🌊 MongoDeepDive

컨텍스트 인식 MongoDB 와이어 프로토콜 익스플로잇 (CVE-2025-14847) > 레드팀 운영을 위한 고급 휴리스틱 분석기

💀 개요

MongoDeepDive는 CVE-2025-14847의 영향을 받는 MongoDB 서버에서 초기화되지 않은 메모리 누수를 탐지하도록 설계된 고성능 비동기 취약점 스캐너 및 포렌식 분석기입니다.

단순히 응답 크기만 확인하는 표준 PoC 스크립트와 달리, MongoDeepDive는 섀넌 엔트로피 분석과 휴리스틱 필터링을 사용하여 빈 메모리 패딩(가비지)과 고가치 비밀(예: 개인 키, AWS 토큰, 비밀번호)을 구분합니다.

이 도구는 단순한 노이즈가 아닌 실행 가능한 인텔리전스가 필요한 보안 아키텍트와 레드팀원을 위해 설계되었습니다.

📺 데모 출력

────────────────────────── MongoDeepDive - Tunahan Tekeoğlu ──────────────────────────
Scanning... ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 100% 0:00:02

[+] VULNERABLE: 192.168.1.15:27017 | Response Size: 65552 bytes
    └── SECRETS FOUND: 3 critical blocks extracted
       ➜ SECRET_EXPOSED (AWS_KEY)
       ➜ HIGH_ENTROPY (Key/Encrypted)
       ➜ SECRET_EXPOSED (DB_URI)

[+] VULNERABLE: 192.168.1.18:27017 | Response Size: 65552 bytes
    └── Leak confirmed, but memory content is currently empty/low-entropy.

Scan Complete. Report saved to mongo_audit.json

🚀 주요 기능

🧠 휴리스틱 인텔리전스: 유출된 메모리 청크 내에서 암호화된 데이터나 키를 식별하는 실시간 엔트로피 계산.
⚡ 고성능 AsyncIO: 최소한의 리소스로 수백 개의 대상을 동시에 스캔.
🛡️ 스마트 필터링: 널 바이트를 자동으로 제거하고 저엔트로피 "정크" 데이터를 걸러냅니다.
⚗️ 하이브리드 분석: 원시 누출 크기(스캐너 모드)와 분석된 콘텐츠(포렌식 모드)를 모두 보고합니다.
👻 스텔스 모드: 조절된 프로덕션 안전 스캔을 위한 --safe 플래그 포함.
JSON 내보내기: 취약점 관리 플랫폼과의 쉬운 통합을 위한 구조화된 출력.

📦 설치

# Clone the repository
git clone https://github.com/tunahantekeoglu/MongoDeepDive.git

# Enter the directory
cd MongoDeepDive

# Install dependencies
pip install -r requirements.txt

(참고: CLI 시각화에는 rich 라이브러리가 필요합니다)

🛠️ 사용법

1. 대량 스캔 (목록 모드)

높은 동시성으로 대상 목록을 스캔하고 JSON 보고서를 생성합니다:

python3 mongo_deep_dive.py -l targets.txt -o report.json -c 50

2. 심층 추출 (단일 대상)

확인된 대상에서 메모리를 적극적으로 빼내 비밀을 찾습니다 (예: 1000개 패킷 전송):

python3 mongo_deep_dive.py -t 192.168.1.10 -n 1000

3. 프로덕션 / 스텔스 모드

레거시 시스템에서 네트워크 포화나 서비스 불안정을 방지하기 위해 스로틀링을 활성화합니다:

python3 mongo_deep_dive.py -l targets.txt --safe

🧠 작동 원리

페이로드 주입: 위조된 비압축 크기가 포함된 변조된 OP_COMPRESSED 패킷을 전송합니다.
메모리 누수: 취약한 서버는 위조된 크기에 따라 메모리를 할당하지만 이를 초기화하지 못하여 원시 힙 데이터를 반환합니다.
엔트로피 분석: 이 도구는 반환된 바이트의 섀넌 엔트로피를 계산합니다.

엔트로피 > 4.5: 암호화된 데이터, 키 또는 압축 문자열일 가능성이 높습니다.
엔트로피 < 3.0: 패딩, 로그 또는 널 바이트일 가능성이 높습니다.

패턴 매칭: AKIA...(AWS 키) 또는 eyJ...(JWT)와 같은 특정 패턴을 식별하기 위해 정규식 필터가 적용됩니다.

⚠️ 면책 조항

교육 및 승인된 테스트 목적으로만 사용하세요.

이 도구는 보안 연구, 승인된 레드팀 활동 및 취약점 평가를 위해 제작되었습니다. 저자는 이 코드의 오용에 대해 어떠한 책임도 지지 않습니다. 허가 없이 컴퓨터 시스템에 접근하는 것은 불법입니다.

작성자: Tunahan Tekeoğlu

MongoDeepDive

인기