Metasploit Framework（简称MSF）是Rapid7公司维护的开源渗透测试框架，内置了两千多个漏洞利用模块和大量辅助工具，广泛应用于漏洞验证、安全评估和红队演练。本文以Ubuntu 20.04及以上版本为例，完整演示从零开始部署Metasploit的全过程，涵盖官方安装脚本、数据库配置以及常见问题排查，帮助你搭建一套属于自己的渗透测试平台。
一、部署前的环境准备
在动手安装之前，首先要确认系统环境满足要求。Metasploit官方推荐在Ubuntu LTS版本上运行，建议使用20.04或22.04，内存至少2GB，磁盘剩余空间不少于10GB。因为安装过程中会拉取大量Ruby依赖包，编译Ruby原生扩展时对内存有一定消耗，内存太小容易出现编译失败。
先更新系统软件源并安装基础依赖工具包。打开终端依次执行以下命令：
sudo apt update && sudo apt upgrade -y sudo apt install -y curl wget gnupg2 build-essential libssl-dev libreadline-dev zlib1g-dev
这些依赖包的作用各不相同：build-essential提供C/C++编译环境，Ruby原生扩展编译离不开它；libssl-dev是OpenSSL开发库，Metasploit的加密通信模块需要它；libreadline-dev则保证msfconsole的交互式命令行能正常处理键盘输入。如果是在云服务器上部署，建议同时配置好防火墙规则，只放行SSH端口，避免测试过程中暴露不必要的服务。
另外需要提醒一点，Metasploit仅应部署在你拥有授权的测试环境中，对未授权目标进行渗透测试属于违法行为，这一点务必牢记。
二、使用官方安装脚本快速部署
最推荐的安装方式是官方提供的一键安装脚本，它会自动完成Ruby环境、依赖库、Metasploit主体以及PostgreSQL数据库的配置。执行下面的命令下载并运行安装脚本：
curl https://raw.githubusercontent.com/rapid7/metasploit-omnibus/master/config/templates/metasploit-framework-wrappers/msfupdate.erb > msfinstall chmod 755 msfinstall ./msfinstall
安装脚本会添加官方APT软件源，然后通过apt安装metasploit-framework包。整个过程根据网络情况大约需要5到20分钟，期间会下载几百兆的数据。如果网络访问GitHub缓慢，可以先配置代理再执行脚本，例如设置export https_proxy=http://127.0.0.1:7890。
安装完成后，Metasploit的可执行文件会放在/opt/metasploit-framework/embedded/bin/目录下，并且该目录已被加入系统PATH，直接在终端输入msfconsole即可启动。首次启动时程序会初始化数据库，耗时可能较长，属于正常现象。看到熟悉的ASCII艺术图标和msf6 >提示符，就说明框架已经可以使用了。
验证安装是否成功，可以在msfconsole中执行version查看版本号，再执行db_status检查数据库连接状态。如果显示postgresql connected to msf，说明数据库工作正常。
三、PostgreSQL数据库的配置与排错
Metasploit依赖PostgreSQL存储主机信息、服务凭据和漏洞数据，数据库异常是最常见的部署问题来源。官方脚本安装的PostgreSQL通常能自动完成配置，但如果数据库服务未启动，msfconsole会提示连接失败。
遇到数据库问题时，先检查PostgreSQL服务状态：
sudo systemctl status postgresql sudo systemctl start postgresql
如果服务正常但仍然连接失败，可以尝试重新初始化MSF数据库。在msfconsole中执行db_rebuild_cache重建缓存，或者退出后在终端执行以下命令重新配置数据库连接：
msfdb init
该命令会创建名为msf的数据库用户和数据库实例，并写入配置文件。执行成功后再运行msfconsole，用db_status确认连接恢复正常。
还有一个高频报错是GPG密钥过期问题，更新软件源时会出现类似NO_PUBKEY的提示。解决方法是重新下载官方签名密钥：
curl -fsSL https://apt.metasploit.com/metasploit-framework.gpg.key | sudo apt-key add -
由于apt-key在新版Ubuntu中已被弃用，也可以将密钥保存到/etc/apt/trusted.gpg.d/目录下的独立keyring文件中，效果相同且更符合新版系统的规范。
四、安装后的基础使用与验证
部署完成后，建议先熟悉几个核心命令来验证框架功能。进入msfconsole后，使用search命令搜索模块，例如search ms17_010可以找到永恒之蓝相关的利用模块；使用use命令加载模块，show options查看需要填写的参数，set RHOSTS设置目标地址，最后exploit发起测试。
保持框架更新也非常重要，新漏洞的利用模块会持续加入官方仓库。更新只需一条命令：
msfupdate
如果想定时自动更新，可以编写一个简单的cron任务，每周自动执行一次更新脚本。此外，建议将workspace功能用起来，为不同的测试项目创建独立的工作区，方便数据隔离和管理，例如workspace -a pentest_lab即可新建一个名为pentest_lab的工作区。
最后再次强调，Metasploit是双刃剑，请务必只在合法授权的环境中使用。搭建好环境后，可以在本地搭建靶机（如Metasploitable、DVWA）进行练习，逐步掌握漏洞利用的完整流程，为安全学习打下扎实基础。
Metasploit FrameworkUbuntu部署渗透测试修改时间：2026-09-15 18:24:32