Metasploit Pro 4.22.9-2026011901 (Linux, Windows) - 专业渗透测试框架

Rapid7 Penetration testing, released Jan 2026

请访问原文链接：https://sysin.org/blog/metasploit-pro-4/ 查看最新版。原创作品，转载请保留出处。

作者主页：sysin.org

世界上最广泛使用的渗透测试框架

知识就是力量，尤其是当它被分享时。作为开源社区和 Rapid7 之间的合作，Metasploit 帮助安全团队做的不仅仅是验证漏洞、管理安全评估和提高安全意识 (sysin)；它使防守队员能够始终领先比赛一步（或两步）。

Dashboard

版本比较

Open Source: Metasploit Framework

下载：Metasploit Framework 6.4.108 (macOS, Linux, Windows) - 开源渗透测试框架

Commercial Support: Metasploit Pro

All Features	Pro	Framework
- Collect
De-facto standard for penetration testing with more than 1,500 exploits	✅	✅
Import of network data scan	✅	✅
Network discovery	✅	❌
Basic exploitation	✅	❌
MetaModules for discrete tasks such as network segmentation testing	✅	❌
Integrations via Remote API	✅	❌
- Automate
Simple web interface	✅	❌
Smart Exploitation	✅	❌
Automated credentials brute forcing	✅	❌
Baseline penetration testing reports	✅	❌
Wizards for standard baseline audits	✅	❌
Task chains for automated custom workflows	✅	❌
Closed-Loop vulnerability validation to prioritize remediation	✅	❌
- Infiltrate
Basic command-line interface	❌	✅
Manual exploitation	❌	✅
Manual credentials brute forcing	❌	✅
Dynamic payloads to evade leading anti-virus solutions	✅	❌
Phishing awareness management and spear phishing	✅	❌
Choice of advance command-line (Pro Console) and web interface	✅	❌

新增功能

Metasploit Pro 最新发布

Metasploit Pro 版本 4.22.9-2026011901

📅 软件发布日期：2026 年 1 月 20 日｜ 📰 发行说明发布时间：2026 年 1 月 20 日

✨ 新增模块内容（New module content）

#20472 - 新增针对 BadSuccessor 的漏洞利用模块。该漏洞允许对某个 OU 具有权限的用户以特定方式创建 dMSA 帐户，从而为任意用户签发 Kerberos 票据。
#20692 - 新增一个利用 Python 启动机制的持久化模块。在 Python 解释器初始化过程中，某些文件会被自动处理，其中包括启动钩子（site-specific 和 dist-packages）。如果这些文件存在于相应目录中，所有以 import 开头的行都会被自动执行。当攻击者已获得足够权限的目标系统访问权时，该机制可用于实现持久化。
#20700 - 新增一个针对 Taiga.io 已认证反序列化漏洞（CVE-2025-62368）的模块 (sysin)。该模块向暴露的 API 发送恶意数据，触发不安全的反序列化，从而实现远程代码执行。
#20706 - 更新 Windows WMI 持久化机制，采用 Metasploit Framework 中新的管理方式。原 Windows WMI 模块被拆分为四个模块，每个模块代表一种独立的技术。
#20713 - 新增一个辅助模块，利用影响 N-able N-Central 的两个 CVE：CVE-2025-9316（未认证会话绕过）和 CVE-2025-11700（XXE 漏洞）。该模块结合这两个漏洞，在受影响的 N-Central 实例（版本 < 2025.4.0.9）上实现未认证的文件读取。
#20733 - 为 Linux RISC-V 目标新增 bind shell payload。
#20734 - 扩展对 RISC-V 目标的 fetch payload 支持。
#20749 - 新增针对 Grav CMS（1.8.0-beta.27 之前版本）中服务器端模板注入（SSTI）漏洞（CVE-2025-66294）的漏洞利用模块，可绕过 Twig 沙箱实现远程代码执行。为将恶意 payload 注入表单的 process 部分，该模块还利用了 /admin/pages/{page_name} 端点中的访问控制缺陷（CVE-2025-66301）。
#20754 - 新增一种 Windows 持久化技术，通过为当前用户注册辅助功能 (sysin)，并配置其在登录或桌面切换时自动启动。
#20761 - 新增针对 CVE-2025-13486 的漏洞利用模块。该漏洞是 Advanced Custom Fields: Extended WordPress 插件（版本 0.9.0.5 至 0.9.1.1）中的未认证远程代码执行漏洞。
#20767 - 新增一个 GeoServer WMS 辅助模块，可从目标系统读取远程文件。
#20791 - 新增针对 Web-Check 截图 API 端点中命令注入漏洞（CVE-2025-32778）的漏洞利用模块。该漏洞允许通过 /api/screenshot 端点中的 URL 查询参数注入 shell 命令，从而实现未认证的远程代码执行。
#20792 - 新增针对 HPE OneView 的未认证远程代码执行漏洞（CVE-2025-37164）的漏洞利用模块。在未安装厂商提供的热修复补丁时，所有低于 11.00 的版本均受影响。某些 VM 产品版本未启用易受攻击的 ID Pools 端点，因此不可被利用。
#20793 - 新增针对 AVideo（原 YouPHPTube）中未认证远程代码执行漏洞（CVE-2025-34433）的漏洞利用模块，影响版本 14.3.1 至 20.0。
#20796 - 将 udev 持久化模块移动至 persistence 分类，并引入 persistence mixin。
#20806 - 新增 Control Web Panel 漏洞模块（CVE-2025-67888）。该漏洞为通过暴露的 API 进行的未认证操作系统命令注入 (sysin)，模块要求系统已安装 Softaculous。
#20810 - 新增针对 n8n 的模块（CVE-2025-68613）。该漏洞是工作流表达式评估引擎中的已认证远程代码执行缺陷。 - 该模块需要有效凭据，用于创建恶意工作流，通过 JavaScript payload 执行系统命令。
#20811 - 新增针对 Prison Management System 1.0 的模块（CVE-2024-48594）。模块需要管理员凭据，并利用无限制文件上传漏洞上传 Web Shell。
#20833 - 新增一个辅助扫描模块，利用 MongoBleed（CVE-2025-14847）从运行中的 NoSQL 数据库实例中转储内存。
#20845 - 新增 Linux ARM 32 位和 64 位小端序的 chmod payload。

🚀 增强与特性（Enhancements and features）

Pro：在单模块运行页面中，新增多项改进，以更好地支持针对远程目标的 React2Shell 利用。
Pro：更新漏洞尝试表，增加有关漏洞利用成功或失败原因的更多信息。
Pro：更新 Metasploit Pro 的 SSL Cipher 配置，以符合更新的安全规范和最佳实践。
#20706 - 更新 Windows WMI 持久化管理方式，将模块拆分为四个按技术区分的模块。
#20751 - 更新 Windows Sticky Keys 后持久化模块，改用新的 persistence mixin。
#20755 - 为 Kerberos 认证模块新增高级数据存储选项 KrbClockSkew，允许操作人员调整 Kerberos 时钟以缓解时钟偏移错误。
#20771 - 更新 Metasploit 默认 payload 选择逻辑，优先选择 x86 payload，而非 AARCH64 payload。
#20773 - 更新 React2Shell 漏洞利用模块，改进默认 payload。
#20785 - 为现有 React2Shell 模块新增 Waku 框架支持。Waku 是一个与 Node.js 略有不同的精简 React 框架 (sysin)。该模块在保持对 Next.js 目标向后兼容的同时，通过模块化配置系统新增了对 Waku 的支持。
#20786 - 更新模块代码，将目标 Arch 与 Platform 合并到模块顶层元数据中，消除了 500 多个模块中的重复定义。
#20796 - 将 udev 持久化模块移动至 persistence 分类，并引入 persistence mixin。
#20800 - 更新 AutoCheck mixin，确保在自动检查过程中识别出的漏洞能够被正确记录到数据库中。
#20851 - 为以下架构新增寄存器常量：aarch64、amd64、arm、loongarch64、mips32、mips64、ppc32、ppc64、riscv32、riscv64、zarch。
#20853 - 更新 Windows Meterpreter，在 Windows 10+ x86 上支持新的 PoolParty 注入技术 (sysin)，并修复 PHP Meterpreter 中 UDP 网络支持的一个缺陷。
#20855 - 为持久化模块新增更多 ATT&CK 参考映射。
#20861 - 对后渗透模块中的主机名解析逻辑进行了多项改进。

🐞 缺陷修复（Bugs fixed）

#20744 - 修复 unix/webapp/wp_reflexgallery_file_upload 模块中的一个问题：请求中硬编码了当前年份和月份，当对应上传目录不存在时会导致服务器拒绝漏洞利用。现在年份和月份已作为可配置的数据存储选项。
#20772 - 修复一个问题：由于记录会话网络信息到数据库的逻辑存在缺陷，导致会话无法正常建立。
#20781 - 移除 Linux 平台下不可用的 PPC Meterpreter payload。这些 payload 已长期无法正常工作，且不再计划继续支持。