打开Metasploit官网（www.metasploit.com），官网页面正中那个醒目的下载“Download”按钮，其实藏着两个截然不同的官网选择。大多数人第一次点进去都会愣一下——到底该下开源版还是下载商业版？

开源版（Metasploit Framework）是免费的，直接选“Download Framework”就行。官网但注意，下载这个版本需要自己装Ruby环境、官网PostgreSQL数据库，下载还得手动配置。官网我见过不少新手卡在依赖安装上，下载折腾半天才跑起来。官网你要是下载图省事，直接选“Metasploit Pro”的官网试用版——官方提供14天免费试用，下载的下载是个一体化的安装包，连数据库都给你配好了。官网

下载页面上有个不起眼的细节：Windows安装包比Linux的大将近一倍。因为Windows版把内置的Ruby运行时和一堆依赖都打包进去了，装完就能用。Linux版走的是包管理器路线，比如Ubuntu上执行 curl https://raw.githubusercontent.com/rapid7/metasploit-omnibus/master/config/templates/metasploit-framework-wrappers/msfupdate.erb > msfinstall && chmod 755 msfinstall && sudo ./msfinstall，脚本会自动处理依赖。

真正坑人的是版本选择。官网默认推荐“Nightly Installer”（每日构建版），这个版本功能最新，但稳定性没保障。我吃过亏——某次用nightly版跑一个exploit，结果数据库schema变了，之前的扫描结果全读不出来。后来学乖了，生产环境老老实实用“Release”版，虽然功能滞后两周，但至少不会半夜崩掉。

下载完安装包，别急着双击。先检查一下系统要求：内存至少4GB（8GB更稳），硬盘预留10GB空间——Metasploit的模块库和漏洞数据库加起来就有好几个G。Windows用户记得关掉杀毒软件，Windows Defender会把msfvenom生成的文件当木马删掉，别问我怎么知道的。

装完后打开终端敲 msfconsole，看到那个ASCII艺术字体的banner就说明成功了。但官网下载页最底下那行小字才是关键：“Community Edition users must register for a free license key”——即使下载免费的社区版，也要注册邮箱获取激活码。这个步骤容易忽略，不激活的话只能看到模块列表，没法实际发动攻击。

最后说个冷门技巧：官网下载页面支持历史版本存档。点右上角的“All Versions”，能翻到三年前的旧版本。有时候新版本改了API，你手头的脚本跑不了，回退到旧版反而省事。不过这招只适用于开源版，Pro版只能下载最新版。

下载这事，本质上就是选工具链的问题。想快速验证某个漏洞，直接上Pro试用版；要搞二次开发，老老实实装Framework源码版。别跟风下载最大的那个安装包，先想清楚自己要干嘛。