ZavetSec // Distro Manual

KALI LINUX 2026 — РУКОВОДСТВО

Полный разбор Kali Linux 2026.1 (релиз 24.03.2026, ядро 6.18, Xfce 4.20.6): от установки и метапакетов до инструментов по всем категориям меню с командами. Kali — это Debian-based rolling-release для пентеста и форензики. Всё применяй только в авторизованном scope или на своей изолированной лабе.

ВЕРСИЯ: 2026.1 ЯДРО: 6.18 БАЗА: DEBIAN / ROLLING DE: XFCE 4.20.6

// Содержание

00Что такое Kali и что нового в 2026.1
01Установка и первая настройка
02APT, метапакеты, обновление
03Information Gathering
04Vulnerability Analysis
05Web Application
06Database Assessment
07Password Attacks
08Wireless Attacks
09Reverse Engineering
10Exploitation Tools
11Sniffing & Spoofing
12Post Exploitation
13Forensics
14Social Engineering
15Обслуживание и OPSEC

// 00

Что такое Kali и что нового в 2026.1

Kali Linux — дистрибутив на базе Debian для тестирования на проникновение и цифровой форензики, поддерживаемый Offensive Security. Это rolling-release: пакеты обновляются постоянно, а «релизы» (2026.1 и т.д.) — это снапшоты с накопленными изменениями.

Свежее в релизе 2026.1

Версия 2026.1 вышла 24 марта 2026 года, став первым релизом 2026-го; в нём обновлены ядро до 6.18 и Xfce до 4.20.6.

Изменение	Детали
Ежегодный рефреш темы	Новая тема загрузчика, установщика, логин-экрана и обоев — традиция для всех релизов x.1
BackTrack Mode	В честь 20-летия BackTrack: `kali-undercover --backtrack` превращает рабочий стол в вид BackTrack 5
8 новых инструментов	AdaptixC2, Atomic-Operator, Fluxion, GEF и др. (всего 25 новых пакетов, 9 удалено, 183 обновлено)
Ядро 6.18	Конкретно 6.18.12-1kali1
NetHunter	Улучшения инъекции Wi-Fi на части Qualcomm-чипсетов, фиксы под Redmi Note 8 / Samsung S10

Известная проблема 2026.1: метапакет kali-tools-sdr (Software Defined Radio) в этом релизе частично сломан — инструменты экосистемы GNU Radio, включая gr-air-modes и gqrx-sdr, не работают. Фикс ожидается в следующем релизе. Если нужен SDR — собирай из исходников или подожди 2026.2.

Новые инструменты 2026.1 — что это

Инструмент	Назначение
AdaptixC2 new	Расширяемый C2-фреймворк для post-exploitation и эмуляции противника
Atomic-Operator new	Запуск тестов Atomic Red Team на разных ОС (валидация детекта — purple-применение)
Fluxion new	Аудит Wi-Fi и соц-инженерные сценарии (Evil Twin / captive portal)
GEF new	Современная надстройка над GDB для отладки и эксплойт-разработки

// 01

Установка и первая настройкаFoundation

Варианты развёртывания

Вариант	Когда
Installer ISO	Постоянная установка на железо/диск, полный контроль
VM (VMware/VBox)	Рекомендуется для лабы — снапшоты, изоляция, откат
Live ISO	Загрузка без установки, форензика без записи на диск
WSL	Kali внутри Windows для лёгких задач (`kali-win-kex` даёт GUI)
NetHunter	Мобильная платформа (Android), Wi-Fi-инъекция, HID-атаки
Cloud / ARM	AWS/Azure, Raspberry Pi и пр.

Только с официального источника. Качай ISO исключительно с kali.org и обязательно сверяй контрольную сумму/подпись — скомпрометированный образ дистрибутива для пентеста = катастрофа.

Проверка целостности образа

# Сверить SHA256 скачанного ISO с опубликованным на kali.org
sha256sum kali-linux-2026.1-installer-amd64.iso
# Сравнить вывод со значением на официальной странице загрузки

Первый запуск и базовая настройка

В современной Kali по умолчанию НЕ root, а обычный пользователь kali. Это правильно — root только через sudo под конкретную задачу.

# Полное обновление сразу после установки
sudo apt update && sudo apt -y full-upgrade

# Часовой пояс, локаль, имя хоста (по необходимости)
sudo dpkg-reconfigure tzdata
sudo hostnamectl set-hostname kali-lab

# Снапшот VM ПОСЛЕ обновления и настройки -- база для откатов

Undercover-режим. kali-undercover маскирует рабочий стол под Windows (для работы «на людях»), а kali-undercover --backtrack в 2026.1 — под классический BackTrack 5. Полезно и для скриншотов в отчёт, и для приватности.

// 02

APT, метапакеты, обновлениеFoundation

Kali ставит не все 600+ инструментов сразу — базовый образ компактен, остальное доустанавливается метапакетами. Это даёт контроль над размером и набором.

Управление пакетами

sudo apt update                      # обновить индекс
sudo apt full-upgrade -y             # обновить систему (для rolling)
sudo apt install <tool>            # поставить инструмент
apt search <keyword>               # найти пакет
apt show <tool>                   # инфо о пакете
sudo apt autoremove                  # почистить лишнее

Ключевые метапакеты

Метапакет	Что ставит
`kali-linux-headless`	Базовый набор без GUI
`kali-linux-default`	Стандартный набор (то, что в обычном образе)
`kali-linux-large`	Расширенный набор инструментов
`kali-linux-everything`	Вообще всё (много места)
`kali-tools-information-gathering`	Рекон и сбор информации
`kali-tools-web`	Web-приложения
`kali-tools-passwords`	Атаки на пароли
`kali-tools-wireless`	Беспроводные сети
`kali-tools-post-exploitation`	Post-exploitation
`kali-tools-forensics`	Форензика

# Посмотреть состав метапакета перед установкой
apt show kali-tools-web

# Поставить категорию целиком
sudo apt install kali-tools-wireless

// 03

Information GatheringRecon

Сбор информации о цели — фундамент. Чем полнее карта, тем меньше «угадывания» дальше.

Инструмент	Назначение	Базовая команда
nmap	Сканер портов/сервисов, NSE-скрипты	`nmap -sC -sV -p- 10.10.10.10`
masscan	Очень быстрый сканер портов	`masscan -p1-65535 10.10.10.0/24 --rate 10000`
netdiscover	Обнаружение хостов в L2 (ARP)	`sudo netdiscover -r 10.10.10.0/24`
dnsenum / dnsrecon	Энумерация DNS, поддоменов, зон	`dnsenum target.com`
fierce	DNS-рекон и брут поддоменов	`fierce --domain target.com`
theHarvester	OSINT: e-mail, поддомены, хосты	`theHarvester -d target.com -b all`
recon-ng	Модульный OSINT-фреймворк	`recon-ng`
spiderfoot	Автоматизированный OSINT (web UI)	`spiderfoot -l 127.0.0.1:5001`
whatweb	Фингерпринт web-технологий	`whatweb http://10.10.10.10`
enum4linux-ng	Энумерация SMB/Samba/AD	`enum4linux-ng -A 10.10.10.10`
nbtscan	Скан NetBIOS-имён	`nbtscan 10.10.10.0/24`

Современные ProjectDiscovery-тулы (subfinder, httpx, nuclei) ставятся через apt или go — связка для быстрого web-рекона.

// 04

Vulnerability AnalysisScan

Поиск известных уязвимостей и мисконфигов. Сканер — отправная точка, а не вердикт: каждую находку проверяй руками (false positive — норма).

Инструмент	Назначение	Базовая команда
nmap NSE	Скрипты проверки уязвимостей	`nmap --script vuln 10.10.10.10`
nikto legacy/helper	Сканер web-серверов; сегодня — быстрая вспомогательная проверка, не основной инструмент (ср. nuclei)	`nikto -h http://10.10.10.10`
nuclei	Шаблонный сканер уязвимостей	`nuclei -u http://10.10.10.10 -severity high,critical`
legion	GUI-обвязка для авто-рекона и скана	`sudo legion`
searchsploit	Локальная база Exploit-DB	`searchsploit apache 2.4`
unix-privesc-check	Чек privesc-векторов на Unix	`unix-privesc-check standard`

OpenVAS / Greenbone (полноценный сетевой сканер уязвимостей) ставится отдельно: sudo apt install gvm && sudo gvm-setup — тяжёлый, но даёт корпоративный охват.

// 05

Web ApplicationWeb

Burp Suite — центральный хаб (proxy/repeater/intruder). Остальное — фаззинг, специализированные сканеры, эксплуатация конкретных классов.

Инструмент	Назначение	Базовая команда
Burp Suite	Перехват/модификация HTTP, главный web-инструмент	`burpsuite`
OWASP ZAP	Open-source аналог Burp	`zaproxy`
ffuf	Быстрый веб-фаззер (директории, vhost, параметры)	`ffuf -u http://site/FUZZ -w wordlist.txt`
gobuster	Брут директорий/DNS/vhost; рабочий, но ffuf обычно гибче и быстрее	`gobuster dir -u http://site -w wordlist.txt`
feroxbuster	Рекурсивный контент-фаззер (Rust)	`feroxbuster -u http://site`
wfuzz	Универсальный фаззер web-запросов	`wfuzz -w list.txt http://site/FUZZ`
sqlmap	Авто-эксплуатация SQL-инъекций	`sqlmap -r req.txt --batch --dbs`
wpscan	Сканер WordPress	`wpscan --url http://site --enumerate u`
commix	Эксплуатация command injection	`commix -u "http://site/?p=1"`
dirb legacy	Классический брут директорий; вытеснен ffuf/feroxbuster	`dirb http://site`
cmseek нишевый	Детект и энумерация CMS; узкоспециальный, ниже по значимости, чем nuclei/httpx/Burp	`cmseek -u http://site`

Глубокая отработка web-классов (XSS, SSRF, IDOR, XXE, deser, JWT) — на PortSwigger Web Security Academy, бесплатно.

// 06

Database AssessmentDB

Инструмент	Назначение	Базовая команда
sqlmap	Инъекции + дамп БД через web	`sqlmap -r req.txt -D db -T users --dump`
mssqlclient (impacket)	Клиент MSSQL (часто в AD)	`impacket-mssqlclient user@10.10.10.10 -windows-auth`
mysql / psql	Нативные клиенты для прямого доступа	`mysql -h 10.10.10.10 -u root -p`
redis-cli	Клиент Redis (частая мисконфигурация)	`redis-cli -h 10.10.10.10`
mongo	Клиент MongoDB	`mongo --host 10.10.10.10`

Открытые БД без аутентификации (Redis, Mongo, Elasticsearch) — частый быстрый foothold. Проверяй их сразу после nmap, до глубокого web-рекона.

// 07

Password AttacksCreds

Инструмент	Назначение	Базовая команда
hashcat	GPU-взлом хэшей (быстрейший)	`hashcat -m 1000 hash.txt rockyou.txt`
john	John the Ripper, CPU-взлом, удобные форматы	`john --wordlist=rockyou.txt hash.txt`
hydra	Онлайн-брут сетевых сервисов	`hydra -l admin -P list.txt ssh://10.10.10.10`
medusa	Альтернатива hydra	`medusa -h 10.10.10.10 -u admin -P list.txt -M ssh`
crackmapexec / nxc	Спрей и проверка кред в сети (SMB/WinRM/etc)	`nxc smb 10.10.10.0/24 -u u -p p`
hashid	Определение типа хэша	`hashid '$1$...'`
cewl	Генерация словаря с сайта цели	`cewl http://site -w words.txt`
crunch	Генерация словарей по маске	`crunch 8 8 -t @@@@%%%% -o list.txt`

Полезные правила hashcat — в /usr/share/hashcat/rules/ (best64.rule, OneRuleToRuleThemAll). Словарь rockyou — в /usr/share/wordlists/rockyou.txt (разжать gunzip при первом запуске).

Онлайн-брут блокирует учётки. На реальном проекте сверяйся с pass-policy и предпочитай password spraying (один пароль на много юзеров) — согласуй отдельно в RoE.

// 08

Wireless AttacksWi-Fi

Требуется адаптер с поддержкой monitor mode и инъекции (напр. чипсеты Atheros/Ralink). Только свои сети или явный scope.

Инструмент	Назначение	Базовая команда
aircrack-ng	Набор для аудита Wi-Fi (взлом WEP/WPA-хэндшейк)	`aircrack-ng -w rockyou.txt capture.cap`
airmon-ng	Перевод адаптера в monitor mode	`sudo airmon-ng start wlan0`
airodump-ng	Захват трафика и хэндшейков	`sudo airodump-ng wlan0mon`
aireplay-ng	Деаутентификация (для захвата хэндшейка)	`sudo aireplay-ng --deauth 5 -a <BSSID> wlan0mon`
wifite	Автоматизация атак на Wi-Fi	`sudo wifite`
reaver / bully	Атака на WPS-PIN	`sudo reaver -i wlan0mon -b <BSSID>`
Fluxion new	Evil Twin + captive portal (соц-инженерия)	`sudo fluxion`
kismet	Детектор/сниффер беспроводных сетей	`sudo kismet`
bettercap	MITM-фреймворк (Wi-Fi/BLE/Ethernet)	`sudo bettercap -iface wlan0`

// 09

Reverse EngineeringRE

Инструмент	Назначение	Запуск
Ghidra	Дизассемблер/декомпилятор (от NSA), бесплатный	`ghidra`
radare2 / rizin	CLI-фреймворк реверса	`r2 ./binary`
cutter	GUI поверх rizin	`cutter`
gdb + GEF new	Отладчик с современной надстройкой	`gdb ./binary` (GEF подгружается)
objdump / readelf	Анализ ELF-структуры	`objdump -d ./binary`
strings / file	Быстрый осмотр бинаря	`strings ./binary \| less`
ltrace / strace	Трассировка библиотечных/системных вызовов	`strace ./binary`
apktool / jadx	Реверс Android APK	`jadx app.apk`

GEF в 2026.1 — заметное обновление для эксплойт-разработки: удобный просмотр регистров/стека/heap прямо в GDB. Связка gdb + GEF — стандарт для binary exploitation на OSED-уровне.

// 10

Exploitation ToolsExploit

Инструмент	Назначение	Базовая команда
Metasploit	Фреймворк эксплуатации (модули/payload/post)	`msfconsole`
msfvenom	Генератор payload'ов	`msfvenom -p ... LHOST=.. -f elf -o p`
searchsploit	Поиск PoC в Exploit-DB	`searchsploit -m 12345` (копировать локально)
impacket-*	Набор для Windows/AD (psexec, wmiexec, secretsdump)	`impacket-wmiexec dom/u:p@10.10.10.10`
netexec (nxc)	Швейцарский нож для сетей (SMB/WinRM/LDAP/MSSQL)	`nxc smb 10.10.10.0/24 -u u -p p`
evil-winrm	Интерактивный WinRM-шелл	`evil-winrm -i 10.10.10.10 -u u -p p`
BeEF	Эксплуатация браузеров (XSS-хук)	`beef-xss`
Sliver / AdaptixC2 new	Open-source C2 для red team	`sliver` / см. docs AdaptixC2

Atomic-Operator (новый в 2026.1) запускает тесты Atomic Red Team — удобен для purple-сценариев: атака → проверка детекта в SIEM.

// 11

Sniffing & SpoofingMITM

Инструмент	Назначение	Базовая команда
Wireshark	Глубокий анализ трафика (GUI)	`wireshark`
tcpdump	CLI-захват пакетов	`sudo tcpdump -i eth0 -w cap.pcap`
tshark	CLI-Wireshark для скриптов	`tshark -r cap.pcap -Y http`
Responder	Отравление LLMNR/NBT-NS, захват NetNTLM	`sudo responder -I eth0 -wd`
bettercap	Современный MITM-фреймворк	`sudo bettercap -iface eth0`
ettercap	Классический ARP-spoofing/MITM	`sudo ettercap -G`
mitmproxy	Перехват/модификация HTTP(S) из CLI	`mitmproxy`
dnschef	DNS-прокси для подмены ответов	`dnschef --fakeip 10.0.0.1`

Purple-связка: Responder + bettercap в лабе — удобный способ увидеть, как именно эти атаки выглядят в логах и детект-правилах SIEM (LLMNR-poisoning, ARP-аномалии).

// 12

Post ExploitationPost-Ex

Инструмент	Назначение	Заметка
mimikatz	Извлечение кред из памяти Windows	Запуск на цели (Windows), не в Kali
impacket-secretsdump	Дамп SAM/NTDS/LSA	`-just-dc` для домена
BloodHound	Граф attack-path в AD	BloodHound CE + bloodhound-python коллектор
PowerSploit / PowerView	PowerShell post-ex и AD-рекон	Загружается на цель
linpeas / winpeas	Энумерация privesc-векторов	В составе peass-ng
chisel / ligolo-ng	Pivoting и туннелирование	Reverse SOCKS / маршрут в подсеть
proxychains4	Прогон инструментов через прокси/туннель	Конфиг: `/etc/proxychains4.conf`
weevely	PHP-webshell с шифрованием канала	`weevely generate pass shell.php`

Персистентность и деструктив — только при явном согласовании в RoE. Всё, что переживает сессию, фиксируется и удаляется после теста; cleanup отдельным пунктом в отчёт.

// 13

ForensicsDFIR

Сильная сторона Kali для DFIR-задач: многие форензик-инструменты работают и в live-режиме без записи на исследуемый диск.

Инструмент	Назначение	Базовая команда
Autopsy	GUI-платформа дискового анализа (поверх Sleuth Kit)	`autopsy`
Sleuth Kit (tsk)	CLI-анализ файловых систем	`fls -r image.dd`
Volatility 3	Анализ дампов памяти	`vol -f mem.raw windows.pslist`
foremost / scalpel	File carving (восстановление по сигнатурам)	`foremost -i image.dd -o out/`
binwalk	Анализ и извлечение из прошивок/файлов	`binwalk -e firmware.bin`
bulk_extractor	Извлечение артефактов (e-mail, карты, URL)	`bulk_extractor -o out/ image.dd`
dd / dcfldd	Побитовое копирование носителя	`sudo dcfldd if=/dev/sdb of=image.dd`
exiftool	Метаданные файлов	`exiftool photo.jpg`
chkrootkit / rkhunter	Поиск руткитов	`sudo rkhunter --check`

// 14

Social EngineeringSE

Инструмент	Назначение	Запуск
SET (setoolkit)	Social-Engineer Toolkit: фишинг, клон-сайты, payload-доставка	`sudo setoolkit`
gophish	Платформа фишинг-кампаний (для авторизованных учений)	`gophish`
Fluxion new	Wi-Fi-фишинг через captive portal	`sudo fluxion`
msfvenom	Генерация payload для вложений (в рамках учений)	см. раздел 10

Соц-инженерия — самая «человеческая» и юридически чувствительная часть. Фишинг сотрудников проводится только в рамках письменно согласованной программы с заказчиком, с заранее определёнными границами и без сбора реальных паролей сверх необходимого для доказательства. Никогда не тестируй на людях вне scope.

// 15

Обслуживание и OPSECHygiene

Поддержание системы

# Регулярно (минимум раз в неделю)
sudo apt update && sudo apt full-upgrade -y

# Чистка кэша и сирот
sudo apt autoremove && sudo apt clean

# Проверить версию релиза и ядра
cat /etc/os-release ; uname -r

Гигиена работы

Правило	Зачем
Kali — в VM/контейнере	Изоляция от хоста, снапшоты, быстрый откат
Снапшот после настройки	Чистая база для каждого нового заказа
Не работать под root постоянно	sudo точечно — снижает риск самоповреждения
Отдельная VM/сеть на заказ	Не смешивать артефакты разных клиентов
Логировать сессию	`script -a sess.log` — для отчёта и воспроизведения
Шифровать loot	Данные заказчика = высокая ответственность

Главное правило, не зависящее от инструмента. Kali — это набор инструментов двойного назначения. Законным его делает не дистрибутив, а письменное разрешение на тест конкретной цели. Нет scope/RoE/договора — нет действия. В РФ несанкционированный доступ — ст. 272–274 УК.

Угол изучения. Эффективнее всего осваивать Kali как вторую половину к навыкам защиты: почти каждый инструмент атаки имеет зеркало в детекте. Запускаешь Responder — смотришь, как он светится в SIEM; гоняешь Atomic-Operator — проверяешь покрытие правил. Так изучение превращается из «набора хакерских тулзов» в системную прокачку обеих ролей.