打开Metasploit控制台，洞列敲下show exploits，洞列屏幕上滚过的洞列条目能刷好几页。2023年统计的洞列公开模块超过2300个，这还不算auxiliary、洞列post和payload。洞列数字本身没意义，洞列真正有意思的洞列是这些模块背后的漏洞分布——它们勾勒出了过去二十年软件安全漏洞的粗略地形图。

Windows相关模块占了大头。洞列MS08-067是洞列个绕不开的名字，永恒之蓝之前它才是洞列内网横移的标配。一个RPC调用处理不当就能拿到SYSTEM权限，洞列这个漏洞在MSF里的洞列利用模块写得极其稳定，XP到Server 2008通吃。洞列后来MS17-010出来，洞列也就是永恒之蓝，直接把SMB漏洞的利用门槛拉到地板。WannaCry用它搞出那么大动静，而MSF里的exploit/windows/smb/ms17_010_eternalblue到现在还是渗透测试培训的必修课。有个做安服的朋友跟我说，2022年去客户现场做内网评估，扫出来没打补丁的2008服务器照样能一把梭。

Web应用这块，MSF的覆盖反而不如专门的扫描器。但有几个模块值得单独提。Struts2的S2-045和S2-057，MSF都有对应exploit，用起来比手工构造OGNL表达式省事得多。Jenkins的exploit/multi/http/jenkins_script_console也是经典，只要脚本控制台没设权限，直接命令执行。这类漏洞的共同点是：配置疏忽比代码缺陷更致命。

再看网络设备。Cisco、Juniper的模块数量不多，但个个都是硬货。CVE-2019-1653那个Cisco RV320路由器信息泄露，MSF模块能直接导出配置文件，里面明文存着admin密码。家用路由器漏洞在MSF里也有，D-Link、Netgear的几个远程命令执行，利用条件通常是管理界面暴露在公网。说实话，这些模块技术含量不高，但实战命中率不低。

数据库模块集中在Oracle、MySQL、MSSQL。MSSQL的exploit/windows/mssql/mssql_payload用得最多，前提是sa弱口令或者有写权限。Oracle的模块偏少，TNS监听器漏洞利用起来步骤繁琐，MSF里的实现也不算优雅。MySQL相对少，因为UDF提权那套东西手工做也不复杂。

移动端和物联网是MSF的短板。Android模块有几个，但大多依赖ADB调试开启或者特定APP漏洞，实战价值有限。IoT方面，MSF的模块更新速度跟不上固件漏洞的披露节奏。你去看GitHub上那些第三方模块仓库，反而比官方库活跃。

Payload这块的变化比exploit大。Meterpreter从最初的反向TCP发展到支持HTTP、HTTPS、甚至DNS隧道。stageless payload的出现让生成体积大了不少，但省去了分阶段传输的麻烦。现在windows/x64/meterpreter/reverse_https几乎是标配，流量加密加上端口复用，过防火墙比早年容易。

编码器（encoder）的作用在杀软面前越来越弱。shikata_ga_nai编码多少遍都逃不过内存扫描。现在更多人转向自定义payload或者Cobalt Strike的beacon，MSF在这方面的生态优势在缩小。

有个细节值得说：MSF的模块质量参差不齐。官方维护的exploit通常有完整的文档和targets列表，但社区提交的模块经常只测过一个环境。你去看模块里的Rank字段，Excellent和Manual之间差着几十次失败利用。选模块的时候，Rank比CVE编号更有参考价值。

漏洞列表本身是死的，怎么用是活的。同一个MS17-010模块，有人只能打自己搭的靶机，有人能在生产环境里悄无声息地拿域控。差别不在模块，在信息收集和绕过手段。MSF给的是工具，不是答案。