Kali 是什么，不是什么

Kali Linux 是免费、开源、基于 Debian 的发行版，用于高级渗透测试和安全审计，前身是 BackTrack Linux。官方文档介绍它带有几百个工具、配置和脚本，涵盖计算机取证、逆向工程、漏洞检测等工作。它是 OffSec 社区项目的一部分，版权属于 OffSec Services Limited。

官方对它的定位有两句值得记住：Kali “专为有经验的渗透测试人员的需求量身定制”；站点上的所有文档，都假定你已经了解并熟悉 Linux。官方没有明说它不适合日常使用，下面“不建议”的说法是我的看法：它的工具集和使用场景都为安全测试而设，如果你还在补 Linux 基础，先用别的发行版把包管理、权限和日常操作练熟，再来用 Kali，把它放在虚拟机里，比当作主力系统省心。

先验证镜像，再安装

镜像从 cdimage.kali.org 下载。官方给了一套验证方法：用签名确认校验清单是 Kali 签的，再用校验清单确认镜像没有被改动。

先把校验清单和签名下载到镜像所在的目录：

wget -q https://cdimage.kali.org/current/SHA256SUMS{.gpg,}

导入 Kali 的官方签名密钥，下面两种方式任选一种：

wget -q -O - https://archive.kali.org/archive-key.asc | gpg --import
gpg --keyserver hkps://keyserver.ubuntu.com --recv-key 827C8569F2518CC677FECA1AED65462EC8D5E4C5

然后核对指纹：

gpg --fingerprint 827C8569F2518CC677FECA1AED65462EC8D5E4C5

输出必须和官方公布的指纹完全一致：827C 8569 F251 8CC6 77FE CA1A ED65 462E C8D5 E4C5。这一步不能省。官方特别提醒，这个密钥没有被你信任的签名认证，也就是说你还没有确认它确实属于 Kali，核对指纹就是在做这件确认。指纹对得上，再验证签名：

gpg --verify SHA256SUMS.gpg SHA256SUMS

结果里要有一行 Good signature from。看不到这一行，或者密钥 ID 对不上，就停下来，检查文件是不是从正规的 Kali 镜像站下载的。

最后核对镜像文件本身的校验和。官方的这一页没有给出命令，下面这条我在 Kali rolling 的容器里试过：

sha256sum -c SHA256SUMS --ignore-missing

镜像存在且匹配时输出 文件名: OK，退出码为 0；--ignore-missing 只检查当前目录里实际存在的文件，适合只下载了一个镜像的情况。

默认账户

不同类型的镜像不一样，装之前先弄清自己手上是哪一种：

  • 安装器镜像（amd64）：没有默认账户，安装过程会让你创建一个普通用户。
  • 实时镜像（live）和预制镜像（虚拟机、ARM）：用户名 kali，密码 kali。

官方说明 Kali 采用非 root 用户的策略。对于账户密码公开的 live 和预制镜像，我的建议是第一次登录就改掉 kali 的密码。另外，kalilinux/kali-rolling 容器镜像里并没有 kali 这个用户，容器镜像和上面的镜像不是一回事，别用它来推断账户情况。

选哪个元包

Kali 的工具按元包分组，装法都一样：

sudo apt update
sudo apt install -y kali-linux-default

官方列出的主要元包：

  • kali-linux-core：始终包含的基础系统。
  • kali-linux-headless：不含图形界面的默认安装。
  • kali-linux-default：默认桌面镜像里的工具。
  • kali-linux-large：以前的默认工具集。
  • kali-linux-everything：官方页面上列出的所有元包和工具。
  • kali-desktop-live：从镜像启动的 live 会话使用。
  • kali-linux-arm：适合 ARM 设备的工具。
  • kali-linux-nethunter：Kali NetHunter 使用的工具。

官方没有给出各元包的下载或磁盘大小，只提醒安装前先更新，更新“可能需要一段时间”。我在 kalilinux/kali-rolling 容器（Kali GNU/Linux Rolling 2026.3，最小环境）里用 apt install -s 模拟了一下，需要装入的软件包数量是：kali-linux-headless 1813 个，kali-linux-default 2335 个，kali-linux-large 2755 个。数字来自最小环境，已经装了桌面的系统上会少一些，但量级可以参考。

第一次装，从 kali-linux-default 起步就够了。另外软件源里还有官方元包文档没有列出的 kali-tools-top10，同样环境下模拟需要装 768 个包，想先少装一点、熟悉环境，可以只装它。kali-linux-everything 的规模只会比 large 更大，需要什么再补什么。

只在得到授权的系统上使用

这是用 Kali 的底线：只对你自己拥有的系统，或者你已经取得书面授权的系统做测试。

  • 授权写成文字，写明测试目标的范围和时间。范围之外的主机、超出时间的操作，都不做。
  • 不要在你不拥有的网络、学校或公司的网络上练习，哪怕只是扫一下端口。
  • 各国对未经授权的扫描和攻击的规定不同，具体怎么算违法要看你所在的地区。拿不准某个目标能不能测，就按不能测处理。

练习环境

练手用专门的环境：

  • 在虚拟机里跑 Kali，和日常用的机器隔离。
  • 网络也隔离，让练习的流量不会出现在别人的网络里。
  • 用专门为练习准备的靶场，或者自己搭的实验环境。靶场提供漏洞环境，并不代表你对其中的一切操作都被允许，使用前先读它明确允许的目标、操作范围和使用条款。

常见问题

验证时指纹对不上怎么办？ 不要使用这份镜像。确认文件来自 cdimage.kali.org 或它的正规镜像站，重新下载校验文件再核一遍，仍然不一致就放弃。

装 everything 还是按需装？ 按需装。更新和维护的负担会随工具数量增加。

能不能装在主力机上当日常系统？ 官方没有禁止，我不建议。理由在开头：它是为安全测试设计的发行版，文档默认你熟悉 Linux。