pennacle-security/summitОткрытая платформа для тестирования веб-безопасности: прокси, сканер и фаззер в одном CLI. От Pennacle Security.
Единый скриптуемый CLI для тестирования веб-безопасности: сканер, TLS-перехватывающий прокси, фаззер, тестирование авторизации, анализ WAF, обнаружение перехвата ссылок, состояния гонки, плановый мониторинг и разведка.
58+ проверок в 11 семействах, 37 встроенных YAML-шаблонов, фаззинг полезной нагрузки в стиле Intruder и карта поверхности атаки без трафика. Бесплатно там, где аналоги платные — от Pennacle Security.
Мы используем Burp и ZAP каждый день. И нам постоянно не хватало трёх вещей, которых в них нет: сканера, против которого можно писать скрипты в CI, результатов, которые сообщают, насколько они достоверны, и кодовой базы, достаточно компактной, чтобы прочитать её за один присест. Теперь в Summit 58+ проверок в 11 семействах, карта поверхности атаки одной командой, фаззинг полезной нагрузки, понимающий файловый формат Intruder, и прокси, расшифровывающий HTTPS с помощью CA, который он генерирует сам. Summit — это тот самый инструмент — v2.1.0, MIT, разрабатывается открыто. Три основных зависимости (requests, pyyaml, packaging) плюс одна опциональная (cryptography, только для перехвата TLS), всё FLOSS, всё стандартное.
Полная документация: pennacle-security.github.io/summit
Возможности, которые обычно скрываются за платными инструментами, плюс ядро сканирования:
| Возможность | Summit | Обычный путь |
|---|---|---|
| Тестирование нарушений контроля доступа (BOLA/IDOR) | summit authorize | Дополнение в стиле Autorize / платные рабочие процессы |
| Обнаружение скрытых параметров | summit mine | Дополнение в стиле Param Miner |
| Сканирование на основе OpenAPI | summit scan --openapi | дополнения |
| Фингерпринтинг WAF + пробы обхода | встроено | частично / дополнения |
| Картирование поверхности атаки | summit map | дополнения / платные рабочие процессы |
| SQLi, XSS, redirect, traversal, takeover, host header, CORS | встроено | базовые сканеры (бесплатно) |
| Цепочка разведки: subfinder -> httpx -> nmap | summit recon | ручная склейка |
| Обнаружение состояний гонки | summit race | Burp Turbo Intruder (платно) |
| Фаззинг полезной нагрузки в стиле Intruder | summit fuzz --request | платно (Intruder) |
| Прокси с перехватом TLS | summit proxy --tls-intercept | платное ядро |
| Запланированные сканирования с диффингом по раундам | summit schedule | cron + склеивающие скрипты |
| Аудит TLS-сертификатов | summit tls | вручную / sslscan |
| Ограничение частоты, повторы, набор инструментов JWT/кодировщика | встроено | дополнения / платно |
| Готовые к CI находки с метками уверенности и тегами CWE/CVE | в этом весь смысл | платная автоматизация |
| Вывод SARIF + JUnit XML | встроено | платная отчётность |
| Готовые бинарники (linux/amd64, arm64, windows) | каждый релиз | Н/Д |
Каждая находка несёт метку уверенности — confirmed (наблюдаемый факт), likely (сильные доказательства), needs-manual (эвристика для проверки человеком) или info — и метка ограничивает критичность, поэтому догадка никогда не может выдать себя за критическую. Это различие проходит через весь инструмент.
git clone https://github.com/pennacle-security/summit.git
cd summit
pip install -e .
Python 3.10+. Зависимости: requests, pyyaml, packaging — все FLOSS, все стандартные.
Установка из PyPI:
pip install summit-scanner
Или из исходного кода:
git clone https://github.com/pennacle-security/summit.git
cd summit
pip install -e .
Готовые бинарные файлы доступны в каждом релизе:
summit-linux-amd64 — Linux x86_64 (Ubuntu 20.04+, Debian 11+, RHEL 8+)summit-linux-arm64 — Linux ARM64 (AWS Graviton, Raspberry Pi 4+, Apple Silicon)summit-windows-amd64.exe — Windows 10+ / Windows Server 2019+Для бинарных файлов установка Python не требуется.
Затем посмотрите, как он работает против намеренно уязвимой локальной цели:
python examples/vuln_app.py # terminal 1 - the target (127.0.0.1 only)
summit map http://127.0.0.1:8765 # attack-surface map, no attack traffic
summit scan http://127.0.0.1:8765 # terminal 2 - the scan
Более полный проход по реальному проекту выглядит так:
summit recon target.com --json recon.json # subdomains -> hosts -> ports
summit scan https://target.com --depth 2 --rate 10 # crawl + all checks
summit scan --openapi api-spec.json # API: scan what the spec admits to
summit authorize https://target.com/admin?user=1 \
--role 'admin=Cookie: session=abc' \
--role 'user=Cookie: session=xyz' # BOLA/IDOR testing
Каждое утверждение на этой странице воспроизводится с помощью examples/evidence.py — он запускает демонстрационную цель вживую, измеряет каждую функцию и выводит PASS/FAIL с реальными числами. CI выполняет его при каждом push; утверждение, которое перестаёт выполняться, приводит к сбою сборки.
python examples/evidence.py)