🌊 MongoDeepDive

Exploit del protocollo wire MongoDB sensibile al contesto (CVE-2025-14847)
Analizzatore euristico avanzato per operazioni Red Team

💀 Panoramica

MongoDeepDive è uno scanner asincrono ad alte prestazioni e un analizzatore forense progettato per rilevare perdite di memoria non inizializzata nei server MongoDB affetti da CVE-2025-14847.

A differenza dei normali script PoC che si limitano a controllare la dimensione della risposta, MongoDeepDive utilizza l'analisi dell'entropia di Shannon e un filtraggio euristico per distinguere tra padding di memoria vuoto (spazzatura) e segreti di alto valore (ad es. chiavi private, token AWS, password).

Questo strumento è pensato per architetti della sicurezza e Red Teamer che necessitano di intelligence utilizzabile, non solo rumore.

📺 Output demo

────────────────────────── MongoDeepDive - Tunahan Tekeoğlu ──────────────────────────
Scanning... ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 100% 0:00:02

[+] VULNERABLE: 192.168.1.15:27017 | Response Size: 65552 bytes
    └── SECRETS FOUND: 3 critical blocks extracted
       ➜ SECRET_EXPOSED (AWS_KEY)
       ➜ HIGH_ENTROPY (Key/Encrypted)
       ➜ SECRET_EXPOSED (DB_URI)

[+] VULNERABLE: 192.168.1.18:27017 | Response Size: 65552 bytes
    └── Leak confirmed, but memory content is currently empty/low-entropy.

Scan Complete. Report saved to mongo_audit.json

🚀 Caratteristiche principali

🧠 Intelligenza euristica: Calcolo dell'entropia in tempo reale per identificare dati crittografati o chiavi all'interno dei blocchi di memoria trapelati.
⚡ AsyncIO ad alte prestazioni: Scansiona centinaia di target simultaneamente con un impatto minimo sulle risorse.
🛡️ Filtraggio intelligente: Rimuove automaticamente i byte nulli e filtra i dati "spazzatura" a bassa entropia.
⚗️ Analisi ibrida: Segnala sia la dimensione grezza della perdita (modalità Scanner) che il contenuto analizzato (modalità Forense).
👻 Modalità stealth: Include un flag --safe per una scansione limitata e sicura per l'ambiente di produzione.
Esportazione JSON: Output strutturato per una facile integrazione con piattaforme di gestione delle vulnerabilità.

📦 Installazione

# Clona il repository
git clone https://github.com/tunahantekeoglu/MongoDeepDive.git

# Entra nella directory
cd MongoDeepDive

# Installa le dipendenze
pip install -r requirements.txt

(Nota: Richiede la libreria rich per la visualizzazione CLI)

🛠️ Utilizzo

1. Scansione di massa (modalità lista)

Scansiona un elenco di target con alta concorrenza e genera un report JSON:

python3 mongo_deep_dive.py -l targets.txt -o report.json -c 50

2. Estrazione approfondita (singolo target)

Sifona aggressivamente la memoria da un target confermato per cercare segreti (ad esempio inviando 1000 pacchetti):

python3 mongo_deep_dive.py -t 192.168.1.10 -n 1000

3. Modalità produzione / stealth

Abilita la limitazione per evitare la saturazione della rete o l'instabilità del servizio su sistemi legacy:

python3 mongo_deep_dive.py -l targets.txt --safe

🧠 Come funziona

Iniezione del payload: Invia un pacchetto OP_COMPRESSED malformato con una dimensione non compressa falsificata.
Perdita di memoria: Il server vulnerabile alloca memoria in base alla dimensione falsificata ma non la inizializza, restituendo dati heap grezzi.
Analisi dell'entropia: Lo strumento calcola l'entropia di Shannon dei byte restituiti.
- Entropia > 4.5: Probabili dati crittografati, chiavi o stringhe compresse.
- Entropia < 3.0: Probabili padding, log o byte nulli.
Pattern matching: Vengono applicati filtri regex per identificare pattern specifici come AKIA... (chiavi AWS) o eyJ... (JWT).

⚠️ Disclaimer

Solo per scopi educativi e test autorizzati.

Questo strumento è destinato alla ricerca sulla sicurezza, a impegni Red Team autorizzati e alla valutazione delle vulnerabilità. L'autore non si assume alcuna responsabilità per l'uso improprio di questo codice. L'accesso a sistemi informatici senza autorizzazione è illegale.

Autore: Tunahan Tekeoğlu

MongoDeepDive

Più Popolari