pennacle-security/summitPiattaforma open-source per il test di sicurezza web: proxy, scanner e fuzzer in un'unica CLI. Di Pennacle Security.
Una CLI scriptabile per il test della sicurezza web: scanner, proxy con intercettazione TLS, fuzzer, test delle autorizzazioni, analisi WAF, rilevamento di link hijack, race condition, monitoraggio pianificato e recon.
Oltre 58 controlli in 11 famiglie, 37 template YAML inclusi, fuzzing di payload in stile Intruder e una mappa della superficie d'attacco senza traffico. Gratuito dove gli equivalenti sono a pagamento - di Pennacle Security.
Usiamo Burp e ZAP ogni giorno. E continuavamo a desiderare tre cose che non sono: uno scanner su cui poter scriptare in CI, risultati che ci dicano quanto sono sicuri, e una codebase abbastanza piccola da leggere in una sola sessione. Summit ora ha oltre 58 controlli in 11 famiglie, una mappa della superficie d'attacco con un solo comando, fuzzing di payload che parla il formato file di Intruder, e un proxy che decifra HTTPS con una CA che genera da sé. Summit è quello strumento - v2.1.0, MIT, costruito in modo aperto. Tre dipendenze core (requests, pyyaml, packaging) più una opzionale (cryptography, solo per l'intercettazione TLS), tutte FLOSS, tutte standard.
Documentazione completa: pennacle-security.github.io/summit
Funzionalità che di solito restano dietro strumenti a pagamento, più il core di scansione:
| Capacità | Summit | Il percorso abituale |
|---|---|---|
| Test di controllo degli accessi non autorizzato (BOLA/IDOR) | summit authorize | add-on in stile Autorize / flussi di lavoro a pagamento |
| Scoperta di parametri nascosti | summit mine | add-on in stile Param Miner |
| Scansione guidata da OpenAPI | summit scan --openapi | add-on |
| Fingerprinting WAF + sondaggio bypass | integrato | parziale / add-on |
| Mappatura della superficie d'attacco | summit map | add-on / flussi di lavoro a pagamento |
| SQLi, XSS, redirect, traversal, takeover, host header, CORS | integrato | scanner core (gratuiti) |
| Catena di recon: subfinder -> httpx -> nmap | summit recon | incollaggio manuale |
| Rilevamento di race condition | summit race | Burp Turbo Intruder (a pagamento) |
| Fuzzing di payload in stile Intruder | summit fuzz --request | a pagamento (Intruder) |
| Proxy con intercettazione TLS | summit proxy --tls-intercept | core a pagamento |
| Scansioni pianificate con diffing per ogni round | summit schedule | cron + script di incollaggio |
| Audit dei certificati TLS | summit tls | manuale / sslscan |
| Rate limiting, retry, toolkit JWT/encoder | integrato | add-on / a pagamento |
| Risultati pronti per la CI, etichettati per confidenza, con tag CWE/CVE | è l'obiettivo principale | automazione a pagamento |
| Output SARIF + JUnit XML | integrato | reporting a pagamento |
| Binari precompilati (linux/amd64, arm64, windows) | ogni release | N/D |
Ogni risultato porta un'etichetta di confidenza - confirmed (un fatto osservato), likely (forte evidenza), needs-manual (un'euristica da verificare da parte di una persona) oppure info - e l'etichetta limita la gravità, così un'ipotesi non può mai spacciarsi per critica. Questa distinzione attraversa l'intero strumento.
git clone https://github.com/pennacle-security/summit.git
cd summit
pip install -e .
Python 3.10+. Dipendenze: requests, pyyaml, packaging - tutte FLOSS, tutte standard.
Installa da PyPI:
pip install summit-scanner
Oppure dal sorgente:
git clone https://github.com/pennacle-security/summit.git
cd summit
pip install -e .
Binari precompilati disponibili su ogni release:
summit-linux-amd64 - Linux x86_64 (Ubuntu 20.04+, Debian 11+, RHEL 8+)summit-linux-arm64 - Linux ARM64 (AWS Graviton, Raspberry Pi 4+, Apple Silicon)summit-windows-amd64.exe - Windows 10+ / Windows Server 2019+Nessuna installazione di Python richiesta per i binari.
Poi osservalo all'opera contro un target locale deliberatamente vulnerabile:
python examples/vuln_app.py # terminal 1 - the target (127.0.0.1 only)
summit map http://127.0.0.1:8765 # attack-surface map, no attack traffic
summit scan http://127.0.0.1:8765 # terminal 2 - the scan
Un passaggio più completo su un ingaggio reale si presenta così:
summit recon target.com --json recon.json # subdomains -> hosts -> ports
summit scan https://target.com --depth 2 --rate 10 # crawl + all checks
summit scan --openapi api-spec.json # API: scan what the spec admits to
summit authorize https://target.com/admin?user=1 \
--role 'admin=Cookie: session=abc' \
--role 'user=Cookie: session=xyz' # BOLA/IDOR testing
Ogni affermazione su questa pagina è riprodotta da examples/evidence.py - esegue il target demo dal vivo, misura ogni funzionalità e stampa PASS/FAIL con i numeri reali. La CI lo esegue a ogni push; un'affermazione che smette di valere fa fallire la build.
python examples/evidence.py)