Framework de código abierto de Rapid7 para pruebas de penetración que reúne módulos auxiliares, exploits, payloads y post-explotación, útil para validar vulnerabilidades y detecciones en entornos autorizados.
Metasploit Framework es un framework de pruebas de penetración de código abierto mantenido por Rapid7, con el repositorio en GitHub (rapid7/metasploit-framework). Organiza su funcionalidad en módulos: auxiliary (recolección de información y tareas sin explotación), exploit (aprovechan una vulnerabilidad), payload (código que se ejecuta en el objetivo) y post (acciones posteriores al compromiso). Se maneja principalmente desde la consola msfconsole. La rama vigente es la 6.5, publicada el 30/07/2026 con 422 módulos nuevos desde la 6.4 y etiquetas MITRE ATT&CK en los módulos.
Para qué sirve
Validar en un laboratorio propio si una vulnerabilidad conocida es realmente explotable, por ejemplo contra Metasploitable2 o Metasploitable3, que recomienda la documentación oficial.
Hacer reconocimiento autorizado con módulos auxiliares, como el escáner de títulos HTTP, sin explotar nada.
Ejercicios purple team: buscar módulos por técnica MITRE ATT&CK, ejecutarlos en el laboratorio y comprobar si el SIEM o EDR los detecta.
Practicar para CTF y certificaciones en entornos preparados para eso.
Verificar en pentests con autorización por escrito que las mitigaciones aplicadas (parches, firma SMB/LDAP, etc.) realmente funcionan.
Instalación
Linux y macOS (script oficial de instaladores nocturnos) El script importa la clave de firma de Rapid7 y configura el paquete: Código: bash
Descargá https://windows.metasploit.com/metasploitframework-latest.msi y ejecutalo como Administrador. La documentación avisa que el antivirus va a detectar el contenido, porque los exploits se parecen a herramientas maliciosas reales, y pide excluir c:\metasploit-framework. Hacé esa exclusión solo en una VM dedicada al laboratorio, nunca en un equipo personal o corporativo.
Kali Linux
Ya viene instalado.
Actualización
Código: text
msfupdate
También podés actualizar con tu gestor de paquetes. Los instaladores ya incluyen Ruby y PostgreSQL.
Comandos frecuentes
1. Abrir la consola Código: bash
msfconsole
2. Buscar módulos con filtros (en la 6.4 la búsqueda también encuentra acciones, targets y alias) Código: text
msf > search type:auxiliary http html title tag
3. Seleccionar un módulo por nombre (o por índice con use 0) Código: text
msf > use auxiliary/scanner/http/title
4. Ver las opciones y la información completa del módulo
Código: bash
msf auxiliary(scanner/http/title) > show options
msf auxiliary(scanner/http/title) > info -d
5. Definir el objetivo de laboratorio y ejecutar (exploit es un alias de run) Código: text
msf auxiliary(scanner/http/title) > set RHOSTS 192.168.56.101
msf auxiliary(scanner/http/title) > run
6. Pasar las opciones en la misma línea (disponible desde Metasploit 6) Código: text
msf auxiliary(scanner/http/title) > run rhosts=192.168.56.101 httptrace=true
7. Buscar módulos por técnica MITRE ATT&CK (6.5), útil para purple team; la jerarquía se respeta Código: text
8. Ver las reglas de resolución DNS (6.4), que sirven para evitar fugas de DNS en el laboratorio Código: text
msf > dns print
9. Servidor MCP para asistentes de IA (6.5): escucha por defecto en localhost:3000 y deja apagadas las acciones peligrosas Código: text
msf > load mcp
msf > mcp status
10. Ejemplo oficial de laboratorio: módulo distcc_exec contra una VM Metasploitable2 propia Código: text
msf > use unix/misc/distcc_exec
msf exploit(unix/misc/distcc_exec) > set RHOSTS 192.168.56.102
msf exploit(unix/misc/distcc_exec) > show options
Buenas prácticas y uso legal
Legalidad: usalo solo en tu laboratorio, en CTF o con autorización por escrito del dueño de los sistemas. Explotar equipos de terceros sin permiso es delito.
Aislamiento: trabajá en una red de laboratorio (por ejemplo 192.168.56.0/24 host-only) con máquinas vulnerables a propósito, como Metasploitable2 o Metasploitable3. Hacé la exclusión del antivirus solo en una VM dedicada.
Servidor MCP: mantenelo en localhost, usá credenciales RPC fuertes y no actives --enable-dangerous-actions ni DangerousActions=true salvo que sea imprescindible en el laboratorio.
Detección de Meterpreter HTTP(S) con perfiles Malleable C2: las firmas por URI o User-Agent fijos pierden valor. Conviene buscar comportamiento: conexiones periódicas tipo beaconing, destinos inusuales y procesos inesperados que hacen HTTP.
Defensa contra relay NTLM: exigí firma SMB, firma LDAP con channel binding y EPA en los servicios HTTP con autenticación Windows, y reducí o deshabilitá NTLM. Monitoreá cambios en msDS-AllowedToActOnBehalfOfOtherIdentity (RBCD) y msDS-KeyCredentialLink (Shadow Credentials).
Detección de Fetch payloads: vigilá procesos web que lanzan curl|sh o wget y ejecuciones desde descriptores memfd. Con auditd o eBPF podés seguir los execve sobre /proc/*/fd o memfd:.
Defensa en capas: como los hashes de la API de bloques del shellcode de Windows ahora son aleatorios, las firmas estáticas no alcanzan. Combiná un IDS (Suricata/ET), Sysmon, telemetría de EDR y correlación por ATT&CK. Revisá también los eventos 7045/4697 (servicios nuevos) y las escrituras SMB a ADMIN$, y alertá sobre conexiones salientes al puerto 4444, aunque es fácil de cambiar.
Alternativas
Sliver: framework C2 de código abierto orientado a emulación de adversarios.
Impacket: colección de clases y scripts en Python para protocolos de Windows (SMB, Kerberos, NTLM).
Nuclei: escáner de vulnerabilidades basado en plantillas, útil para validar exposiciones conocidas.
Redactado con el asistente Underc0de IA a partir de fuentes públicas. Actualizado el 11/11/2026. ¿Ves un error? Contanos en el foro.
