Metasploit Pro 4.22.8-2025091701 (Linux, Windows) - 专业渗透测试框架-阿里云开发者社区

Metasploit Pro 4.22.8-2025091701 (Linux, Windows) - 专业渗透测试框架

2025-09-27 618

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： Metasploit Pro 4.22.8-2025091701 (Linux, Windows) - 专业渗透测试框架

Metasploit Pro 4.22.8-2025091701 (Linux, Windows) - 专业渗透测试框架

Rapid7 Penetration testing, released Sep 17, 2025

请访问原文链接：https://sysin.org/blog/metasploit-pro-4/ 查看最新版。原创作品，转载请保留出处。

作者主页：sysin.org

sysin

世界上最广泛使用的渗透测试框架

知识就是力量，尤其是当它被分享时。作为开源社区和 Rapid7 之间的合作，Metasploit 帮助安全团队做的不仅仅是验证漏洞、管理安全评估和提高安全意识 (sysin)；它使防守队员能够始终领先比赛一步（或两步）。

Dashboard

版本比较

Open Source: Metasploit Framework

下载：Metasploit Framework 6.4.88 (macOS, Linux, Windows) - 开源渗透测试框架

Commercial Support: Metasploit Pro

All Features	Pro	Framework
- Collect
De-facto standard for penetration testing with more than 1,500 exploits	✅	✅
Import of network data scan	✅	✅
Network discovery	✅	❌
Basic exploitation	✅	❌
MetaModules for discrete tasks such as network segmentation testing	✅	❌
Integrations via Remote API	✅	❌
- Automate
Simple web interface	✅	❌
Smart Exploitation	✅	❌
Automated credentials brute forcing	✅	❌
Baseline penetration testing reports	✅	❌
Wizards for standard baseline audits	✅	❌
Task chains for automated custom workflows	✅	❌
Closed-Loop vulnerability validation to prioritize remediation	✅	❌
- Infiltrate
Basic command-line interface	❌	✅
Manual exploitation	❌	✅
Manual credentials brute forcing	❌	✅
Dynamic payloads to evade leading anti-virus solutions	✅	❌
Phishing awareness management and spear phishing	✅	❌
Choice of advance command-line (Pro Console) and web interface	✅	❌

新增功能

Metasploit Pro 最新发布

Metasploit Pro 版本 4.22.8-2025091701

📅 软件发布日期： 2025 年 9 月 17 日 | 📰 发布说明发布日期： 2025 年 9 月 18 日

🆕 新增模块内容（7）

#19903 - 新增一个定时脚本持久化模块。该模块会在支持该功能的系统（如 BSD 系统和 macOS）上创建一个定时脚本。
#20376 - 新增一个利用 CVE-2025-32463 的模块，这是 sudo 在 1.9.17p1 之前版本中的本地权限提升漏洞。此漏洞利用要求目标机器上存在 C 编译器。
#20397 - 新增一个模块，利用 Sawtooth Software Lighthouse Studio 的 ciwweb.pl Web 应用程序中的模板注入漏洞（9.16.14 之前版本）。应用程序未正确过滤调查模板中的用户输入，导致未认证攻击者可注入并执行任意 Perl 命令 (sysin)，命令将在 Web 服务器运行用户的上下文中执行。
#20455 - 新增深圳艾特米 M300 MT02 的漏洞利用模块，该远程代码执行漏洞可使攻击者以 root 用户身份执行命令和载荷。
[#20479] - 新增两个独立的漏洞利用模块，可在 Sitecore XP 10 至 10.4 版本中实现未认证 RCE。
- 两个模块均利用了服务账户中的硬编码密码绕过认证（CVE-2025-34509）。
- 其中一个模块进一步利用了认证后 Zip Slip 漏洞 (sysin)，获得 RCE（CVE-2025-34510）。
- 另一个模块利用了 SiteCore PowerShell Extension（7.0 之前版本）中的漏洞，该扩展常见但默认未安装。SPE 在 7.0 之前版本中存在无限制文件上传漏洞（CVE-2025-3451），攻击者可上传恶意 ASPX 文件并实现远程代码执行。
#20493 - 新增 XWiki 未认证远程代码执行漏洞利用模块 - CVE-2025-24893。

✨ 增强和新功能（7）

Pro：新增横幅提示功能，当有可用更新时会在 Pro 内显示。
#19653 - 修复凭据生成中的多个错误，并重构代码以提升可读性。
#20490 - 为 HTTP 模块新增 HTTP::Auth 选项，可定义特定认证机制，如 ntlm 或 kerberos。
#20495 - 更新 apt_package_manager 持久化模块，使其使用新的持久化混入（mixin）。
#20497 - 修改 autostart 持久化模块，使其使用新的持久化混入。
#20504 - 将 bash profile 漏洞利用模块移至持久化类别，利用了持久化模块的新功能（使用新的持久化混入）。
#20526 - 将 at_persistence 模块移至持久化类别，并扩展了持久化模块的新功能。

🐞 修复的缺陷（11）

Pro：修复了不支持 SSL 的扫描器在暴力破解时运行失败的问题。现在会检查扫描器是否支持 SSL 配置，如果不支持则输出“已跳过”的状态。
Pro：修复了用于转换字节字符串的 JavaScript 错误，该错误在某些情况下会导致加载界面无限卡住。
Pro：修复卸载 Metasploit Pro 时未清理服务的问题。该问题会阻止在同一主机上重新安装 Metasploit Pro。
#20500 - 修复了当用户提供的数据库连接 URL 包含查询参数时，msfconsole 出现的错误。
#20505 - 修复 sap_router_portscanner 模块中的 bug。
#20511 - 修复了 auxiliary/scanner/ssl/ssl_version 模块中的 SNI 功能 (sysin)，现在可扫描具有多个名称的主机。
#20514 - 修复 Meterpreter 会话启动时的回归问题，禁用了 unhook 扩展的自动加载，以避免在 Windows 11 24H2+ 系统上崩溃。
#20516 - 修复了在 NixOS 上 msfdb init 初始化失败的问题。
#20537 - 修复模块缓存中因文件系统路径未初始化而导致的错误。
#20541 - 修复近期在 smb_login 中引入的 NoMethodError，现在用户可再次正常运行 smb_login 扫描器。
#20542 - 修复 smb_login 扫描器在认证模式设置为 Kerberos 时的特殊情况。当尝试暴力破解密码已过期的账户时，之前所有尝试的密码（即使错误）都会被错误地返回为“成功”。现在，对于密码已过期的账户，smb_login 扫描器将对所有密码返回“不成功”，包括正确但过期的密码，因为当前没有任何密码能成功认证。