msf监听服务器端口是什么意思，metasploit监听端口设置方法

先搞清楚msf监听服务器端口是什么

msf监听服务器端口，就是Metasploit框架在你控制的机器上开启一个端口等待目标机器反向连接，从而建立控制会话。用大白话说，它不是去“攻击”目标端口，而是在你的服务器上“开门等人”，等目标机器主动来敲门，这个机制贯穿了几乎所有渗透测试和验证流程，理解它才算摸到了MSF的门槛。

msf监听端口和反弹shell是什么关系

行业共识认为,监听行为与反弹Shell是一对不可分割的动作，目标机器不会平白无故连你，通常是因为你在目标上执行了一段payload，这段payload的作用就是“反过来找你”。

直连和反弹的取舍

• 直连模式（bind shell）需要你在目标机器上开放端口，然后主动去连，但目标机器处于内网时，你根本摸不到它。
• 反弹模式（reverse shell）让目标机器主动dial out到你的服务器，这能绕过NAT和大部分防火墙的入站封锁。

监听服务器端口,正是为反弹模式服务的，没有监听的端口，payload跑起来后会发现自己“无家可归”，回连被拒绝，会话建立失败。

监听端口的本质是等待协商

Metasploit的handler组件会在指定端口上打开TCP监听,等待目标发送的Meterpreter或Shell会话，此时端口状态是LISTEN，数据包进来时，MSF会校验payload的标识字段，确认是自己人后，双方协商加密选项，接着一个稳定的会话通道就诞生了。

msf监听端口怎么设置才生效

执行use exploit/multi/handler，再指定payload类型，最后设置LHOST和LPORT即可，具体步骤如下。

设置LHOST和LPORT的优先级

这里有个新手极易踩的坑,LHOST必须设置为你的服务器能被外网访问到的那个IP，LPORT随便选一个没有被占用且不被防火墙拦截的端口。

• 如果你用的是国内云服务器,很多人会告诉你内网IP也能监听，那只会导致80%的连接失败。
• LPORT常见选择有4444、5555，但这类端口很容易被安全设备标记，换成一个高位随机端口比如18234，能减少很多异常流量告警。

一套标准监听命令示例

msfconsole -q
use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_tcp
set LHOST 0.0.0.0
set LPORT 18234
exploit -j

注意这里的LHOST如果设成0.0.0.0，代表监听所有可用网卡，配合云服务器的公网映射后，目标机器依然能通过公网IP找到你。

监听端口与防火墙的纠缠

监听端口打开后,服务器自带防火墙和云平台安全组必须放行该端口，云服务器一般需要同时在安全组入方向添加规则，服务器内部用firewall-cmd --add-port=18234/tcp或ufw allow 18234/tcp放行。

msf监听lhost和lport有什么区别

很多初次接触MSF的朋友,会把lhost和lport搞混，这里的区别颇为关键：

• LHOST是你的服务器地址，用来告诉目标机器“你该连哪里”，它可以是IP也可以是域名，但必须是目标能解析并路由到达的地址。
• LPORT是你的服务器端口，相当于门牌号，同一个IP下可以有多个门牌，不同的payload可以监听不同端口互不干扰。

如果本身就在公网VPS上操作,LHOST填公网IP即可，如果本机处于内网且没有公网映射，那么监听只能用于本地测试或内网横向，外网目标无法访问。

msf监听失败是什么原因

监听失败是新手最常见的问题,它的表现是exploit -j执行后没有任何会话回连，或者报错[-] Handler failed to bind to。

端口占用问题

当提示bind失败,多数情况下是端口已经被其他程序占用，可用netstat -tlnp | grep 18234查看占用情况，或者换一个端口重新监听。

目标无法访问你的监听地址

这个原因很隐蔽,你设置的LHOST如果是内网IP，目标机器处于外网环境就根本连不进来，还有一种情况是你在VPS上监听，但安全组没放行端口，导致SYN包全部被丢弃。

防火墙和安全软件的绞杀

统计表明,相当一部分监听失败案例不是因为MSF配置错，而是因为出网方向的流量被目标机器上的杀毒软件拦截，这种情况下监听端口一直开着，但payload早就”死了”。

内网环境与vps上配置msf监听有什么差别

在实际操作中,监听场景不同，配置策略也随之变化。

内网测试环境

内网渗透验证时,监听主机和目标机器在同一局域网内，LHOST直接填主机的内网IP即可，此时不需要考虑公网映射，但要注意两台机器之间的网络隔离策略。

vps云服务器监听

租用一台海外VPS做监听是很普遍的做法,VPS拥有独立公网IP，无需额外映射，需要关心的是VPS所在厂商是否屏蔽了高危端口，部分厂商会直接封禁135、137、4444等端口，此时建议把LPORT设为8443或8080这类常见端口，反而更容易穿透。

行业专家指出,VPS监听时务必确认服务器本身的时间同步，因为Meterpreter会话的TLS证书校验依赖时间戳，时间偏差过大会导致握手失败。

常见问题解答

msf监听端口怎么选择才比较安全？

建议避开众所周知的端口,4444和5555是默认的”危险端口”，极易被流量审计设备发现，选取9000以上的高位端口，或者使用443端口做tls类型的payload，能把流量伪装成HTTPS，降低排查概率。

msf监听连接成功后马上断开是怎么回事？

多发生在windows payload与linux监听端不匹配的场景，跨平台会话需要用到multi/handler通用模块，如果目标机器是64位系统，你却用x86的payload绑定，会话也会出现不稳定闪断。

为什么我监听了端口，任务列表里显示exploit运行，但目标机器就是连不上？

首先排查目标投递的payload地址和端口是否与监听配置完全一致,其次监听如果是-j后台模式，可以用sessions -l查看已有连接，若还是没有，那就抓包看SYN包是否到达你的服务器，没到就是链路问题，到了没响应就是端口没正常打开。