Ir para o conteúdo
CatSuite

Idioma

Escolha se o site segue o navegador ou se deve forçar português do Brasil ou inglês.

Baixar grátis

Versão 1.5.0 · Extensões

CatSuite Intercepte. Teste. Estenda.

O CatSuite reúne interceptador, proxy HTTPS, Repetir, Intruso e Descobridor em um laboratório Android — e agora executa suas próprias extensões em JavaScript, em ambiente isolado e com permissões explícitas.

  • 100% gratuito
  • PT-BR + EN
  • Dados no aparelho
  • SDK 1.4.0
Baixar grátisGoogle Play (abre em nova aba) Ver novidades

Abrir a IDE de extensões

Conheça a NetCatTest

Google PlayGratuito · Sem assinatura · Sem paywall

Novo na versão 1.5.0

De laboratório a plataforma.

A maior atualização do CatSuite abre o laboratório para o seu código: extensões em JavaScript, fluxos visuais de análise, um conector para ferramentas de linha de comando e um cofre biométrico para proteger tudo isso.

.catplug

Extensões em JavaScript

Pacotes .catplug executados pelo QuickJS em um serviço Android isolado. Cada extensão tem armazenamento, permissões e limites próprios.

  • Hooks no proxy, Repetir, Intruso e Descobridor
  • Abas, menus e comandos nativos
  • Achados com evidência e fingerprint
.catflow

Fluxos visuais

Conecte etapas em um grafo — captura, JWT, segredos, autorização e relatório — com condições, reuniões, histórico e reprodução.

Opcional

CatBridge

Um conector pareado por código numérico que leva httpx, Katana, Schemathesis, Nuclei e as ferramentas do ecossistema aos seus fluxos, com TLS fixado e mensagens assinadas.

Proteção

Cofre biométrico

Classifique extensões e fluxos como PUBLIC, PROTECTED ou SECRET. Conteúdo privado fica criptografado com chave do Android Keystore.

.catdata

Achados e backups

Exporte achados com evidências opcionais e dados sensíveis ocultados, ou crie backups portáteis protegidos por senha.

Em breve

Cat IA

A assistente de análise está sendo reconstruída para voltar mais segura, mais rápida e com controle total do contexto.

O que vem por aí

Módulos do laboratório

Tudo que você usa, em um só app.

Os mesmos módulos do menu do aplicativo, conectados entre si: o que você captura no Interceptador segue para o Repetir, o Intruso, uma extensão ou um fluxo com um toque.

01

Interceptador

Pause, edite e decida.

Revise cada request e response antes do encaminhamento e mantenha o histórico organizado por domínio.

Recursos

  • Interceptação de requests e responses
  • Histórico com filtros, domínios e comparação
  • Site Map por host e endpoint
  • Exportação em HAR, JSON, TXT e cURL
02

Navegador

DevTools no bolso.

Um navegador técnico com as ferramentas de inspeção que você usaria no computador.

Recursos

  • Monitor de rede, código-fonte e inspecionar elemento
  • Modificador de DOM e detecção de JWT/Base64 no storage
  • User-Agent, modo computador e spoof de IP por headers
  • CatEyes: tecnologias e sinais de CVE da página
03

Proxy de Rede

Captura total do tráfego.

Leve o tráfego HTTP e HTTPS do aparelho para o laboratório com certificado próprio.

Recursos

  • Proxy MITM com certificado CA exportável
  • Captura Total de HTTP e HTTPS
  • Regras de substituição em requests, responses, headers e cookies
  • Pausa de responses para edição
04

Repetir

Reenvie com precisão.

Edite requests brutas, reenvie quantas vezes quiser e compare respostas lado a lado.

Recursos

  • Editor HTTP com realce de sintaxe
  • Autocompletar de headers
  • Modo de comparação de respostas
  • Controle de SSL/TLS por envio
05

Intruso

Payloads sob controle.

Marque posições, escolha wordlists e conduza testes no seu ritmo, com pausa e retomada.

Recursos

  • Marcadores $CAT$ na request
  • Wordlists importadas e geradores de payload
  • Pausa e retomada da sessão
  • Recorte e filtro de resultados
06

Descobridor

Mapeie a superfície.

Encontre caminhos, parâmetros e endpoints em alvos autorizados, com controle fino de ritmo.

Recursos

  • Bases de diretórios e parâmetros incluídas
  • Métodos GET, POST, PUT e DELETE
  • Requests por segundo, atraso e backoff automático em 429
  • Filtros por status e tamanho
07

Decodificar

Entenda qualquer formato.

Transforme e interprete os formatos que aparecem no tráfego, com detecção automática.

Recursos

  • Auto-detecção de JWT, Base64, URL, Hex, HTML Entities e Binary
  • Base64URL e Unicode
  • Gerar e identificar MD5, SHA-1, SHA-256 e SHA-512
08

SSL/TLS

Confira a conexão.

Triagem de certificado e conexão segura sem sair do laboratório.

Recursos

  • Handshake e validação da cadeia
  • Fingerprints do certificado
  • Diagnóstico de falhas de TLS
09

História

Contexto que fica.

Linha do tempo da sessão e notas locais para não perder nenhuma evidência.

Recursos

  • Linha do tempo do navegador e das requisições
  • Bloco de notas com exportação
  • Tudo armazenado no aparelho
10

Extensões

Seu código, no laboratório.

Estenda os módulos com JavaScript e transforme rotinas em fluxos reproduzíveis.

Recursos

  • Hooks no proxy e nos módulos de teste
  • Abas, menus, comandos e achados
  • Fluxos visuais e CatBridge

SDK 1.4.0 · API v1

Escreva extensões. Em JavaScript.

Um pacote .catplug reúne manifesto, código e recursos com hashes SHA-256. O CatSuite valida tudo antes de instalar, começa com a extensão desativada e só libera as capacidades que você aprovar.

  1. 01
    Crie ou importe

    Pelo app, pela IDE web ou a partir de um modelo.

  2. 02
    Revise permissões

    Destinos e capacidades aparecem antes da ativação.

  3. 03
    Ative e execute

    Hooks, comandos e abas entram em ação na hora.

  4. 04
    Registre achados

    Evidência, severidade e confiança em um só lugar.

Abrir a IDE de extensões Ler a referência da API CatSuite Studio para VS Code (abre em nova aba) 
cat.proxy.onRequest(message => {
  if (cat.http.parseUrl(message.url).hostname !== 'api.aurora.test') return;
  message.headers.push({name: 'X-Cat-Lab', value: 'auditor'});
  return message;
});

cat.events.on('http.response', async message => {
  const cache = message.headers.find(h => h.name.toLowerCase() === 'cache-control');
  if (!cache || !cache.value.includes('public')) return;
  await cat.findings.add({
    fingerprint: 'cache-publico:' + cat.http.parseUrl(message.url).pathname,
    title: {'pt-BR': 'Resposta com cache público', en: 'Response with public cache'},
    description: {'pt-BR': 'Revise o Cache-Control desta resposta.', en: 'Review the Cache-Control of this response.'},
    severity: 'low',
    confidence: 'observed',
    url: message.url
  });
});
Marca as requests do laboratório e registra um achado quando a resposta permite cache público.

Capacidades declaradas no manifesto

  • traffic.readObservar tráfego
  • traffic.modifyModificar tráfego
  • http.sendEnviar requests
  • external.callConsultar APIs externas
  • ui.menuAdicionar menus
  • ui.tabCriar abas
  • storageSalvar dados
  • findingsRegistrar achados
  • repeaterAbrir no Repetir
  • commandsRegistrar comandos
  • pipeline.stepEtapas de fluxo
  • parsersParsers de conteúdo
  • connector.runExecutar conectores

Limites da API v1

4
extensões ativas
32 MiB
por ambiente
100 ms
por handler de alteração
2
chamadas HTTP simultâneas
120 s
de prazo HTTP total
32 KiB
de preview editável

Fluxos visuais + CatBridge

Rotinas que viram fluxos.

Arraste blocos, conecte saídas a entradas compatíveis e aprove o fluxo. Cada execução guarda duração, entradas, saídas, hashes e versões — e pode ser comparada ou reproduzida sem novos envios.

Arraste os blocos. Toque em Organizar para realinhar o fluxo.

  1. httpCaptura
  2. whenCondição
  3. true · jwtJWT
    false · secretSegredos
  4. joinReunião
  5. reportRelatório

Tipos de artefato estáveis

  • http
  • endpoint
  • jwt
  • secret
  • analysis
  • finding
  • record
  • javascript
  • openapi

Modelos incluídos

  • Auditoria de identidadeCaptura → JWT → Segredos → Autorização → Relatório
  • Mapa de APICrawler → JavaScript → Endpoints → OpenAPI → Relatório
  • RamificaçõesCondição sobre Authorization, ramos paralelos e reunião
  • Auditoria de APIhttpx → Katana → reunião → OpenAPI → Schemathesis

Conector opcional

Ferramentas de linha de comando, com coleira.

O CatBridge roda no seu computador ou servidor, é pareado com um código de 24 números válido por dois minutos e conversa com o app por TLS com certificado fixado e mensagens assinadas. A extensão nunca escolhe binários, argumentos ou caminhos.

  • Pareamento por código numérico de uso único
  • TLS fixado com certificado por aparelho
  • Mensagens assinadas (RFC 9421)
  • Containers sem rede e somente leitura
  • Orçamento de requests por tarefa
Capacidade Executor Resultado
http.probehttpx 1.12.0Serviços HTTP, status, títulos e tecnologias
web.crawlKatana 1.7.0Páginas, formulários, parâmetros e JavaScript estático
api.schema.testSchemathesis 4.29.1Cobertura, checks e casos reduzidos a partir do OpenAPI
nuclei.scanNucleiTemplates HTTP GET/HEAD revisados e aprovados

Ecossistema do SDK 1.4: descoberta de ativos, DNS, portas, fuzzing tipado, TLS, JWT e análise de código, conforme os executores instalados.

Controle primeiro

Seu laboratório. Suas regras.

O CatSuite foi desenhado para uso autorizado e para manter você no comando: nada sai do aparelho sem uma ação sua e cada capacidade nova passa pela sua aprovação.

Dados no aparelho

Histórico, notas, sessões e dados de extensões ficam no seu celular.

Execução isolada

Extensões rodam no QuickJS em serviço Android separado, com memória e tempo limitados.

Permissões explícitas

Instalações começam desativadas. Destinos e capacidades ampliados exigem nova aprovação.

Integridade verificável

SHA-256 em todos os arquivos do pacote e assinatura Ed25519 sobre JSON canônico.

Cofre biométrico

Biometria forte, Android Keystore e CryptoObject protegem conteúdo PROTECTED e SECRET.

Arquivos protegidos

Envelope CATSEAL2 com Argon2id e AES-256-GCM para pacotes, fluxos e backups com senha.

Níveis de proteção

  1. PUBLIC

    Continua em segundo plano com notificação discreta.

  2. PROTECTED

    Pausa ao sair do app e salva o progresso criptografado.

  3. SECRET

    Também elimina chaves e buffers controlados ao bloquear.

Use o CatSuite apenas em ambientes próprios, estudos, CTFs e testes explicitamente autorizados.

Núcleo neural animado da Cat IA

Cat IA

CAT IA EM BREVE

A Cat IA está fora desta versão enquanto é reconstruída. Quando voltar, ela vai entender apenas o contexto que você liberar — e nada além disso.

No radar da Cat IA

  • PlanejarEm breve
  • MultiagentesEm breve
  • Enviar imagemEm breve
  • NotasEm breve
  • Requests interessantesEm breve
  • Proxy de RedeEm breve
  • InterceptarEm breve
  • DescobridorEm breve
  • IntrusoEm breve
  • PermissõesEm breve
  • Arquivo de textoEm breve

Para desenvolvedores

Documentação, IDE, GitHub e VS Code.

Documentação

Guias bilíngues, referência da API, manifesto, fluxos, segurança e CatBridge — com busca instantânea.

  • Português e inglês
  • Referência do SDK 1.4.0
  • Exemplos sem dependências
Abrir a documentação

IDE de extensões

Escreva, valide, simule e exporte pacotes .catplug direto no navegador, sem instalar nada.

  • Validação igual à do app
  • Simulador com laboratório fictício
  • Exportação .catplug com SHA-256
Abrir a IDE

GitHub

O repositório oficial do CatSuite reúne o CatBridge, o SDK de extensões e a extensão CatSuite Studio para VS Code, com código-fonte e downloads prontos.

  • CatBridge para Windows e Linux
  • SDK 1.4.0 com 15 exemplos e 6 fluxos
  • Código do CatSuite Studio
Abrir no GitHub (abre em nova aba)

CatSuite Studio

A extensão oficial para VS Code: crie, valide, teste e assine plugins .catplug com sugestões do SDK, sem sair do editor.

  • Sugestões do SDK 1.4.0 ao digitar cat.
  • Prévia local com fixtures
  • Pacotes .catplug assinados
Instalar no VS Code (abre em nova aba)

Dúvidas frequentes

Direto ao ponto.

O que é o CatSuite?

Um laboratório Android gratuito para segurança web, testes de API e QA. Ele reúne interceptador, proxy de rede, navegador técnico, Repetir, Intruso, Descobridor, decodificador e analisador SSL/TLS em um só fluxo.

A Cat IA está disponível?

Ainda não. A Cat IA está em reconstrução e voltará em uma próxima versão. Enquanto isso, todos os outros módulos e as extensões funcionam normalmente.

O que são extensões?

Pacotes .catplug com código JavaScript executado pelo QuickJS em um serviço Android isolado. Elas podem observar e alterar tráfego, criar abas e comandos, salvar dados e registrar achados — apenas com as permissões que você aprovar.

Uma extensão pode acessar meus arquivos ou executar programas?

Não. O SDK não oferece acesso geral a arquivos, execução de processos, DOM ou fetch. Envios de rede só vão para destinos declarados e aprovados, com TLS validado pelo Android.

Preciso do CatBridge?

Não. O CatBridge é opcional e serve para levar ferramentas como httpx, Katana, Schemathesis e Nuclei aos fluxos visuais. Todo o resto funciona apenas com o app.

O CatSuite envia meus dados para terceiros?

Não automaticamente. Histórico, notas, sessões e dados de extensões ficam no seu celular. Exportar, compartilhar ou enviar algo depende sempre de uma ação sua.

Onde baixar?

O aplicativo está na Google Play, gratuitamente, sem assinatura e sem paywall. O CatBridge (Windows e Linux) e o SDK de extensões 1.4.0 ficam no repositório oficial github.com/netcattest/catsuite, e a extensão CatSuite Studio está no Marketplace do Visual Studio Code.

Posso criar extensões no VS Code?

Sim. Instale a extensão CatSuite Studio pelo Marketplace do Visual Studio Code: ela traz sugestões do SDK, validação do projeto, prévia local com fixtures e geração de pacotes .catplug assinados. Se preferir não instalar nada, use a IDE web.

Na imprensa

O CatSuite na mídia.

Veículos de cibersegurança e tecnologia já falaram sobre o CatSuite.

Um projeto NetCatTest Aulas, blog e ferramentas de segurança ofensiva e defensiva, em um só lugar.
Conhecer a NetCatTest
Gato preto tecnológico, mascote do CatSuite
O guardião do laboratório móvel.

Google Play · Android · 2026

Seu laboratório começa agora.

Gratuito. Sem assinatura. Sem paywall.

Baixar na Google PlayAndroid (abre em nova aba) Abrir a documentação

Conheça a NetCatTest