग कोर:
| क्षमता | Summit | सामान्य मार्ग |
|---|---|---|
| ब्रोकन एक्सेस कंट्रोल परीक्षण (BOLA/IDOR) | summit authorize | Autorize-शैली ऐड-ऑन / सशुल्क वर्कफ़्लो |
| छिपे हुए पैरामीटर की खोज | summit mine | Param Miner-शैली ऐड-ऑन |
| OpenAPI-संचालित स्कैनिंग | summit scan --openapi | ऐड-ऑन |
| WAF फिंगरप्रिंटिंग + बायपास प्रोबिंग | अंतर्निहित | आंशिक / ऐड-ऑन |
| अटैक-सरफेस मैपिंग | summit map | ऐड-ऑन / सशुल्क वर्कफ़्लो |
| SQLi, XSS, redirect, traversal, takeover, host header, CORS | अंतर्निहित | कोर स्कैनर (मुफ़्त) |
| रेकॉन श्रृंखला: subfinder -> httpx -> nmap | summit recon | मैन्युअल जोड़-तोड़ |
| रेस कंडीशन डिटेक्शन | summit race | Burp Turbo Intruder (सशुल्क) |
| Intruder-शैली पेलोड फ़ज़िंग | summit fuzz --request | सशुल्क (Intruder) |
| TLS-इंटरसेप्टिंग प्रॉक्सी | summit proxy --tls-intercept | सशुल्क कोर |
| प्रति-राउंड डिफ़िंग के साथ शेड्यूल्ड स्कैन | summit schedule | cron + ग्लू स्क्रिप्ट |
| TLS सर्टिफ़िकेट ऑडिट | summit tls | मैन्युअल / sslscan |
| रेट लिमिटिंग, रिट्राई, JWT/एनकोडर टूलकिट | अंतर्निहित | ऐड-ऑन / सशुल्क |
| CI-तैयार, कॉन्फ़िडेंस-लेबल वाले, CWE/CVE-टैग किए गए निष्कर्ष | पूरा उद्देश्य यही है | सशुल्क ऑटोमेशन |
| SARIF + JUnit XML आउटपुट | अंतर्निहित | सशुल्क रिपोर्टिंग |
| पूर्व-निर्मित बाइनरी (linux/amd64, arm64, windows) | हर रिलीज़ | लागू नहीं |
प्रत्येक निष्कर्ष एक कॉन्फ़िडेंस लेबल रखता है - confirmed (एक देखा गया तथ्य), likely (मज़बूत साक्ष्य), needs-manual (किसी मनुष्य द्वारा जाँच के लिए एक ह्यूरिस्टिक) या info - और यह लेबल गंभीरता को सीमित करता है, इसलिए कोई अनुमान कभी भी गंभीर के रूप में प्रस्तुत नहीं हो सकता। यह भेद पूरे टूल में व्याप्त है।
git clone https://github.com/pennacle-security/summit.git
cd summit
pip install -e .
Python 3.10+। निर्भरताएँ: requests, pyyaml, packaging - सभी FLOSS, सभी मानक।
PyPI से इंस्टॉल करें:
pip install summit-scanner
या स्रोत से:
git clone https://github.com/pennacle-security/summit.git
cd summit
pip install -e .
प्री-बिल्ट बाइनरीज़ हर रिलीज़ पर उपलब्ध हैं:
summit-linux-amd64 - Linux x86_64 (Ubuntu 20.04+, Debian 11+, RHEL 8+)summit-linux-arm64 - Linux ARM64 (AWS Graviton, Raspberry Pi 4+, Apple Silicon)summit-windows-amd64.exe - Windows 10+ / Windows Server 2019+बाइनरीज़ के लिए किसी Python इंस्टॉलेशन की आवश्यकता नहीं है।
फिर इसे एक जानबूझकर कमज़ोर बनाए गए स्थानीय लक्ष्य के विरुद्ध काम करते हुए देखें:
python examples/vuln_app.py # terminal 1 - the target (127.0.0.1 only)
summit map http://127.0.0.1:8765 # attack-surface map, no attack traffic
summit scan http://127.0.0.1:8765 # terminal 2 - the scan
किसी वास्तविक एंगेजमेंट पर अधिक विस्तृत पास इस तरह दिखता है:
summit recon target.com --json recon.json # subdomains -> hosts -> ports
summit scan https://target.com --depth 2 --rate 10 # crawl + all checks
summit scan --openapi api-spec.json # API: scan what the spec admits to
summit authorize https://target.com/admin?user=1 \
--role 'admin=Cookie: session=abc' \
--role 'user=Cookie: session=xyz' # BOLA/IDOR testing
इस पृष्ठ पर प्रत्येक दावा examples/evidence.py द्वारा पुनरुत्पादित किया जाता है - यह डेमो लक्ष्य को लाइव चलाता है, प्रत्येक सुविधा को मापता है, और वास्तविक संख्याओं के साथ PASS/FAIL प्रिंट करता है। CI इसे प्रत्येक पुश पर निष्पादित करता है; जो दावा अब मान्य नहीं रहता, वह बिल्ड को विफल कर देता है।
python examples/evidence.py)