🌊 MongoDeepDive

上下文感知的 MongoDB 网络协议利用工具 (CVE-2025-14847) > 面向红队的高级启发式分析器

💀 概述

MongoDeepDive 是一款高性能异步漏洞扫描器和取证分析器，旨在检测受 CVE-2025-14847 影响的 MongoDB 服务器中的 未初始化内存泄漏。

与仅检查响应大小的标准 PoC 脚本不同，MongoDeepDive 采用 香农熵 分析和启发式过滤，以区分空内存填充（垃圾）和高价值机密（如私钥、AWS 令牌、密码）。

本工具专为 安全架构师 和 红队成员 设计，他们需要可操作的情报，而不仅仅是噪声。

📺 演示输出

────────────────────────── MongoDeepDive - Tunahan Tekeoğlu ──────────────────────────
Scanning... ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 100% 0:00:02

[+] VULNERABLE: 192.168.1.15:27017 | Response Size: 65552 bytes
    └── SECRETS FOUND: 3 critical blocks extracted
       ➜ SECRET_EXPOSED (AWS_KEY)
       ➜ HIGH_ENTROPY (Key/Encrypted)
       ➜ SECRET_EXPOSED (DB_URI)

[+] VULNERABLE: 192.168.1.18:27017 | Response Size: 65552 bytes
    └── Leak confirmed, but memory content is currently empty/low-entropy.

Scan Complete. Report saved to mongo_audit.json

🚀 主要功能

🧠 启发式智能： 实时熵计算，识别泄漏内存块中的加密数据或密钥。
⚡ 高性能 AsyncIO： 同时扫描数百个目标，资源占用极低。
🛡️ 智能过滤： 自动去除空字节，并过滤低熵“垃圾”数据。
⚗️ 混合分析： 同时报告原始泄漏大小（扫描器模式）和分析内容（取证模式）。
👻 隐身模式： 包含 --safe 标志，用于限速、生产环境安全的扫描。
JSON 导出： 结构化输出，便于与漏洞管理平台集成。

📦 安装

# Clone the repository
git clone https://github.com/tunahantekeoglu/MongoDeepDive.git

# Enter the directory
cd MongoDeepDive

# Install dependencies
pip install -r requirements.txt

（注意：需要 rich 库以实现 CLI 可视化）

🛠️ 使用

1. 批量扫描（列表模式）

扫描目标列表，高并发，生成 JSON 报告：

python3 mongo_deep_dive.py -l targets.txt -o report.json -c 50

2. 深度提取（单目标）

从已确认的目标强力获取内存以搜寻机密（例如发送 1000 个数据包）：

python3 mongo_deep_dive.py -t 192.168.1.10 -n 1000

3. 生产/隐身模式

启用限速以避免遗留系统上的网络饱和或服务不稳定：

python3 mongo_deep_dive.py -l targets.txt --safe

🧠 工作原理

Payload Injection: 发送格式错误的 OP_COMPRESSED 数据包，并带有伪造的未压缩大小。
Memory Leak: 易受攻击的服务器根据伪造的大小分配内存，但未能初始化，返回原始堆数据。
Entropy Analysis: 工具计算返回字节的香农熵。

Entropy > 4.5: 可能是加密数据、密钥或压缩字符串。
Entropy < 3.0: 可能是填充、日志或空字节。

Pattern Matching: 应用正则表达式过滤器以识别特定模式，如 AKIA...（AWS 密钥）或 eyJ...（JWTs）。

⚠️ 免责声明

仅用于教育和授权测试目的。

本工具旨在用于安全研究、授权的红队演练和漏洞评估。作者对滥用此代码不承担任何责任。未经许可访问计算机系统是非法的。

作者： Tunahan Tekeoğlu

MongoDeepDive

最受欢迎