metasploit framework下载

Metasploit Framework 的官方下载地址只有一个：github.com/rapid7/metasploit-framework。别去那些打着“中文版”“一键安装包”旗号的第三方站点，我见过太多人从那种地方拖回来一个塞了后门的压缩包，解压出来还没开始渗透，自己先成了靶机。

Rapid7 在 2019 年把 Metasploit 的社区版完全开源之后，GitHub 仓库就成了唯一可信的来源。截至我写这篇文章时，最新稳定版是 6.4 系列，release 页面里能看到每个版本的 changelog 和校验值。下载方式分两种：直接下源码包自己编译，或者用官方提供的一键安装脚本。

源码包下载与安装

打开 GitHub 的 releases 页面，找到最新 tag，比如 6.4.17，下面有 Source code (zip) 和 Source code (tar.gz) 两个链接。选哪个都行，我习惯用 tar.gz，Linux 下解压顺手。

wget https://github.com/rapid7/metasploit-framework/archive/refs/tags/6.4.17.tar.gz tar -xzf 6.4.17.tar.gz cd metasploit-framework-6.4.17 

解压完别急着运行 msfconsole，先装依赖。Ruby 版本要求 3.0 以上，推荐用 rbenv 或 rvm 管理。然后 bundle install，这一步会拉一堆 gem，网络不好的话挂个代理。装完 ./msfconsole 就能起来了。第一次启动会初始化数据库，等个一两分钟正常。

源码安装的好处是版本透明，你能看到每一行代码。坏处是依赖问题可能折腾半天，尤其是 PostgreSQL 和 Ruby 版本冲突的时候。我上次在 Ubuntu 22.04 上装，系统自带的 Ruby 是 3.0，但某个 gem 要求 3.1，最后用 rbenv 重装才搞定。

官方安装脚本

Rapid7 提供了一个 msfinstall 脚本，针对 Kali、Ubuntu、Debian 这些常用系统。命令很简单：

curl https://raw.githubusercontent.com/rapid7/metasploit-omnibus/master/config/templates/metasploit-framework-wrappers/msfupdate.erb > msfinstall chmod +x msfinstall ./msfinstall 

这个脚本会自动添加 Rapid7 的 apt 源，然后 apt install metasploit-framework。装完直接敲 msfconsole 就能用。适合不想折腾依赖的人。但注意，这个方式装的是 omnibus 打包版，Ruby 环境和 gem 都被封装在 /opt/metasploit-framework 里，跟系统隔离。想改源码或者装额外 gem 会麻烦一些。

Kali Linux 用户最省事，系统源里直接有：

sudo apt update sudo apt install metasploit-framework 

不过 Kali 源里的版本通常比 GitHub 上慢一两个小版本。想追新还是得走前面两种方式。

几个容易踩的坑

别用 git clone 直接拉 master 分支跑生产环境。master 是开发分支，随时可能挂。我试过一次，clone 下来 bundle install 报错，查了半天发现某个依赖的 gem 刚被作者 yank 了。老老实实下 release tag。

Windows 用户注意，官方从 6.0 之后就不再提供 Windows 原生安装包了。想用只能走 WSL2，或者装个 Kali 虚拟机。有人在 Windows 上硬编，Ruby 环境能把你逼疯。

下载完记得校验 SHA256。GitHub release 页面每个包旁边都有哈希值，sha256sum 对一下，花不了十秒钟。我见过有人下到一半断流，文件不完整，跑起来各种诡异报错，查半天才发现是下载问题。

最后说一句，Metasploit 的更新频率很高，基本每周都有新模块。装好之后定期 msfupdate 或者 apt upgrade，别让版本停在半年前。漏洞利用这东西，时效性就是一切。