🌊 MongoDeepDive

Exploit du protocole filaire MongoDB contextuel (CVE-2025-14847) > Analyseur heuristique avancé pour opérations Red Team

💀 Aperçu

MongoDeepDive est un scanner de vulnérabilités asynchrone haute performance et un analyseur médico-légal conçu pour détecter les fuites de mémoire non initialisée dans les serveurs MongoDB affectés par CVE-2025-14847.

Contrairement aux scripts PoC standard qui ne vérifient que la taille de la réponse, MongoDeepDive utilise l'analyse de l'entropie de Shannon et un filtrage heuristique pour distinguer les blocs de mémoire vides (déchets) des secrets de grande valeur (ex. : clés privées, jetons AWS, mots de passe).

Cet outil est conçu pour les architectes de sécurité et les Red Teamers qui ont besoin d'informations exploitables, pas seulement de bruit.

📺 Sortie de démo

────────────────────────── MongoDeepDive - Tunahan Tekeoğlu ──────────────────────────
Scanning... ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 100% 0:00:02

[+] VULNERABLE: 192.168.1.15:27017 | Response Size: 65552 bytes
    └── SECRETS FOUND: 3 critical blocks extracted
       ➜ SECRET_EXPOSED (AWS_KEY)
       ➜ HIGH_ENTROPY (Key/Encrypted)
       ➜ SECRET_EXPOSED (DB_URI)

[+] VULNERABLE: 192.168.1.18:27017 | Response Size: 65552 bytes
    └── Leak confirmed, but memory content is currently empty/low-entropy.

Scan Complete. Report saved to mongo_audit.json

🚀 Fonctionnalités clés

🧠 Intelligence heuristique : Calcul d'entropie en temps réel pour identifier les données chiffrées ou les clés dans les blocs de mémoire divulgués.
⚡ AsyncIO haute performance : Scanne des centaines de cibles simultanément avec une empreinte de ressources minimale.
🛡️ Filtrage intelligent : Supprime automatiquement les octets nuls et filtre les données de faible entropie (déchets).
⚗️ Analyse hybride : Rapporte à la fois la taille brute de la fuite (mode scanner) et le contenu analysé (mode forensic).
👻 Mode furtif : Inclut un drapeau --safe pour un scan limité et sécurisé en production.
Export JSON : Sortie structurée pour une intégration facile avec les plateformes de gestion de vulnérabilités.

📦 Installation

# Clone the repository
git clone https://github.com/tunahantekeoglu/MongoDeepDive.git

# Enter the directory
cd MongoDeepDive

# Install dependencies
pip install -r requirements.txt

(Note : nécessite la bibliothèque rich pour la visualisation en ligne de commande)

🛠️ Utilisation

1. Scan de masse (mode liste)

Scannez une liste de cibles avec une haute concurrence et générez un rapport JSON :

python3 mongo_deep_dive.py -l targets.txt -o report.json -c 50

2. Extraction approfondie (cible unique)

Aspirez agressivement la mémoire d'une cible confirmée pour rechercher des secrets (par exemple, en envoyant 1000 paquets) :

python3 mongo_deep_dive.py -t 192.168.1.10 -n 1000

3. Mode production/furtif

Activez la limitation pour éviter la saturation du réseau ou l'instabilité du service sur les systèmes hérités :

python3 mongo_deep_dive.py -l targets.txt --safe

🧠 Comment ça fonctionne

Injection de charge utile : Envoie un paquet OP_COMPRESSED malformé avec une taille non compressée usurpée.
Fuite mémoire : Le serveur vulnérable alloue de la mémoire en fonction de la taille usurpée mais ne parvient pas à l'initialiser, renvoyant des données brutes du tas.
Analyse d'entropie : L'outil calcule l'entropie de Shannon des octets renvoyés.

Entropie > 4,5 : Probablement données chiffrées, clés ou chaînes compressées.
Entropie < 3,0 : Probablement bourrage, journaux ou octets nuls.

Correspondance de motifs : Des filtres regex sont appliqués pour identifier des motifs spécifiques comme AKIA... (clés AWS) ou eyJ... (JWT).

⚠️ Avertissement

À des fins éducatives et de tests autorisés uniquement.

Cet outil est destiné à la recherche en sécurité, aux engagements autorisés de Red Team et à l'évaluation des vulnérabilités. L'auteur décline toute responsabilité en cas d'utilisation abusive de ce code. L'accès aux systèmes informatiques sans autorisation est illégal.

Auteur : Tunahan Tekeoğlu

MongoDeepDive

Populaires