En Metasploit tenemos los exploits y los payloads. Un exploit es una vulnerabilidad, y el payload es la carga que se ejecuta en esa vulnerabilidad, es decir, la carga que activamos a la hora de aprovechar dicha vulnerabilidad.

Un mismo payload puede ser utilizado por distintos exploits y un mismo exploit puede utilizar varios payloads. Metasploit tiene sobre 1800 exploits, y más de 1000 payloads. Existen diferentes payloads para cada vulnerabilidad, ya que no tienen por qué existir en una proporción 1:1.

Siempre está actualizado con las vulnerabilidades públicas que van apareciendo.

Ejemplos de payloads

Vamos a ver tres de los payloads más conocidos que contiene Metasploit:

• PassiveX: Es un payload que tiene técnicas de evasión en los sistemas de producción de salida, y que aprovecha los plugin ActiveX.
• Meterpreter: Es un payload bastante más conocido y su nombre proviene de las palabras “meta” e “interpreter”. Es multifacética y se ejecuta en memoria a abajo nivel, es decir, que aporta una indetectabilidad bastante considerable, ya que los sistemas de protección se encuentran varias capas por encima. Es una de las Shell por defecto de Metasploit Framework y tiene muchas opciones y subcomandos propios, por lo que resulta una muy buena herramienta para auditores de seguridad informática.
• Inline: Es un payload completo, ya que tiene el código shell incrustado para la tarea seleccionada, es decir, no hay que realizar ninguna carga ni combinación. Son estables y su contenido es únicamente uno, por lo que no hay que interactuar con nada más cosa, solo hay que configurarlo y lanzarlo.