Metasploit Framework

En el mundo de la seguridad ofensiva hay un nombre que aparece en casi cualquier formación y en casi cualquier equipo de pentesting: Metasploit. Es el framework más usado del planeta para explotar vulnerabilidades, validar exposiciones en auditorías y entrenar en entornos controlados. Nació en 2003 de la mano de H.D. Moore como un proyecto comunitario y desde 2009 lo desarrolla Rapid7, que mantiene la edición de código abierto junto a su versión comercial Metasploit Pro.

Qué es y qué problema resuelve

Auditar la seguridad de un sistema no consiste solo en listar vulnerabilidades: hay que comprobar si son realmente explotables y qué impacto tendría una intrusión. Ese es exactamente el hueco que cubre Metasploit. El framework recoge exploits publicados y validados para cientos de vulnerabilidades conocidas, los empaqueta con payloads y herramientas de post-explotación, y ofrece un entorno unificado para lanzarlos, gestionar las sesiones obtenidas y pivotar hacia otras máquinas de la red.

Su valor práctico es doble. Para los profesionales, agiliza el trabajo: en lugar de buscar un exploit por internet, adaptarlo y compilarlo a mano, se selecciona un módulo, se configuran las opciones y se ejecuta. Para estudiantes y quienes se inician en ciberseguridad, es la forma estándar de entender cómo funciona un ataque real, paso a paso y con total control. Para que quede claro: su uso legítimo se limita a sistemas propios o con autorización expresa por escrito; usarlo contra terceros sin permiso es un delito en prácticamente cualquier jurisdicción.

Características principales

El núcleo del framework se organiza en torno a msfconsole, una interfaz de comandos desde la que se gestiona todo:

Módulos de exploit: implementaciones probadas de vulnerabilidades conocidas, con opciones configurables y soporte para múltiples plataformas y servicios.
Payloads: cargas útiles que se ejecutan tras una explotación con éxito, desde shells inversas simples hasta sesiones completas de Meterpreter.
Meterpreter: el payload estrella del proyecto; ofrece una shell avanzada con funciones de post-explotación: listar procesos, subir y descargar archivos, capturar teclas, tomar capturas de pantalla o pivotar por la red sin dejar ejecutables en disco.
Módulos auxiliares: escáneres, fuzzers, sniffers y herramientas de enumeración que no explotan nada pero recopilan información clave.
Post-explotación: módulos para escalar privilegios, recopilar credenciales, extraer información del sistema comprometido y moverse lateralmente.
msfvenom: generador independiente de payloads personalizados, capaz de crear ejecutables, scripts o shellcode para multitud de plataformas y con opciones de ofuscación.
Base de datos integrada: al conectar Metasploit con PostgreSQL, los hosts, servicios, vulnerabilidades y credenciales descubiertos se guardan y se consultan sin salir de la consola.
Evolución continua: incorporación de exploits para vulnerabilidades críticas publicadas, muchas veces en días desde su divulgación, gracias a una comunidad activa de contribuidores.

Cómo usarlo

La vía más habitual en formación y laboratorios es Kali Linux, donde el framework viene preinstalado y listo. En otros sistemas se instala desde el repositorio oficial de Rapid7 o mediante el gestor de paquetes de la distribución. El flujo básico de un ejercicio típico en un laboratorio es:

Arranca el servicio de base de datos y abre la consola con msfconsole.
Busca el módulo adecuado con search según servicio, puerto o CVE.
Selecciónalo con use, revisa las opciones con show options y configura RHOSTS (objetivo), LHOST (tu máquina) y el payload con set.
Lanza el módulo con exploit y, si funciona, gestiona la sesión resultante con sessions.
Desde Meterpreter, ejecuta los módulos de post-explotación necesarios para documentar el impacto.

Todo lo anterior solo contra máquinas de tu propio laboratorio o con autorización formal: entornos como Metasploitable, Hack The Box o TryHackMe existen precisamente para practicar sin riesgo legal.

Descarga e información práctica

Desarrollador: Rapid7 (proyecto creado originalmente por H.D. Moore; desde 2009 bajo el paraguas de Rapid7).
Estado del proyecto: activo y muy vivo. Versiones nuevas cada pocas semanas; descarga siempre la última desde el repositorio oficial.
Licencia: BSD-3-Clause, de código abierto. La edición Framework es gratuita; existe además Metasploit Pro, de pago, con interfaz web y funciones orientadas a empresas.
Sistemas operativos: Linux (la plataforma recomendada, incluida por defecto en Kali Linux y otras distribuciones de seguridad), macOS y Windows. Requiere Ruby y, para la base de datos, PostgreSQL. El hardware mínimo razonable son 4 GB de RAM.
Repositorio oficial: Metasploit Framework en GitHub.
Documentación: documentación oficial de Metasploit.
Descarga de la versión comercial: Metasploit Pro en Rapid7.
Instalación recomendada: si no usas Kali Linux u otra distro de seguridad, la forma oficial es clonar el repositorio o descargar los instaladores nightlies desde el propio GitHub.

Limitaciones y puntos a tener en cuenta

El límite más importante es conceptual: Metasploit explota vulnerabilidades ya conocidas y documentadas. Frente a un sistema completamente parcheado o a un entorno con protecciones modernas bien configuradas, la mayoría de módulos no servirán. Su valor real está en validar exposiciones concretas, no en "romper" sistemas arbitrarios como sugieren las películas.

Otras consideraciones prácticas:

Los exploits publicados pueden fallar por versiones ligeramente distintas del servicio, configuraciones personalizadas o protecciones como antivirus y EDR, que detectan muchos payloads por defecto.
La curva inicial no es trivial: dominar msfconsole, las opciones de cada módulo y el manejo de sesiones requiere práctica y un conocimiento previo de redes y sistemas.
Al ser herramienta conocidísima, sus firmas son de las primeras que vigilan los sistemas de detección; un uso indiscriminado en auditorías suele quedar registrado.
Metasploit Pro añade comodidad para equipos, pero su precio es un salto importante respecto al framework gratuito.

Alternativas

Metasploit no es la única herramienta del arsenal, y en muchos trabajos se combina con otras:

Nmap: el escáner de redes por excelencia; Metasploit asume que la fase de descubrimiento ya la hiciste, normalmente con Nmap.
sqlmap: automatización de pruebas de inyección SQL, especializada donde Metasploit solo toca de refilón.
Burp Suite: referencia en pruebas de aplicaciones web, con edición gratuita y profesional de pago.
Cobalt Strike: la opción comercial estándar en simulaciones de adversarios y red teams avanzados.
Havoc: El framework C2 moderno y maleable que combina una UI elegante con técnicas avanzadas de evasión.
Empire (PowerShell Empire): framework de post-explotación orientado a entornos Windows.

Preguntas frecuentes

¿Metasploit es gratis?

Sí. El Metasploit Framework es de código abierto y gratuito bajo licencia BSD-3-Clause. Rapid7 vende Metasploit Pro, una versión comercial con interfaz web, informes y funciones de colaboración para equipos empresariales.

¿En qué sistemas funciona?

En Linux (donde rinde mejor y viene integrado en Kali Linux), macOS y Windows. Necesita Ruby y, para aprovechar la base de datos, PostgreSQL.

¿Sigo necesitando saber programar para usarlo?

No para empezar: la consola permite lanzar exploits y gestionar sesiones sin escribir código. Pero para trabajos serios —adaptar exploits, crear payloads personalizados, evadir defensas— saber Ruby y algo de lenguajes de sistemas marca una diferencia enorme.

¿Qué diferencia hay entre Meterpreter y una shell normal?

Meterpreter es un payload avanzado que se ejecuta en memoria, sin escribir nada en disco, y ofrece un conjunto de comandos de post-explotación: gestión de procesos, captura de teclado, transferencia de archivos, pivotado de red y mucho más. Una shell convencional es simplemente un intérprete de comandos del sistema operativo.