黑客工具包

简介

在信息安全行业，黑客工具包并不是某一款固定产品，而是对一类工具集合的统称，其形态包括预装大量工具的专用操作系统、把众多项目集中到菜单里的聚合程序，以及专注于漏洞利用的框架等。其中 Kali Linux 是常被举出的例子，它把网络扫描、流量分析、无线测试等程序与一套 Linux 系统打包在一起。制作这类工具的目的，是让防御方能够用攻击者同样的手段检验自家防护是否可靠。

典型的工具包会覆盖安全评估的多个环节，从信息收集、端口与服务扫描、Web 应用测试、口令强度检验，到取得访问权限之后的提权与横向移动都有相应程序。Metasploit 把漏洞利用代码、攻击载荷、辅助收集与后渗透脚本拆成独立模块，使用者根据目标情况组合调用。渗透测试 与红队演练是这类工具最主要的合法用途，前提是测试范围事先经过书面约定。

沿革

Offensive Security 于 2013 年 3 月 13 日发布 Kali Linux，用以取代此前的 BackTrack Linux，并改按 Debian 的开发标准重新构建。首发版本整合了 300 多款渗透测试与安全审计程序，后续版本中这一数字扩展到 600 款以上。开发方表示，纳入系统的每个程序都经过适用性与有效性的评估。

漏洞利用框架 Metasploit 出现得更早。它于 2003 年前后由 H.D. Moore 等人搭建，2004 年在美国 Black Hat 会议上引起关注，此后交由 Rapid7 维护并持续扩充。该框架采用模块化设计，利用代码、载荷、编码器等彼此独立，便于把外部编写的程序接入其中。按照官方文档的统计，它收录的模块总数已超过 7000 个。

除专用发行版外，还出现了把众多开源工具集中管理的聚合型项目。GitHub 上的 HackingTool 把 185 款以上渗透工具收进一个终端菜单，并按使用场景划分成 20 个类别；2.0.0 版把活动目录、云平台与移动端的安全工具也纳入其中。该项目自 2020 年前后持续增长，到 2025 年已获得约 7.7 万个收藏。

与上述公开工具集不同，漏洞利用工具包 属于自动化程度更高的恶意套件。2006 年出现的 MPack 与 WebAttacker 是最早被记录的样本，此后 Blackhole、Angler 等相继流行，2017 年以后这类套件的整体使用量明显下降。它们常在黑市以独立产品或租用服务的形式交易。

特点

攻防两用是最常被提到的特征。扫描器本身无法分辨使用者是在审计自己的服务器，还是在窥探别人的设备，因此安全行业把有没有取得授权当作合法与违法的分界线。在明确授权的范围内，渗透测试人员、红队成员和漏洞赏金研究者会用这些工具复现攻击者的手法，再把发现的问题提交给系统所有者。

在组织方式上，成熟的工具包通常按照攻击链的先后阶段安排功能模块，侦察、扫描、利用、后渗透和报告各有对应位置。Metasploit 把模块划分为辅助、利用、载荷、后渗透等类型，官方文档记录了各类模块的数量与用途。部分聚合项目还提供关键词搜索、标签筛选和安装状态提示，以减少同时维护多款工具的成本。

与需要人工挑选组合的工具集相比，漏洞利用工具包的自动化程度更高。它会自动判断访问者机器上存在哪些漏洞，再投递相匹配的利用代码，使用者无须掌握漏洞原理；多数套件以 PHP 编写，方便作者随时增删其中的利用模块。

在中国，法律对这类工具本身设有约束。《网络安全法》第 27 条规定，任何个人和组织都不得提供专门用于侵入他人网络、干扰网络正常功能或窃取网络数据等活动的程序与工具。《中华人民共和国刑法》第 285 条则规定，向他人提供专门用来入侵计算机信息系统或对其实现非法控制的程序与工具，情节严重时可构成犯罪，最高刑期为 7 年有期徒刑，并处罚金。因此即使出于学习目的，也应在自有系统或取得书面授权的环境中使用。

参见

• Kali Linux —— 预装数百款渗透测试工具的 Linux 发行版，常被视为黑客工具包的典型形态。

• Metasploit —— 模块化的漏洞利用框架，广泛收录于各类渗透测试工具集之中。

• 漏洞利用工具包 —— 自动探测并利用客户端漏洞、进而投递恶意软件的自动化套件。

• 渗透测试 —— 在取得授权的前提下，使用攻击性工具检验系统安全的活动。

• 网络安全法 —— 对提供危害网络安全的程序与工具作出禁止性规定的法律。