今天要介紹的也是一個經典強大好用的工具，
如果有用Kali Linux的人可以注意到桌面左手邊的快捷工具列，
除了筆記本筆記工具跟瀏覽器以外，
還有三個好用的滲透測試工具，可為三神器，
分別是先前介紹過的Nmap、Burp Suite，跟今天要講的Metasploit
[駭客工具 Day2] Port Scan王者 – Nmap
[駭客工具 Day10] web安全測試 – Burp Suite
也許你聽過Metasploit，或者看過或是用過，但可能以為他只是個軟體，
其實Metasploit算是一個專案或也是一個框架（Framework）
依照維基百科說明
Metasploit專案是一個旨在提供安全漏洞資訊電腦安全專案，
可以協助安全工程師進行滲透測試（penetration testing）及入侵檢測系統簽章開發。
Metasploit專案最為知名的子專案是開源的Metasploit框架，
一套針對遠端主機進行開發和執行「exploit程式碼」的工具。
其他重要的子專案包括Opcode資料庫、shellcode檔案、安全研究等內容。
Metasploit是一個知名的滲透測試工具，
通常是會利用Nmap或是Nessus等工具進行資訊蒐集與弱點掃描，
再利用資訊與弱點去尋找可利用的漏洞，
利用Metasploit去載入payload，設定目標IP然後進行exploit，
總之就是進行漏洞利用進行滲透。
Metasploit本身的功能其實也包含了執行弱點掃描，
但使用上思路跟前兩天提的自動化弱掃工具有些不同，
利用Metasploit去掃弱點通常可能是驗證某些漏洞，
或是已經很確定要針對甚麼伺服器應用去進行探測。
Metasploit大家通常使用的都是開源版本的，
不過Rapid7也是有出付費版本的Metasploit。
Metasploit工具其實算是我剛接觸資安時，
很早期就碰到的東西，雖然整個架構不熟悉，但目前使用起來還算順手。
當初看過一些教學後覺得它看起來很猛，就開始跟著學了，
但老實說我覺得如果是新手的話，很不建議一開始就碰這個XD
這個對於零經驗要上手我覺得會有點辛苦，
尤其如果你不是很熟悉使用命令列模式，
然後一個專案下一堆東西
metasploit meterpreter msfvenom msfconsole ….
可以先稍微碰碰別的再來玩玩這個。
同場加映：
這邊要講個很棒的網站叫Exploit Database
或者稱exploit db
https://www.exploit-db.com/
這個資料庫有許多漏洞可以查詢，也會有相關的攻擊工具和程式碼。
在這個資料庫找到的攻擊程式碼，可以利用metasploit去搜尋到然後執行攻擊。
本文為作者參與第 11 屆 iT 邦幫忙鐵人賽的文章
原文連結 https://ithelp.ithome.com.tw/users/20114110/ironman/2536