mongoExploit 是一个针对 CVE-2025-14847 的概念验证（PoC）利用工具，该漏洞是 MongoDB 中的一个内存泄漏漏洞。
该工具利用 zlib 解压缩中的缺陷，通过 BSON 字段名泄漏服务器内存。通过构造一个包含膨胀文档长度的 BSON 负载，它会强制服务器从泄漏的内存中读取字段名，直到遇到空字节为止。
此工具仅用于教育和授权的安全测试目的。 作者不对该工具的任何滥用行为负责。请勿对未经明确授权的系统使用此工具。
python3 mongoExploit.py [options]
| 参数 | 说明 | 默认值 |
|---|---|---|
--host | 目标主机 IP 或主机名 | localhost |
--port | 目标 MongoDB 端口 | 27017 |
--min-offset | 最小文档长度（起始偏移） | 20 |
--max-offset | 最大文档长度（结束偏移） | 8192 |
--output | 泄漏数据的输出文件 | leaked.bin |
使用默认设置扫描指定目标：
python3 mongoExploit.py --host 192.168.1.10
使用更大的偏移范围扫描以获取更多数据：
python3 mongoExploit.py --host 192.168.1.10 --max-offset 50000
扫描特定偏移范围：
python3 mongoExploit.py --host 192.168.1.10 --min-offset 100 --max-offset 20000
该工具会在控制台中显示有趣的泄漏内容（长度大于 10 个字符的字符串），并将所有收集到的唯一片段保存到指定的输出文件中（默认：leaked.bin）。
它还会尝试突出显示类似机密信息的模式，例如：
passwordsecretkeytokenadminAKIA（AWS 密钥）