Metasploit Pro 4.22.9-2026011901 (Linux, Windows) - 专业渗透测试框架
Rapid7 Penetration testing, released Jan 2026
请访问原文链接：https://sysin.org/blog/metasploit-pro-4/ 查看最新版。原创作品，转载请保留出处。
作者主页：sysin.org
世界上最广泛使用的渗透测试框架
知识就是力量，尤其是当它被分享时。作为开源社区和 Rapid7 之间的合作，Metasploit 帮助安全团队做的不仅仅是验证漏洞、管理安全评估和提高安全意识 (sysin)；它使防守队员能够始终领先比赛一步（或两步）。
版本比较
Open Source: Metasploit Framework
下载：Metasploit Framework 6.4.108 (macOS, Linux, Windows) - 开源渗透测试框架
Commercial Support: Metasploit Pro
| All Features | Pro | Framework |
|---|---|---|
| - Collect | ||
| De-facto standard for penetration testing with more than 1,500 exploits | ✅ | ✅ |
| Import of network data scan | ✅ | ✅ |
| Network discovery | ✅ | ❌ |
| Basic exploitation | ✅ | ❌ |
| MetaModules for discrete tasks such as network segmentation testing | ✅ | ❌ |
| Integrations via Remote API | ✅ | ❌ |
| - Automate | ||
| Simple web interface | ✅ | ❌ |
| Smart Exploitation | ✅ | ❌ |
| Automated credentials brute forcing | ✅ | ❌ |
| Baseline penetration testing reports | ✅ | ❌ |
| Wizards for standard baseline audits | ✅ | ❌ |
| Task chains for automated custom workflows | ✅ | ❌ |
| Closed-Loop vulnerability validation to prioritize remediation | ✅ | ❌ |
| - Infiltrate | ||
| Basic command-line interface | ❌ | ✅ |
| Manual exploitation | ❌ | ✅ |
| Manual credentials brute forcing | ❌ | ✅ |
| Dynamic payloads to evade leading anti-virus solutions | ✅ | ❌ |
| Phishing awareness management and spear phishing | ✅ | ❌ |
| Choice of advance command-line (Pro Console) and web interface | ✅ | ❌ |
新增功能
Metasploit Pro 最新发布
Metasploit Pro 版本 4.22.9-2026011901
📅 软件发布日期：2026 年 1 月 20 日 ｜ 📰 发行说明发布时间：2026 年 1 月 20 日
✨ 新增模块内容（New module content）
- #20472 - 新增针对 BadSuccessor 的漏洞利用模块。该漏洞允许对某个 OU 具有权限的用户以特定方式创建 dMSA 帐户，从而为任意用户签发 Kerberos 票据。
- #20692 - 新增一个利用 Python 启动机制的持久化模块。在 Python 解释器初始化过程中，某些文件会被自动处理，其中包括启动钩子（site-specific 和 dist-packages）。如果这些文件存在于相应目录中，所有以
import开头的行都会被自动执行。当攻击者已获得足够权限的目标系统访问权时，该机制可用于实现持久化。 - #20700 - 新增一个针对 Taiga.io 已认证反序列化漏洞（CVE-2025-62368）的模块 (sysin)。该模块向暴露的 API 发送恶意数据，触发不安全的反序列化，从而实现远程代码执行。
- #20706 - 更新 Windows WMI 持久化机制，采用 Metasploit Framework 中新的管理方式。原 Windows WMI 模块被拆分为四个模块，每个模块代表一种独立的技术。
- #20713 - 新增一个辅助模块，利用影响 N-able N-Central 的两个 CVE：CVE-2025-9316（未认证会话绕过）和 CVE-2025-11700（XXE 漏洞）。该模块结合这两个漏洞，在受影响的 N-Central 实例（版本 < 2025.4.0.9）上实现未认证的文件读取。
- #20733 - 为 Linux RISC-V 目标新增 bind shell payload。
- #20734 - 扩展对 RISC-V 目标的 fetch payload 支持。
- #20749 - 新增针对 Grav CMS（1.8.0-beta.27 之前版本）中服务器端模板注入（SSTI）漏洞（CVE-2025-66294）的漏洞利用模块，可绕过 Twig 沙箱实现远程代码执行。为将恶意 payload 注入表单的 process 部分，该模块还利用了
/admin/pages/{page_name}端点中的访问控制缺陷（CVE-2025-66301）。 - #20754 - 新增一种 Windows 持久化技术，通过为当前用户注册辅助功能 (sysin)，并配置其在登录或桌面切换时自动启动。
- #20761 - 新增针对 CVE-2025-13486 的漏洞利用模块。该漏洞是 Advanced Custom Fields: Extended WordPress 插件（版本 0.9.0.5 至 0.9.1.1）中的未认证远程代码执行漏洞。
- #20767 - 新增一个 GeoServer WMS 辅助模块，可从目标系统读取远程文件。
- #20791 - 新增针对 Web-Check 截图 API 端点中命令注入漏洞（CVE-2025-32778）的漏洞利用模块。该漏洞允许通过
/api/screenshot端点中的 URL 查询参数注入 shell 命令，从而实现未认证的远程代码执行。 - #20792 - 新增针对 HPE OneView 的未认证远程代码执行漏洞（CVE-2025-37164）的漏洞利用模块。在未安装厂商提供的热修复补丁时，所有低于 11.00 的版本均受影响。某些 VM 产品版本未启用易受攻击的
ID Pools端点，因此不可被利用。 - #20793 - 新增针对 AVideo（原 YouPHPTube）中未认证远程代码执行漏洞（CVE-2025-34433）的漏洞利用模块，影响版本 14.3.1 至 20.0。
- #20796 - 将 udev 持久化模块移动至 persistence 分类，并引入 persistence mixin。
- #20806 - 新增 Control Web Panel 漏洞模块（CVE-2025-67888）。该漏洞为通过暴露的 API 进行的未认证操作系统命令注入 (sysin)，模块要求系统已安装 Softaculous。
- #20810 - 新增针对 n8n 的模块（CVE-2025-68613）。该漏洞是工作流表达式评估引擎中的已认证远程代码执行缺陷。 - 该模块需要有效凭据，用于创建恶意工作流，通过 JavaScript payload 执行系统命令。
- #20811 - 新增针对 Prison Management System 1.0 的模块（CVE-2024-48594）。模块需要管理员凭据，并利用无限制文件上传漏洞上传 Web Shell。
- #20833 - 新增一个辅助扫描模块，利用 MongoBleed（CVE-2025-14847）从运行中的 NoSQL 数据库实例中转储内存。
- #20845 - 新增 Linux ARM 32 位和 64 位小端序的
chmodpayload。
🚀 增强与特性（Enhancements and features）
- Pro：在单模块运行页面中，新增多项改进，以更好地支持针对远程目标的 React2Shell 利用。
- Pro：更新漏洞尝试表，增加有关漏洞利用成功或失败原因的更多信息。
- Pro：更新 Metasploit Pro 的 SSL Cipher 配置，以符合更新的安全规范和最佳实践。
- #20706 - 更新 Windows WMI 持久化管理方式，将模块拆分为四个按技术区分的模块。
- #20751 - 更新 Windows Sticky Keys 后持久化模块，改用新的 persistence mixin。
- #20755 - 为 Kerberos 认证模块新增高级数据存储选项
KrbClockSkew，允许操作人员调整 Kerberos 时钟以缓解时钟偏移错误。 - #20771 - 更新 Metasploit 默认 payload 选择逻辑，优先选择 x86 payload，而非 AARCH64 payload。
- #20773 - 更新 React2Shell 漏洞利用模块，改进默认 payload。
- #20785 - 为现有 React2Shell 模块新增 Waku 框架支持。Waku 是一个与 Node.js 略有不同的精简 React 框架 (sysin)。该模块在保持对 Next.js 目标向后兼容的同时，通过模块化配置系统新增了对 Waku 的支持。
- #20786 - 更新模块代码，将目标
Arch与Platform合并到模块顶层元数据中，消除了 500 多个模块中的重复定义。 - #20796 - 将 udev 持久化模块移动至 persistence 分类，并引入 persistence mixin。
- #20800 - 更新 AutoCheck mixin，确保在自动检查过程中识别出的漏洞能够被正确记录到数据库中。
- #20851 - 为以下架构新增寄存器常量：aarch64、amd64、arm、loongarch64、mips32、mips64、ppc32、ppc64、riscv32、riscv64、zarch。
- #20853 - 更新 Windows Meterpreter，在 Windows 10+ x86 上支持新的 PoolParty 注入技术 (sysin)，并修复 PHP Meterpreter 中 UDP 网络支持的一个缺陷。
- #20855 - 为持久化模块新增更多 ATT&CK 参考映射。
- #20861 - 对后渗透模块中的主机名解析逻辑进行了多项改进。
🐞 缺陷修复（Bugs fixed）
- #20744 - 修复
unix/webapp/wp_reflexgallery_file_upload模块中的一个问题：请求中硬编码了当前年份和月份，当对应上传目录不存在时会导致服务器拒绝漏洞利用。现在年份和月份已作为可配置的数据存储选项。 - #20772 - 修复一个问题：由于记录会话网络信息到数据库的逻辑存在缺陷，导致会话无法正常建立。
- #20781 - 移除 Linux 平台下不可用的 PPC Meterpreter payload。这些 payload 已长期无法正常工作，且不再计划继续支持。
下载地址
Metasploit Pro 4.22 for Linux x64
Metasploit Pro 4.22 for Windows x64
相关产品：Nexpose 8.34.0 for Linux & Windows - 漏洞扫描
更多：HTTP 协议与安全
