pennacle-security/summitPlataforma open-source de testes de segurança web: proxy, scanner e fuzzer em uma única CLI. Por Pennacle Security.
Uma CLI scriptável para testes de segurança web: scanner, proxy com interceptação TLS, fuzzer, testes de autorização, análise de WAF, detecção de sequestro de links, condições de corrida, monitoramento agendado e recon.
Mais de 58 verificações em 11 famílias, 37 templates YAML incluídos, fuzzing de payloads no estilo Intruder e um mapa de superfície de ataque sem tráfego. Gratuito onde os equivalentes são pagos - por Pennacle Security.
Usamos Burp e ZAP todos os dias. Também continuávamos querendo três coisas que eles não são: um scanner contra o qual possamos criar scripts em CI, achados que nos digam o quão confiáveis são, e uma base de código pequena o suficiente para ler de uma só vez. O Summit agora tem mais de 58 verificações em 11 famílias, um mapa de superfície de ataque em um único comando, fuzzing de payloads que fala o formato de arquivo do Intruder, e um proxy que descriptografa HTTPS com uma CA que ele mesmo gera. O Summit é essa ferramenta - v2.1.0, MIT, construída aberta. Três dependências principais (requests, pyyaml, packaging) mais uma opcional (cryptography, apenas para interceptação TLS), todas FLOSS, todas padrão.
Documentação completa: pennacle-security.github.io/summit
Capacidades que normalmente ficam atrás de ferramentas pagas, além do núcleo de scanning:
| Capacidade | Summit | A rota habitual |
|---|---|---|
| Teste de controle de acesso quebrado (BOLA/IDOR) | summit authorize | add-on estilo Autorize / fluxos pagos |
| Descoberta de parâmetros ocultos | summit mine | add-on estilo Param Miner |
| Varredura orientada por OpenAPI | summit scan --openapi | add-ons |
| Fingerprinting de WAF + sondagem de bypass | integrado | parcial / add-ons |
| Mapeamento de superfície de ataque | summit map | add-ons / fluxos pagos |
| SQLi, XSS, redirect, traversal, takeover, host header, CORS | integrado | scanners principais (gratuitos) |
| Cadeia de recon: subfinder -> httpx -> nmap | summit recon | colagem manual |
| Detecção de race condition | summit race | Burp Turbo Intruder (pago) |
| Fuzzing de payloads estilo Intruder | summit fuzz --request | pago (Intruder) |
| Proxy com interceptação TLS | summit proxy --tls-intercept | núcleo pago |
| Varreduras agendadas com diff por rodada | summit schedule | cron + scripts de colagem |
| Auditoria de certificado TLS | summit tls | manual / sslscan |
| Rate limiting, retries, kit de ferramentas JWT/encoder | integrado | add-ons / pago |
| Achados prontos para CI, rotulados por confiança, marcados com CWE/CVE | o objetivo principal | automação paga |
| Saída SARIF + JUnit XML | integrado | relatórios pagos |
| Binários pré-compilados (linux/amd64, arm64, windows) | a cada release | N/A |
Cada achado carrega um rótulo de confiança - confirmed (um fato observado), likely (evidência forte), needs-manual (uma heurística para um humano verificar) ou info - e o rótulo limita a severidade, de modo que um palpite nunca pode se passar por crítico. Essa distinção percorre toda a ferramenta.
git clone https://github.com/pennacle-security/summit.git
cd summit
pip install -e .
Python 3.10+. Dependências: requests, pyyaml, packaging - todas FLOSS, todas padrão.
Instalar a partir do PyPI:
pip install summit-scanner
Ou a partir do código-fonte:
git clone https://github.com/pennacle-security/summit.git
cd summit
pip install -e .
Binários pré-compilados disponíveis em cada release:
summit-linux-amd64 - Linux x86_64 (Ubuntu 20.04+, Debian 11+, RHEL 8+)summit-linux-arm64 - Linux ARM64 (AWS Graviton, Raspberry Pi 4+, Apple Silicon)summit-windows-amd64.exe - Windows 10+ / Windows Server 2019+Não é necessária a instalação do Python para os binários.
Em seguida, veja-o funcionar contra um alvo local deliberadamente vulnerável:
python examples/vuln_app.py # terminal 1 - the target (127.0.0.1 only)
summit map http://127.0.0.1:8765 # attack-surface map, no attack traffic
summit scan http://127.0.0.1:8765 # terminal 2 - the scan
Uma análise mais completa de um engajamento real é assim:
summit recon target.com --json recon.json # subdomains -> hosts -> ports
summit scan https://target.com --depth 2 --rate 10 # crawl + all checks
summit scan --openapi api-spec.json # API: scan what the spec admits to
summit authorize https://target.com/admin?user=1 \
--role 'admin=Cookie: session=abc' \
--role 'user=Cookie: session=xyz' # BOLA/IDOR testing
Toda afirmação nesta página é reproduzida por examples/evidence.py - ele executa o alvo de demonstração ao vivo, mede cada recurso e imprime PASS/FAIL com os números reais. A CI o executa a cada push; uma afirmação que deixa de se sustentar faz a build falhar.
python examples/evidence.py)