Penthera Sicherheitsscanner
Leichtgewichtiger Sicherheitsscanner für URLs, lokale Repositories und (macOS) Maschinen-Audits. Führe vor jedem Scan die Autorisierungsprüfung durch.
Wichtig: Autorisierungsprüfung
Führe Penthera erst aus, wenn die Autorisierung bestätigt ist.
Vor dem ersten Scan in einer Sitzung frage den Benutzer, ob eine der folgenden Bedingungen zutrifft:
- Sie besitzen das Ziel (App, Server, Projekt).
- Sie haben eine schriftliche Autorisierung vom Systembesitzer.
- Das Ziel ist localhost oder ein privates Labor, das sie kontrollieren.
Wenn der Benutzer das Scannen einer Drittanbieter-Domain (z. B. google.com, example.com) anfordert, ohne Eigentum oder Autorisierung zu beanspruchen, stoppe und verweigere. Im Zweifelsfall nicht scannen.
Die vollständige Richtlinie findest du in references/authorization.md.
Vorbereitung
Führe vor dem ersten Scan aus:
bash skills/penthera/scripts/preflight.sh [URL]
Vom Repository-Stammverzeichnis aus. Gib die Ziel-URL an, um bei Nicht-Localhost-Zielen zu warnen. Behebe alle Fehler, bevor du fortfährst.
CLI-Befehl ermitteln
Verwende, was verfügbar ist:
penthera --version # nach npm link
node bin/penthera.js --version # vom Repository-Stammverzeichnis
Alle folgenden Beispiele verwenden penthera; ersetze bei Bedarf durch node bin/penthera.js.
Entscheidungsbaum
| Benutzerabsicht | Befehlsschema |
|---|---|
| Erster Scan / unsicher | penthera (interaktiver Assistent — TTY) oder penthera-scan |
| Live-URL scannen | penthera <url> --profile standard -o reports/scan.json |
| Nur Repository (Geheimnisse, Routen) | penthera --repo . -o reports/repo-scan.json |
| URL + Quellcode kombiniert | penthera <url> --repo . -o reports/scan.json --sarif reports/scan.sarif |
| Mit vorherigem Scan vergleichen | penthera <url> -o reports/scan.json --baseline reports/previous.json |
| Authentifizierte Endpunkte | --auth-cookie oder --auth-bearer / PENTHERA_*-Umgebungsvariablen hinzufügen |
| macOS-Maschinen-Audit | penthera --machine |
Standardmäßig sicheres Verhalten
- Verwende immer
--profile standard, es sei denn, der Benutzer fordert explizit tiefere Tests an. - Schreibe Berichte in
reports/(gitignoriert), niemals innerhalb vonskills/penthera/. - Lies nach dem Scan den zugehörigen
.md-Bericht und fasse die Ergebnisse nach Schweregrad zusammen, mit Empfehlungen zur Behebung.
Destruktiver Modus – Prüfung
Diese Flags senden Angriffspayloads. Erfordere vor der Verwendung eine explizite Benutzerbestätigung:
--deep— SQLi, SSTI, SSRF, XSS, CMDi-Sonden--fuzz— eigenschaftsbasierte API-Fuzzing--all— aktiviert Recon + Deep + Fuzz--profile deep— maximale Abdeckung
Wenn der Benutzer nach einem „vollständigen Pentest