MongoBleed-Pro ☠️

高级 MongoDB 内存泄漏利用工具
持续学习 | 持续黑客 — CyberTechAjju

---

🔥 介绍

MongoBleed-Pro 是一个针对 CVE-2025-14847 的高级利用工具，这是 MongoDB 在 zlib 压缩处理中的一个严重内存泄露漏洞。该工具允许安全研究人员从易受攻击的 MongoDB 实例中提取敏感数据。

⚠️ 免责声明

本工具仅用于授权的安全测试和教育目的。未经授权访问计算机系统是违法的。在测试前请务必获得适当授权。

---

💀 漏洞详情

属性	详情
CVE ID	CVE-2025-14847
漏洞类型	内存泄露
受影响版本	MongoDB < 8.0.10, < 7.3.6, < 7.0.19, < 6.0.23
根本原因	zlib 解压时的缓冲区超读
影响	未认证的远程内存泄露

---

🚀 功能特性

• ☠️ 黑客风格 UI — 带动画的精英终端界面
• ⚡ 多线程扫描 — 可配置线程数的高速内存提取
• 🎯 自动漏洞检测 — 利用前自动检查漏洞
• 🔑 秘密模式检测 — 发现 AWS 密钥、API 令牌、密码、邮箱
• 📊 实时进度 — 实时的内存泄露可视化
• 💾 数据导出 — 将提取的数据保存到文件进行分析
• 🌐 批量扫描 — 从文件扫描多个目标

---

📦 安装

# 克隆仓库
git clone https://github.com/cybertechajju/CVE-2025-14847_Expolit.git
cd CVE-2025-14847_Expolit

# 安装依赖
pip install -r requirements.txt

---

🎮 使用方法

基本用法

python3 mongobleed_pro.py

指定目标主机

python3 mongobleed_pro.py --target 192.168.1.100

自定义端口

python3 mongobleed_pro.py --target 192.168.1.100:27018

批量扫描

python3 mongobleed_pro.py --file targets.txt

高级选项

python3 mongobleed_pro.py --target 192.168.1.100 --threads 100 --min-offset 100 --max-offset 20000

所有选项

参数	描述	默认值
--target	目标 IP/URL	交互式提示
--file	目标列表文件	无
--threads	线程数量	50
--min-offset	最小内存偏移量	20
--max-offset	最大内存偏移量	8192

---

📸 截图

╔══════════════════════════════════════════════════════════════╗
║  💀 启动内存提取序列 💀                                       ║
╚══════════════════════════════════════════════════════════════╝

⚡ 目标已定位: 192.168.1.100:27017
   ✓ 端口 OPEN
   ☠️  存在漏洞！正在发起攻击...

  ◉ 0x0E31 │ nr_inactive_anon 134420\nnr_active_anon 110832...
  ☠️  战利品已获取: 🔐 密码
      → admin_pass=SuperSecret123

╔══════════════════ 提取完成 ══════════════════╗
║  💾 已提取字节: 125,847
║  📦 唯一片段: 342
║  🔑 发现的秘密: 5
╚══════════════════════════════════════════════════════════════╝

---

🔑 可检测的秘密类型

• 🔑 AWS 访问密钥 (AKIA...)
• 🤖 OpenAI API 密钥 (sk-...)
• 🐙 GitHub 令牌 (ghp_...)
• 🔐 密码与秘密
• 📧 电子邮件地址

---

📁 输出文件

文件	描述
loot_<host>.txt	可读格式提取的秘密
dump_<host>.bin	原始内存转储，供手动分析

---

🛡️ 缓解措施

如果您是 MongoDB 管理员，请更新到已修复的版本：

• MongoDB 8.0.10+
• MongoDB 7.3.6+
• MongoDB 7.0.19+
• MongoDB 6.0.23+

---

👤 作者

CyberTechAjju

• 🐦 Twitter: @CyberTechAjju

---

📜 许可证

本项目基于 MIT 许可证 — 详见 LICENSE 文件。

---

⭐ 支持

如果您觉得此工具有用，请在 GitHub 上给它一个 ⭐！

---

「 持续学习 | 持续黑客 」
由 CyberTechAjju 用 ❤️ 制作