Metasploit

Metasploit был создан Эйч Ди Муром (H. D. Moore) в 2003 году как переносимый сетевой инструмент на Perl^[3]. В 2004 году к проекту присоединился Мэтт Миллер (Matt Miller), также известный как Skape, который внёс значительный вклад в развитие фреймворка^[4]. К 2007 году Metasploit Framework был полностью переписан на Ruby^[3]. 21 октября 2009 года команда сообщила^[5] о приобретении проекта компанией Rapid7, специализирующейся на управлении уязвимостями.

Подобно коммерческим продуктам — Canvas от Immunity и Core Impact от Core Security Technologies — Metasploit используется для проверки защищённости систем либо для взлома удалённых машин. Как и многие другие средства инфобезопасности, Metasploit может применяться как для легальных задач, так и для несанкционированной деятельности. После покупки Metasploit Framework компанией Rapid7 появился коммерческий выпуск Metasploit Pro на основе модели «открытое ядро»^[6].

Статус Metasploit как де-факто стандарта для разработки эксплойтов^[7] привёл к появлению уязвимостей программного обеспечения, сопровождаемых^[8] сторонним модулем эксплуатации Metasploit, демонстрирующим эксплуатируемость уязвимости, возможный ущерб и варианты устранения^[9][10]. В 2019 году состоялся крупный релиз Metasploit 5.0 — первое значительное обновление с 2011 года. В рамках этого обновления, помимо основного языка Ruby, для разработки некоторых модулей стали использоваться Python и Go^[11]. Начиная с версии 3.0 в фреймворк были добавлены средства фаззинга для поиска новых уязвимостей, а не только эксплуатации известных. Эти инструменты были реализованы в виде вспомогательных модулей (auxiliary modules) для различных сетевых протоколов, таких как FTP, SMB, HTTP и других^[12]. Это проявилось, в частности, через интеграцию беспроводного (802.11) набора инструментов lorcon в Metasploit 3.0 в ноябре 2006 года.

Основные этапы эксплуатации системы с помощью Framework включают:

1. При необходимости — проверку целевой системы на уязвимость к эксплойту;
2. Выбор и настройка эксплойта (кода, проникающего на целевую машину через баг; в составе более 900 эксплойтов для Windows, Unix/Linux и macOS);
3. Выбор и настройка нагрузки (кода, который выполнится при успешном проникновении — например, удалённая консоль или VNC-сервер). Обычно Metasploit рекомендует подходящий нагрузочный модуль;
4. Выбор метода кодирования для устранения критических шестнадцатеричных опкодов («плохих символов»), из-за которых эксплойт может не сработать;
5. Запуск эксплойта.

Эта модульная архитектура — свободная комбинация любого эксплойта и payload — и является главным преимуществом Framework, облегчая работу атакующим, авторам эксплойтов и нагрузок. В основе фреймворка лежит набор библиотек, написанных на Ruby. Ключевой является библиотека Rex, отвечающая за низкоуровневые задачи (работа с сокетами, протоколами), а поверх неё работает библиотека MSF Core, предоставляющая API для взаимодействия с модулями^[13].

Metasploit является кроссплатформенным инструментом и поддерживает различные аппаратные архитектуры, включая x86_64, x86 и ARM, на операционных системах Linux, Microsoft Windows и macOS^[14]. Рекомендуемые системные требования: процессор x86_64 с частотой от 2 ГГц, от 4 до 8 ГБ оперативной памяти и от 1 до 50 ГБ свободного дискового пространства^[15]. Framework можно расширять, используя дополнения на нескольких языках программирования.

Для выбора эксплойта и payload требуется информация о целевой системе, например, версия ОС и запущенные сетевые службы. Эти данные можно получить с помощью сканирования портов и идентификации TCP/IP-стека (например, через Nmap). Сканеры уязвимостей вроде Nessus и OpenVAS определяют уязвимости цели. Metasploit способен импортировать результаты таких сканеров в формате XML (например, отчёты Nmap или Nessus)^[16] и сопоставлять выявленные уязвимости с доступными модулями для автоматической эксплуатации. Также фреймворк использует ресурсные файлы (.rc) для автоматизации выполнения команд^[17] и может импортировать и экспортировать данные проекта в формате XML^[18].

С помощью утилиты msfvenom фреймворк может генерировать полезные нагрузки в различных форматах, включая исполняемые файлы для Windows (.exe, .dll), Linux (.elf) и macOS (.macho), установочные пакеты для Android (.apk), а также скрипты на языках Python, PHP, Perl и других^[19][20].

Для Metasploit доступны несколько интерфейсов, которые делятся на два основных типа: интерфейс командной строки (CLI) и графический пользовательский интерфейс (GUI)^[21][22]. Наиболее популярные из них поддерживаются Rapid7 и Strategic Cyber LLC^[23].

Основным и наиболее многофункциональным CLI является msfconsole — интерактивная консоль, через которую большинство специалистов взаимодействуют с фреймворком^[24]. Среди графических альтернатив — веб-интерфейс в коммерческих продуктах от Rapid7 (Metasploit Pro и Community Edition)^[25] и сторонние инструменты, например, Armitage^[22].

Все официальные и большинство сторонних интерфейсов поддерживают только английский язык^[24].

Metasploit Framework — открытый, свободно распространяемый выпуск Metasploit Project, который служит технологической основой для всех продуктов линейки^[26]. Он активно развивается компанией Rapid7 и сообществом с открытым исходным кодом^[27].

Проект использует модель непрерывной разработки и не выпускает публичных альфа-, бета-версий или кандидатов в релизы^[28]. Вместо этого пользователям доступны два канала обновлений: стабильные релизы и ежедневные «ночные сборки» (nightly builds), которые содержат самые последние, но потенциально нестабильные изменения^[29].

Официальная техническая поддержка для бесплатной версии не предоставляется, однако существует развитая система помощи от сообщества через несколько каналов: основной форум на GitHub Discussions, чат в Slack и система отслеживания ошибок GitHub Issues^[30].

Он предоставляет средства для анализа уязвимостей и создания эксплойтов, включая:

• Командную строку для управления модулями эксплуатации;
• Базу данных для хранения результатов сканирования и атаки;
• Импорт отчётов сетевого сканирования из внешних утилит, например Nmap;
• Встроенную поддержку сканирования с помощью функции `db_nmap` для автоматизации и интеграции данных;
• Более 1500 встроенных эксплойтов, возможность добавлять собственные модули и автоматические скрипты.

Metasploit Framework реализован на Ruby и использует модульную архитектуру ПО^[31].

Metasploit Pro — коммерческий продукт, представленный Rapid7 в октябре 2010 года. Он построен на основе Metasploit Framework и предназначен для пентестеров и команд по IT-безопасности, которым требуется повышенная эффективность и автоматизация^[32]. Последняя версия — 4.22.8 (октябрь 2025 года)^[33].

В отличие от Framework, Pro-версия предлагает графический веб-интерфейс (GUI) и ряд эксклюзивных функций для автоматизации. К ним относятся «мастера» для проведения быстрых пентестов и создания цепочек атак (Task Chains), а также инструменты для валидации уязвимостей. Эта функция позволяет импортировать отчёты из сканеров (например, Rapid7 InsightVM/Nexpose) и автоматически проверять, являются ли найденные уязвимости реально эксплуатируемыми, что помогает приоритизировать их устранение^[32][34].

Metasploit Pro также включает расширенные возможности для тестирования веб-приложений, создания и управления кампаниями социальной инженерии, генерации подробных отчётов и совместной работы команды. Продукт сохраняет такие функции, как VPN-пивотинг и создание динамических полезных нагрузок для обхода антивирусов, и поставляется с официальной технической поддержкой от Rapid7^[32][35].

Выпуск представлен в октябре 2011 года, представлял собой бесплатный веб-интерфейс для Metasploit на основе коммерческой версии, но с урезанным набором функций — обнаружение сети, просмотр модулей, ручной запуск эксплойтов. Community поставлялся в основном установщике.

18 июля 2019 года Rapid7 объявила о прекращении поддержки Metasploit Community Edition^[36]. Существующие пользователи могли использовать продукт до окончания действия их лицензии.

Выпуск представлен в апреле 2010 года как коммерческое издание для специалистов по безопасности, нуждающихся в проверке уязвимостей. Включал графический интерфейс, интеграцию с nmap, интеллектуальный перебор паролей и автоматизированный сбор доказательств.

4 июня 2019 года Rapid7 прекратила выпуск Metasploit Express Edition^[37].

Armitage — графическая система управления атаками для Metasploit, визуализирующая цели и рекомендующая эксплойты. Бесплатный и открытый инструмент сетевой безопасности, отличающийся возможностями совместной работы в условиях red-team (совместные сессии, обмен данными и коммуникациями в рамках одного экземпляра Metasploit)^[38].

Активная разработка Armitage прекратилась, а последний официальный релиз состоялся в 2015 году^[39]. Его создатель, Рафаэль Мадж, переключил внимание на коммерческий продукт Cobalt Strike, который считается идейным наследником Armitage^[40].

Несмотря на это, инструмент по-прежнему включён в репозитории дистрибутивов для тестирования на проникновение, таких как Kali Linux^[41], и поддерживается на уровне совместимости. Благодаря наглядному интерфейсу, который упрощает визуализацию целей и управление атаками, Armitage остаётся популярным инструментом для обучения и для новичков в области кибербезопасности^[42]. Для поддержания работоспособности на современных системах сообществом были созданы неофициальные форки^[43]. В профессиональной среде Armitage считается функциональным, но устаревшим решением^[42].

Cobalt Strike — коммерческий инструмент для имитации угроз (adversary simulation) и проведения операций Red Teaming, разработанный компанией Fortra (ранее HelpSystems). Являясь идейным наследником Armitage, он предлагает расширенные возможности для постэксплуатации и скрытного управления скомпрометированными системами. В 2025 году продукт продолжает активно развиваться, с основным акцентом на усиление техник обхода современных средств защиты^[44].

В марте 2025 года состоялся релиз версии 4.11, а в мае вышло корректирующее обновление 4.11.1^[45]. Ключевые нововведения были направлены на уклонение от обнаружения^[46]:

• Sleepmask — встроенная функция, маскирующая основной компонент (Beacon) в памяти во время его неактивности, что затрудняет его обнаружение антивирусами и EDR-решениями^[47].
• Прямые системные вызовы (Syscalls) — агент Beacon получил возможность напрямую обращаться к ядру ОС, обходя перехваты со стороны защитных продуктов^[48].
• Поддержка DNS over HTTPS (DoH) для связи с командным центром, что позволяет маскировать трафик под легитимную активность^[48].
• Асинхронное выполнение задач (Beacon Object Files), что повышает многозадачность агента^[46].

Несмотря на легитимное предназначение, Cobalt Strike остаётся одним из самых популярных инструментов у киберпреступных группировок, включая операторов программ-вымогателей и APT-группы, для закрепления в системе и кражи данных^[49]. В ответ на это компания-разработчик Fortra совместно с Microsoft и Health-ISAC ведёт активную борьбу с распространением взломанных версий. По заявлениям участников инициативы, к 2025 году им удалось сократить количество нелегальных копий в сети на 80 %^[50]. В рамках этой борьбы, в частности в ходе глобальной операции «MORPHEUS» в июле 2024 года, были заблокированы сотни доменов и IP-адресов, использовавшихся для управления вредоносной инфраструктурой^[51].

По состоянию на конец октября 2025 года в Metasploit насчитывалось 2569 эксплойтов^[52][53]. Они предназначены для следующих платформ: AIX, Android, BSD, BSDi, Cisco, Firefox, FreeBSD, HP-UX, Irix, Java, JavaScript, Linux, mainframe, multi (несколько платформ), NetBSD, NetWare, NodeJS, OpenBSD, macOS, PHP, Python, R, Ruby, Solaris, Unix, Windows.

По состоянию на конец октября 2025 года в Metasploit насчитывалось 1680 полезных нагрузок (payloads). Среди них:

• Command shell — позволяет запускать сценарии сбора информации или произвольные команды на целевой машине.
• Meterpreter — интерактивная консоль для управления экраном, просмотра и передачи файлов через VNC.
• Динамические payloads — позволяют избегать антивирусной защиты за счёт генерации уникального кода.
• Статические payloads — статическая маршрутизация IP/портов между клиентом и хостом.

Metasploit Framework содержит сотни вспомогательных модулей для сканирования, фаззинга, сниффинга и других задач. К вспомогательным модулям относятся сканеры, административные и серверные модули.

Особую категорию составляют модули для фаззинга, предназначенные для поиска уязвимостей путём отправки некорректных или случайных данных с целью вызвать сбой в работе целевого программного обеспечения^[54]. Эти модули, как правило, сгруппированы по протоколам (например, FTP, SMB, HTTP) и находятся в директории `auxiliary/fuzzers`.

В период с 2010 по 2019 год развитие фаззинга в Metasploit было сосредоточено на создании простых фаззеров для сетевых сервисов. Эти инструменты представляли собой «тупые фаззеры» (dumb fuzzers), которые генерировали данные без анализа внутренней работы целевого приложения. Их основной задачей было обнаружение сбоя (например, отказа в обслуживании), после чего специалист мог вручную разработать эксплойт. Примером такого модуля является `http_form_field`, добавленный в ноябре 2010 года для фаззинга полей веб-форм и HTTP-заголовков. Несмотря на наличие средств для создания эксплойтов для файловых форматов, разработка фаззеров для них не была приоритетом^[55]. Ключевой особенностью фреймворка оставалась возможность быстрого создания собственных фаззинг-инструментов с помощью библиотеки `Rex::Text`^[56].

В период с 2020 по 2025 год разработчики не выпускали значимых встроенных инструментов для фаззинга, сосредоточив усилия на других аспектах фреймворка. Metasploit сохранил свою актуальность как платформа для фаззинга благодаря модульной архитектуре, которая позволяет специалистам по безопасности самостоятельно создавать модули для тестирования нестандартных приложений и протоколов^[56][57].

Metasploit Framework функционирует как открытый проект, который активно развивается компанией Rapid7 и сообществом с открытым исходным кодом. Проект принимает вклад от участников через pull-запросы на GitHub^[58]. Предложения рассматриваются сотрудниками Rapid7 и ведущими внешними разработчиками, а основная масса вкладов — это добавление новых модулей (эксплойтов, сканеров)^[59]. Для бесплатной версии официальная техническая поддержка не предоставляется, однако существует развитая система помощи от сообщества через несколько каналов: основной форум на GitHub Discussions, чат в Slack и система отслеживания ошибок GitHub Issues.

Основателем и главным архитектором проекта является Эйч Ди Мур (H. D. Moore). В 2004 году к нему присоединился Мэтт Миллер (Matt Miller), также известный как Skape, который внёс значительный вклад в развитие ядра фреймворка.

Список изначальных разработчиков:

• H. D. Moore (основатель и главный архитектор)
• Matt Miller (разработчик ядра, 2004—2008)
• Dean McNamee (Spoonm) (разработчик ядра, 2003—2008)