Metasploit Pro 4.22.8-2025091701 (Linux, Windows) - 专业渗透测试框架
Rapid7 Penetration testing, released Sep 17, 2025
请访问原文链接：https://sysin.org/blog/metasploit-pro-4/ 查看最新版。原创作品，转载请保留出处。
作者主页：sysin.org
世界上最广泛使用的渗透测试框架
知识就是力量，尤其是当它被分享时。作为开源社区和 Rapid7 之间的合作，Metasploit 帮助安全团队做的不仅仅是验证漏洞、管理安全评估和提高安全意识 (sysin)；它使防守队员能够始终领先比赛一步（或两步）。
版本比较
Open Source: Metasploit Framework
下载：Metasploit Framework 6.4.88 (macOS, Linux, Windows) - 开源渗透测试框架
Commercial Support: Metasploit Pro
| All Features | Pro | Framework |
|---|---|---|
| - Collect | ||
| De-facto standard for penetration testing with more than 1,500 exploits | ✅ | ✅ |
| Import of network data scan | ✅ | ✅ |
| Network discovery | ✅ | ❌ |
| Basic exploitation | ✅ | ❌ |
| MetaModules for discrete tasks such as network segmentation testing | ✅ | ❌ |
| Integrations via Remote API | ✅ | ❌ |
| - Automate | ||
| Simple web interface | ✅ | ❌ |
| Smart Exploitation | ✅ | ❌ |
| Automated credentials brute forcing | ✅ | ❌ |
| Baseline penetration testing reports | ✅ | ❌ |
| Wizards for standard baseline audits | ✅ | ❌ |
| Task chains for automated custom workflows | ✅ | ❌ |
| Closed-Loop vulnerability validation to prioritize remediation | ✅ | ❌ |
| - Infiltrate | ||
| Basic command-line interface | ❌ | ✅ |
| Manual exploitation | ❌ | ✅ |
| Manual credentials brute forcing | ❌ | ✅ |
| Dynamic payloads to evade leading anti-virus solutions | ✅ | ❌ |
| Phishing awareness management and spear phishing | ✅ | ❌ |
| Choice of advance command-line (Pro Console) and web interface | ✅ | ❌ |
新增功能
Metasploit Pro 最新发布
Metasploit Pro 版本 4.22.8-2025091701
📅 软件发布日期： 2025 年 9 月 17 日 | 📰 发布说明发布日期： 2025 年 9 月 18 日
🆕 新增模块内容（7）
#19903 - 新增一个定时脚本持久化模块。该模块会在支持该功能的系统（如 BSD 系统和 macOS）上创建一个定时脚本。
#20376 - 新增一个利用 CVE-2025-32463 的模块，这是 sudo 在 1.9.17p1 之前版本中的本地权限提升漏洞。此漏洞利用要求目标机器上存在 C 编译器。
#20397 - 新增一个模块，利用 Sawtooth Software Lighthouse Studio 的 ciwweb.pl Web 应用程序中的模板注入漏洞（9.16.14 之前版本）。应用程序未正确过滤调查模板中的用户输入，导致未认证攻击者可注入并执行任意 Perl 命令 (sysin)，命令将在 Web 服务器运行用户的上下文中执行。
#20455 - 新增深圳艾特米 M300 MT02 的漏洞利用模块，该远程代码执行漏洞可使攻击者以 root 用户身份执行命令和载荷。
[#20479] - 新增两个独立的漏洞利用模块，可在 Sitecore XP 10 至 10.4 版本中实现未认证 RCE。
- 两个模块均利用了服务账户中的硬编码密码绕过认证（CVE-2025-34509）。
- 其中一个模块进一步利用了认证后 Zip Slip 漏洞 (sysin)，获得 RCE（CVE-2025-34510）。
- 另一个模块利用了 SiteCore PowerShell Extension（7.0 之前版本）中的漏洞，该扩展常见但默认未安装。SPE 在 7.0 之前版本中存在无限制文件上传漏洞（CVE-2025-3451），攻击者可上传恶意 ASPX 文件并实现远程代码执行。
#20493 - 新增 XWiki 未认证远程代码执行漏洞利用模块 - CVE-2025-24893。
✨ 增强和新功能（7）
- Pro：新增横幅提示功能，当有可用更新时会在 Pro 内显示。
- #19653 - 修复凭据生成中的多个错误，并重构代码以提升可读性。
- #20490 - 为 HTTP 模块新增
HTTP::Auth选项，可定义特定认证机制，如ntlm或kerberos。 - #20495 - 更新
apt_package_manager持久化模块，使其使用新的持久化混入（mixin）。 - #20497 - 修改
autostart持久化模块，使其使用新的持久化混入。 - #20504 - 将 bash profile 漏洞利用模块移至持久化类别，利用了持久化模块的新功能（使用新的持久化混入）。
- #20526 - 将
at_persistence模块移至持久化类别，并扩展了持久化模块的新功能。
🐞 修复的缺陷（11）
- Pro：修复了不支持 SSL 的扫描器在暴力破解时运行失败的问题。现在会检查扫描器是否支持 SSL 配置，如果不支持则输出“已跳过”的状态。
- Pro：修复了用于转换字节字符串的 JavaScript 错误，该错误在某些情况下会导致加载界面无限卡住。
- Pro：修复卸载 Metasploit Pro 时未清理服务的问题。该问题会阻止在同一主机上重新安装 Metasploit Pro。
- #20500 - 修复了当用户提供的数据库连接 URL 包含查询参数时，
msfconsole出现的错误。 - #20505 - 修复
sap_router_portscanner模块中的 bug。 - #20511 - 修复了
auxiliary/scanner/ssl/ssl_version模块中的 SNI 功能 (sysin)，现在可扫描具有多个名称的主机。 - #20514 - 修复 Meterpreter 会话启动时的回归问题，禁用了
unhook扩展的自动加载，以避免在 Windows 11 24H2+ 系统上崩溃。 - #20516 - 修复了在 NixOS 上
msfdb init初始化失败的问题。 - #20537 - 修复模块缓存中因文件系统路径未初始化而导致的错误。
- #20541 - 修复近期在
smb_login中引入的 NoMethodError，现在用户可再次正常运行smb_login扫描器。 - #20542 - 修复
smb_login扫描器在认证模式设置为 Kerberos 时的特殊情况。当尝试暴力破解密码已过期的账户时，之前所有尝试的密码（即使错误）都会被错误地返回为“成功”。现在，对于密码已过期的账户，smb_login扫描器将对所有密码返回“不成功”，包括正确但过期的密码，因为当前没有任何密码能成功认证。
下载地址
仅显示最新版，历史版本已存档，不定期清理。
Metasploit Pro 4.22.8-2025091701 for Linux x64, Sep 17, 2025
Metasploit Pro 4.22.8-2025091701 for Windows x64, Sep 17, 2025
相关产品：Nexpose 8.22.0 for Linux & Windows - 漏洞扫描
更多：HTTP 协议与安全
