🌊 MongoDeepDive

Контекстно-зависимый эксплойт протокола MongoDB Wire (CVE-2025-14847) > Продвинутый анализатор эвристик для Red Team-операций

💀 Обзор

MongoDeepDive — это высокопроизводительный асинхронный сканер уязвимостей и форензик-анализатор, предназначенный для обнаружения утечек неинициализированной памяти в серверах MongoDB, затронутых уязвимостью CVE-2025-14847.

В отличие от стандартных PoC-скриптов, которые лишь проверяют размер ответа, MongoDeepDive использует анализ энтропии Шеннона и эвристическую фильтрацию, чтобы различать пустое заполнение памяти (мусор) и ценные секреты (например, приватные ключи, AWS-токены, пароли).

Этот инструмент создан для архитекторов безопасности и редтимеров, которым нужна практическая информация, а не просто шум.

📺 Пример вывода

────────────────────────── MongoDeepDive - Tunahan Tekeoğlu ──────────────────────────
Scanning... ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 100% 0:00:02

[+] VULNERABLE: 192.168.1.15:27017 | Response Size: 65552 bytes
    └── SECRETS FOUND: 3 critical blocks extracted
       ➜ SECRET_EXPOSED (AWS_KEY)
       ➜ HIGH_ENTROPY (Key/Encrypted)
       ➜ SECRET_EXPOSED (DB_URI)

[+] VULNERABLE: 192.168.1.18:27017 | Response Size: 65552 bytes
    └── Leak confirmed, but memory content is currently empty/low-entropy.

Scan Complete. Report saved to mongo_audit.json

🚀 Ключевые возможности

🧠 Эвристический интеллект: вычисление энтропии в реальном времени для выявления зашифрованных данных или ключей в утёкших фрагментах памяти.
⚡ Высокопроизводительный AsyncIO: сканирует сотни целей одновременно с минимальным потреблением ресурсов.
🛡️ Умная фильтрация: автоматически удаляет нулевые байты и отфильтровывает низкоэнтропийный «мусор».
⚗️ Гибридный анализ: сообщает как исходный размер утечки (режим сканера), так и проанализированное содержимое (форензик-режим).
👻 Скрытый режим: включает флаг --safe для ограниченного по скорости сканирования, безопасного для продакшена.
Экспорт в JSON: структурированный вывод для лёгкой интеграции с платформами управления уязвимостями.

📦 Установка

# Clone the repository
git clone https://github.com/tunahantekeoglu/MongoDeepDive.git

# Enter the directory
cd MongoDeepDive

# Install dependencies
pip install -r requirements.txt

(Примечание: требуется библиотека rich для визуализации в CLI)

🛠️ Использование

1. Массовое сканирование (режим списка)

Сканируйте список целей с высокой степенью параллелизма и создайте JSON-отчёт:

python3 mongo_deep_dive.py -l targets.txt -o report.json -c 50

2. Глубокое извлечение (одиночная цель)

Агрессивно выкачивайте память из подтверждённой цели в поисках секретов (например, отправляя 1000 пакетов):

python3 mongo_deep_dive.py -t 192.168.1.10 -n 1000

3. Продакшен / скрытый режим

Включите ограничение скорости, чтобы избежать перегрузки сети или нестабильности сервиса на устаревших системах:

python3 mongo_deep_dive.py -l targets.txt --safe

🧠 Как это работает

Внедрение полезной нагрузки: отправляет повреждённый пакет OP_COMPRESSED с поддельным объёмом несжатых данных.
Утечка памяти: уязвимый сервер выделяет память на основе поддельного размера, но не инициализирует её, возвращая необработанные данные кучи.
Анализ энтропии: инструмент вычисляет энтропию Шеннона для возвращённых байтов.

Энтропия > 4.5: вероятно, зашифрованные данные, ключи или сжатые строки.
Энтропия < 3.0: вероятно, заполнение, логи или нулевые байты.

Сопоставление с образцом: применяются regex-фильтры для выявления конкретных шаблонов, таких как AKIA... (ключи AWS) или eyJ... (JWT).

⚠️ Отказ от ответственности

Только для образовательных целей и авторизованного тестирования.

Этот инструмент предназначен для исследований в области безопасности, авторизованных Red Team-заданий и оценки уязвимостей. Автор не несёт ответственности за неправомерное использование этого кода. Доступ к компьютерным системам без разрешения является незаконным.

Автор: Tunahan Tekeoğlu

MongoDeepDive

Популярное