凌晨两点，我盯着屏幕上那个跳动的光标。Metasploit的banner刚刷完，一行行模块名像货架上的武器陈列着。我敲下use exploit/windows/smb/ms17_010_eternalblue，回车，回车，再回车。三秒后，靶机弹回一个meterpreter会话——那个永恒之蓝的漏洞，2017年就让半个世界的Windows沦陷，如今在隔离环境里依然一击必中。
这工具太锋利了。锋利到让人觉得不真实。你输入几个命令，它就替你完成了从端口扫描到权限提升的全过程。可真正用起来，心里总悬着个问题：我到底在做什么？是安全测试，还是某种披着技术外衣的闯入游戏？
我见过新手拿着它乱扫一通，对着公网IP跑auxiliary/scanner/portscan/tcp，看到开放端口就兴奋得截图。他们没想过，每个开放端口背后可能是一台医院的挂号机，或者某个小公司的财务电脑。Metasploit把攻击门槛压得极低，低到像按一下扳机——可子弹飞出去，你根本不知道会打中谁。
有一次做授权的渗透测试，客户给了个内网段。我习惯性地先跑db_nmap扫存活主机，再调出对应的exploit模块。过程流畅得像流水线作业。直到某个IP返回了会话，我顺手敲了shell，跳出一个cmd窗口，里面正跑着某个老旧的生产管理系统。那一刻我突然意识到，屏幕对面可能有个管理员正对着报错日志抓耳挠腮。
Metasploit的厉害之处在于它把复杂攻击链打包成了“选择-运行”的傻瓜操作。但傻瓜操作带来的错觉很危险——你以为自己掌控全局，其实只是站在巨人的肩膀上。真正的狠活在于post/模块里的提权、持久化、内网穿透，那些才是拉开差距的地方。可多数人连search cve-2024都懒得敲，只盯着那几个经典漏洞反复刷。
说句实在话，这工具更像一面镜子。你拿它扫自己的网络，它能帮你发现那些被遗忘的服务器、弱口令的RDP、没打补丁的Weblogic。你拿它扫别人的网络，它就是一根撬锁的铁丝，区别只在于你口袋里有没有授权书。技术本身不脏，脏的是拿它当借口，把“我能破解”当成“我可以破解”。
我电脑里始终留着Metasploit，但最近用得少了。不是它过时了——恰恰相反，它太稳定了，稳定到让人麻木。偶尔我会打开msfconsole，看看新出的模块列表，然后关掉。真正有价值的不是工具本身，而是你决定用它之前，脑子里想清楚的那几秒钟。就像那个凌晨，我盯着靶机的会话窗口，最后输入了exit，而不是继续深入。工具给你能力，但选择权始终在你自己手上。