一、先搞懂Metasploit到底是干啥的
很多刚接触网络安全的朋友，一听到“Metasploit”这个词就发懵，觉得是只有黑客才会用的神秘工具，其实完全不是。它本质上就是一个“漏洞检测与利用的工具集合”，就像你修家电用的工具箱，里面有螺丝刀、万用表、电烙铁，专门用来排查家电故障、甚至修复小问题。
咱们做Web开发的，最怕的就是自己写的网站有漏洞——比如用户能随便拿到管理员权限、能偷到别人的密码、甚至能把整个网站搞瘫痪。Metasploit就是专门帮我们提前发现这些问题的，而且它的操作逻辑很简单，哪怕你是刚学完HTML+CSS的新手，只要跟着步骤来，也能上手。
二、用Metasploit测Web漏洞的前置准备
在开始检测之前，得先搭好环境，不然工具跑不起来。这里咱们用最常用的Kali Linux系统，因为Kali已经预装了Metasploit，不用自己折腾安装，省得麻烦。
2.1 先搭测试环境（必须！不能测别人的网站）
重点提醒：测漏洞绝对不能碰别人的网站，不然会违法！咱们得自己搭一个有漏洞的测试网站，这里选OWASP的DVWA（Damn Vulnerable Web Application），它是专门给人练手的漏洞网站，里面故意留了很多常见漏洞，安全又合法。
具体步骤很简单：
- 先在Kali里安装Docker（Docker是用来快速搭测试环境的工具，就像一个虚拟的小电脑，能一键装软件）：
# 更新系统软件包，保证后面安装不报错
apt update && apt upgrade -y
# 安装Docker，-y表示所有提示都选是，不用手动确认
apt install docker.io -y
# 启动Docker服务，让它正常运行
systemctl start docker
# 把Docker设为开机自启，下次不用再手动开
systemctl enable docker
- 然后用Docker一键拉取并运行DVWA：
# 拉取DVWA的镜像（相当于下载DVWA的安装包）
docker pull vulnerables/web-dvwa
# 运行DVWA容器，把容器的80端口映射到本机的8080端口
# 这样咱们在浏览器访问localhost:8080就能打开测试网站
docker run -d -p 8080:80 vulnerables/web-dvwa
- 最后打开Kali里的浏览器，输入
http://localhost:8080，默认账号密码都是admin，登录进去就完成测试环境搭建了。
2.2 启动Metasploit的核心服务
Metasploit有个核心的数据库服务，得先启动它，不然没法存检测结果：
# 启动PostgreSQL数据库（Metasploit用这个存数据）
service postgresql start
# 初始化Metasploit的数据库配置，第一次启动需要执行
msfdb init
# 启动Metasploit的控制台（就是咱们操作工具的主界面）
msfconsole
等控制台加载完，会看到一个msf6 >的提示符，这就说明工具已经准备好啦。
三、具体检测Web漏洞的步骤（以SQL注入为例）
SQL注入是Web里最常见的漏洞之一，咱们就拿这个当例子，完整走一遍检测流程。
3.1 先找目标网站的漏洞点
首先得确定DVWA里的SQL注入模块，咱们打开DVWA的“SQL Injection”页面，能看到一个输入框，让你输入ID，然后显示对应的用户名。比如输入1，会显示ID: 1 First name: admin Surname: admin。
这时候得先判断这个输入框有没有可能存在SQL注入——最简单的方法是输入一个单引号'，如果网站报错，说明这个输入框可能有漏洞，因为正常的输入不会触发SQL语法错误。
3.2 用Metasploit找对应的检测模块
Metasploit里的漏洞检测和利用模块都是分类存放的，Web相关的模块一般在auxiliary/scanner/http/这个路径下（auxiliary是辅助模块，专门用来做检测、扫描的）。
咱们先在msf6 >提示符下，搜索和SQL注入相关的Web模块：
# 搜索包含sql、http的模块，-t表示只显示标题，方便快速找
search sql http -t
搜索结果里会有很多模块，咱们选最常用的auxiliary/scanner/http/sqli模块，这个模块专门用来检测HTTP服务的SQL注入漏洞。
然后加载这个模块：
# 加载指定的模块
use auxiliary/scanner/http/sqli
加载完之后，提示符会变成msf6 auxiliary(scanner/http/sqli) >，说明现在用的是这个模块。
3.3 配置模块的参数
每个模块都有自己的参数，得告诉模块目标网站的地址、端口、路径这些信息。咱们先看这个模块需要哪些参数：
# 查看当前模块的所有参数，Required为yes的是必须配置的
show options
重点需要配置的参数有：
- RHOSTS：目标网站的IP地址（咱们的DVWA是本地的，所以是
127.0.0.1） - RPORT：目标网站的端口（DVWA映射到本地的是
8080） - TARGETURI：目标网站的路径（DVWA的SQL注入页面是
/vulnerabilities/sqli/） - THREADS：扫描的线程数（数字越大，扫描越快，一般设成5就够了，太多可能会卡）
配置参数的命令是set 参数名 参数值，具体配置如下：
# 设置目标IP
set RHOSTS 127.0.0.1
# 设置目标端口
set RPORT 8080
# 设置目标路径
set TARGETURI /vulnerabilities/sqli/
# 设置扫描线程数
set THREADS 5
配置完之后，可以再执行一次show options，检查参数有没有配置对，特别是Required为yes的参数有没有都填好。
3.4 启动检测并分析结果
参数配置好之后，就可以启动检测了：
# 启动扫描，模块会自动检测目标有没有SQL注入漏洞
run
如果目标存在漏洞，扫描结果会显示类似[+] 127.0.0.1:8080 - SQL injection vulnerability found的提示，说明这个输入框确实有SQL注入漏洞。
除了检测，咱们还可以用Metasploit的漏洞利用模块，直接拿到目标网站的数据库信息。比如加载exploit/multi/http/sqli模块，配置好参数之后，就能查询数据库的表、字段，甚至拿到管理员的密码哈希。
四、检测其他常见Web漏洞的扩展应用
除了SQL注入，Metasploit还能检测很多其他常见的Web漏洞，比如XSS跨站脚本、文件上传漏洞、命令注入等等，操作逻辑和上面的步骤差不多，只是换了模块和参数。
比如检测XSS漏洞，咱们可以用auxiliary/scanner/http/xss模块，配置好RHOSTS、RPORT、TARGETURI之后启动扫描，就能发现目标网站的XSS漏洞。
再比如检测文件上传漏洞，用auxiliary/scanner/http/file_upload模块，就能检测目标网站有没有允许上传恶意文件的漏洞。
五、应用场景、优缺点、注意事项
5.1 应用场景
Metasploit的Web漏洞检测主要用在这几个场景：
- 网站上线前的安全检测：开发团队自己测自己的网站，提前发现漏洞，避免上线后被攻击。
- 渗透测试演练：安全团队在合法的环境下，练习漏洞检测和利用的技能，提升安全能力。
- 漏洞修复验证：网站修复漏洞之后，用Metasploit再测一遍，确认漏洞已经被彻底修复。
5.2 技术优缺点
优点：
- 操作简单：不用写复杂的代码，只要配置参数就能启动检测，适合新手入门。
- 模块丰富：覆盖了几乎所有常见的Web漏洞，不用自己找不同的工具。
- 功能全面：不仅能检测漏洞，还能利用漏洞、生成报告，一站式解决问题。
缺点：
- 误报率高：有时候会把正常的网站行为当成漏洞，需要人工二次验证。
- 检测不全面：有些小众的漏洞或者自定义的漏洞，Metasploit没有对应的模块，检测不出来。
- 容易被防御：很多WAF（Web应用防火墙）能识别Metasploit的扫描行为，直接拦截。
5.3 注意事项
- 绝对不能测别人的网站：只有经过授权的测试环境才能测，不然会违反《网络安全法》，承担法律责任。
- 测试环境要隔离：测试的时候不要连到公网，避免测试环境被外部攻击。
- 检测结果要验证：Metasploit的结果只是参考，一定要人工验证是不是真的漏洞。
- 不要过度依赖：Metasploit只是一个工具，不能代替人工的安全分析，复杂的漏洞还是要靠人工排查。
六、文章总结
用Metasploit做Web漏洞检测，核心逻辑就是“找模块→配参数→跑检测→验结果”，哪怕是新手，只要跟着步骤来，也能快速上手。它能帮我们提前发现网站的安全问题，避免上线后被攻击，是Web开发和安全领域很实用的工具。
不过要记住，Metasploit只是一个辅助工具，不能代替我们自己的安全意识——写代码的时候要遵循安全规范，比如对用户输入做过滤、对敏感数据做加密，从根源上减少漏洞的产生。毕竟，最好的安全不是靠工具检测出来的，而是靠写代码的时候就避免漏洞。
评论
围绕“如何运用Metasploit进行Web应用漏洞检测”参与讨论