Metasploit Framework es la plataforma open source más usada para pruebas de penetración y explotación. A noviembre de 2025 ofrece 6065 módulos (incluye 2566 exploits, 1316 auxiliares, 1680 payloads, 432 post, 49 encoders, 9 evasion y 13 NOP). Se instala en Windows, macOS y Linux y también vía Docker.
Tabla de Contenido
Si buscas una guía práctica y actualizada para descargar, instalar y comenzar a usar Metasploit, aquí tienes todo lo esencial en un solo lugar, con enlaces oficiales y pasos accionables.
¿Qué es Metasploit Framework y para qué sirve?
Metasploit Framework es un proyecto de código abierto orientado a la seguridad ofensiva. Permite descubrir, validar y explotar vulnerabilidades de forma controlada, así como generar firmas y realizar tareas de post-explotación. Su arquitectura modular acelera pruebas en múltiples protocolos, servicios y sistemas.
Metasploit se integra con bases de datos, automatiza rutinas de reconocimiento, soporta payloads avanzados como Meterpreter y facilita desde pruebas puntuales hasta ejercicios de red team.
“Metasploit concentra en un solo entorno el ciclo: reconocimiento → explotación → post-explotación, con miles de módulos mantenidos por la comunidad y Rapid7.”
| Concepto | Aplicación |
|---|---|
| Exploit | Ejecuta una técnica para aprovechar una vulnerabilidad específica |
| Auxiliary | Escaneo, fuzzing, fuerza bruta y utilidades sin explotar |
| Payload | Código que corre tras el exploit (por ej., Meterpreter) |
| Post | Acciones tras comprometer el sistema (recolección, persistencia) |
| Encoder / NOP / Evasion | Ofuscación, relleno y evasión defensiva |
Descarga oficial y métodos de instalación
Para evitar paquetes desactualizados, prioriza los instaladores y documentación oficiales. Estas rutas cubren sistemas de escritorio y servidores:
- Página de descarga de Metasploit
- Instaladores Nightly (Windows, macOS, Linux)
- Repositorio oficial en GitHub
- Imagen oficial en Docker Hub
Instalación en Windows (recomendada para empezar)
- Descarga el instalador nightly desde la documentación oficial.
- Ejecuta el paquete (incluye dependencias como Ruby, PostgreSQL y utilidades útiles).
- Abre msfconsole para iniciar la interfaz de línea de comandos.
Instalación en macOS
Tienes dos opciones cómodas:
- Instalador oficial: desde los nightly installers (rápido y con dependencias incluidas).
- Homebrew (cask): útil si ya gestionas herramientas con Brew.
Tras instalar, ejecuta msfconsole en la terminal para verificar.
Instalación en Linux
En distribuciones comunes puedes usar los instaladores oficiales o paquetes según la documentación. En entornos como Kali/Parrot suele venir integrado y actualizable por el gestor de paquetes. Para máxima compatibilidad, los instaladores nightly garantizan versiones recientes.
Ejecutar Metasploit en Docker
Si prefieres aislar dependencias, utiliza la imagen oficial de Docker. Es ideal para laboratorios efímeros, CI y entrenamientos. Publica los puertos necesarios y monta directorios de trabajo para persistir resultados.
Primeros pasos con msfconsole
Una vez dentro de msfconsole, la lógica de trabajo es directa y repetible:
- Actualizar módulos: msfupdate, si procede.
- Buscar: search por CVE, servicio o producto.
- Seleccionar módulo: use seguido del camino del módulo.
- Configurar opciones: show options, set RHOSTS, set RPORT, etc.
- Elegir payload: show payloads y set PAYLOAD (p.ej. Meterpreter).
- Ejecutar: run/exploit y observar resultados.
Consejo: combina módulos auxiliary para reconocimiento con exploits conocidos, limitando intentos y vértices de riesgo en entornos sensibles.
Módulos y capacidades (visión actual)
Hoy Metasploit cuenta con miles de módulos mantenidos activamente. Una parte clave es Meterpreter, un payload avanzado que opera en memoria, soporta múltiples transportes y facilita post-explotación (búsqueda de credenciales, pivoting, captura de evidencia y más). Además, los módulos de post automatizan tareas tras la intrusión y los auxiliary agilizan fuerza bruta, escaneo y verificación de superficie expuesta.
El ecosistema crece con contribuciones en GitHub: nuevas firmas, exploits, mejoras en estabilidad y módulos de reconocimiento para servicios emergentes. Por ello, revisar cambios frecuentes y las notas de versión es un hábito recomendable.
Metodología paso a paso
- Definir alcance: Documenta objetivos, activos y autorizaciones; evita afectar fuera del perímetro.
- Reconocimiento: Identifica servicios y versiones con módulos auxiliary y herramientas complementarias.
- Mapear vulnerabilidades: Cruza resultados con CVEs y módulos disponibles.
- Explotación controlada: Elige exploits seguros y limita impactos (intentos, tiempo, payload).
- Post-explotación: Recopila evidencias, mínima persistencia y limpia artefactos.
- Reporte: Registra hallazgos, severidades y remediaciones verificadas.
Buenas prácticas para uso responsable
- Opera solo con permiso explícito y en entornos definidos.
- Prefiere laboratorios y segmenta redes de prueba.
- Mantén Metasploit y dependencias actualizadas.
- Controla el número de hilos y tiempos para evitar denegaciones involuntarias.
- Apoya tus pruebas con evidencias reproducibles y recomendaciones de mitigación.
Recursos oficiales y útiles
- Documentación de Metasploit
- Guía oficial de instalación
- Listado de módulos en GitHub
- Resumen y conteo de módulos
Preguntas frecuentes
¿Cuántos módulos tiene Metasploit actualmente?
En noviembre de 2025, el catálogo muestra 6065 módulos, de los cuales 2566 son exploits, 1316 auxiliares, 1680 payloads, 432 de post-explotación, 49 encoders, 9 de evasión y 13 NOP. Revisa regularmente la documentación porque los conteos crecen.
¿Cómo instalo Metasploit en Windows/macOS/Linux?
Lo más simple es usar los nightly installers oficiales que incluyen dependencias. En macOS también puedes usar Homebrew (cask). En Linux, según la distro, tienes paquetes o el instalador oficial; en Kali suele venir preinstalado o actualizable.
¿Puedo usar Metasploit en contenedores?
Sí, existe una imagen oficial en Docker Hub. Es ideal para laboratorios rápidos y CI, y evita conflictos de dependencias locales.
¿Meterpreter es seguro para pruebas?
Es potente y flexible, pero como cualquier payload puede activar defensas. Ajusta el perfil de ejecución, limita el alcance, y documenta todo. Empléalo únicamente con autorización.
Conclusión
Puntos clave: Metasploit concentra reconocimiento, explotación y post-explotación con miles de módulos actualizados; ofrece instaladores oficiales para todos los SO y una imagen Docker; su adopción responsable acelera la validación de vulnerabilidades y la remediación. CTA: Descarga la versión más reciente desde la página oficial y monta un laboratorio controlado para practicar.
