pennacle-security/summitОткрытая платформа для тестирования веб-безопасности: прокси, сканер и фаззер в одном CLI. От Pennacle Security.
Один скриптуемый CLI для тестирования веб-безопасности: сканер, прокси, фаззер, тестирование авторизации, анализ WAF, обнаружение перехвата ссылок и разведка.
Бесплатно там, где аналоги платные — от Pennacle Security.
Мы используем Burp и ZAP каждый день. И нам постоянно не хватало трёх вещей, которыми они не являются: сканера, против которого можно писать скрипты в CI, находок, которые сообщают, насколько они достоверны, и кодовой базы, достаточно компактной, чтобы прочитать её за один присест. Summit — это такой инструмент: v0.5, MIT, одна зависимость (requests), создаётся открыто.
Полная документация: pennacle-security.github.io/summit
Возможности, которые обычно скрываются за платными инструментами, плюс ядро сканирования:
| Возможность | Summit | Обычный путь |
|---|---|---|
| Тестирование нарушений контроля доступа (BOLA/IDOR) | summit authorize | надстройка в стиле Autorize / платные рабочие процессы |
| Обнаружение скрытых параметров | summit mine | надстройка в стиле Param Miner |
| Сканирование на основе OpenAPI | summit scan --openapi | надстройки |
| Фингерпринтинг WAF + пробы обхода | встроено | частично / надстройки |
| Обнаружение перехвата неработающих ссылок | встроено | платное расширение |
| SQLi, XSS, redirect, traversal, takeover, host header, CORS | встроено | основные сканеры (бесплатно) |
| Цепочка разведки: subfinder -> httpx -> nmap | summit recon | ручная склейка |
| Ограничение скорости, повторы, набор инструментов JWT/кодировщика | встроено | надстройки / платно |
| Готовность к CI, находки с метками достоверности | в этом вся суть | платная автоматизация |
Каждая находка несёт метку достоверности: confirmed (наблюдаемый факт) или potential (эвристика). Это различие проходит через весь инструмент.
git clone https://github.com/pennacle-security/summit.git
cd summit
pip install -e .
Python 3.10+. Затем посмотрите, как он работает против намеренно уязвимой локальной цели:
python examples/vuln_app.py # terminal 1 - the target (127.0.0.1 only)
summit scan http://127.0.0.1:8765 # terminal 2 - the scan
Более полный проход по реальному проекту выглядит так:
summit recon target.com --json recon.json # subdomains -> hosts -> ports
summit scan https://target.com --depth 2 --rate 10 # crawl + all checks
summit scan --openapi api-spec.json # API: scan what the spec admits to
summit authorize https://target.com/admin?user=1 \
--role 'admin=Cookie: session=abc' \
--role 'user=Cookie: session=xyz' # BOLA/IDOR testing
Каждое утверждение на этой странице воспроизводится с помощью examples/evidence.py — он запускает демонстрационную цель вживую, измеряет каждую функцию и выводит PASS/FAIL с реальными числами. CI выполняет его при каждом push; утверждение, которое перестаёт выполняться, приводит к сбою сборки.
python examples/evidence.py)