Distribution - Installation - Configuration - Pentest lab
VM VirtualBox, machine physique, WSL ou Live USB : toutes les méthodes d’installation de Kali Linux expliquées, avec les configurations essentielles, les premiers outils à maîtriser et les erreurs à éviter. Le guide rédigé par les pentesters PIIRATES qui utilisent Kali en mission au quotidien.
Pourquoi Kali Linux reste la référence absolue du pentest en 2026
Kali Linux n’est pas juste une distribution Linux avec des outils préinstallés. C’est un écosystème complet maintenu par Offensive Security, conçu spécifiquement pour les professionnels de la sécurité offensive. Chaque détail compte : les permissions par défaut, la gestion du noyau, les drivers réseau, l’organisation des outils.
En 2026, Kali Linux embarque plus de 600 outils organisés par catégorie (reconnaissance, exploitation, post-exploitation, forensique, wireless, social engineering), une branche rolling kali-rolling synchronisée avec Debian Testing pour des mises à jour continues, et depuis mars 2026 l’intégration de HexStrike AI pour générer des commandes de pentest via un LLM local.
Chez PIIRATES, Kali Linux est l’environnement de travail principal de nos pentesters pour les missions de pentest applicatif, d’audit d’infrastructure et de pentest industriel. Ce guide vous explique comment installer, configurer et prendre en main Kali Linux de la même façon que nous le faisons pour nos missions.
Choisir sa méthode d’installation : comparatif complet
Avant de télécharger quoi que ce soit, la première décision est de choisir la méthode d’installation adaptée à votre usage. Chacune a ses avantages et ses contraintes selon que vous débutez ou que vous utilisez Kali en mission professionnelle.
| Méthode | Usage recommandé | Performances | Isolation | Portabilité |
|---|---|---|---|---|
| Machine virtuelle (VirtualBox / VMware) | Débutant, apprentissage, lab | Moyenne | Excellente | Bonne |
| Machine physique dédiée | Missions terrain, performances maximales | Maximale | Nulle (OS unique) | Nulle |
| Dual boot | Usage mixte pro/perso sur un seul PC | Native | Partielle | Nulle |
| Live USB (mode persistant) | Mobilité, missions terrain ponctuelles | Bonne | Bonne | Maximale |
| WSL 2 (Windows Subsystem for Linux) | Windows principal, outils CLI uniquement | Bonne | Partielle | Nulle |
| Docker / Conteneur | CI/CD, automation, usage scripté | Bonne | Partielle | Excellente |
Pour débuter : VM VirtualBox avec 4 Go de RAM et 40 Go de disque. Pour les missions terrain : machine physique dédiée ou Live USB persistant sur un SSD rapide. Le dual boot est déconseillé car il expose le système hôte en cas de problème et complique la gestion des snapshots.
Télécharger et vérifier Kali Linux
Téléchargez l’image ISO ou la VM pré-configurée depuis le site officiel kali.org uniquement. Ne jamais utiliser de miroirs non officiels pour un outil de sécurité.
Les formats disponibles en 2026 :
- ISO Installer : installation complète sur disque ou VM.
- VM images : fichiers .ova ou .7z préts à importer dans VirtualBox ou VMware. C’est le plus rapide pour démarrer.
- Live Boot : exécution directe depuis USB sans installation.
- WSL : package disponible dans le Microsoft Store.
- ARM : images spécifiques pour Raspberry Pi, Apple Silicon (M1/M2/M3).
Vérifier l’intégrité du fichier téléchargé
Avant toute installation, vérifier le checksum SHA256 est une étape non négociable. C’est aussi votre première leçon pratique de sécurité opérationnelle.
Sur Linux / macOS :
sha256sum kali-linux-2026.1-installer-amd64.iso
Sur Windows (PowerShell) :
Get-FileHash kali-linux-2026.1-installer-amd64.iso -Algorithm SHA256
Comparez le résultat avec le hash affiché sur la page de téléchargement officielle. Si les deux chaînes sont identiques, le fichier est intègre.
Installation de Kali Linux sur VirtualBox : étape par étape
La méthode la plus rapide est d’importer la VM image pré-configurée depuis kali.org.
Étape 1 : Importer la VM dans VirtualBox
- Téléchargez le fichier
.ovaKali Linux pour VirtualBox depuis kali.org. - Dans VirtualBox : Fichier > Importer un appareil virtuel.
- Sélectionnez le fichier
.ovaet cliquez sur Suivant. - Ajustez les ressources selon votre matériel (voir recommandations ci-dessous).
- Cliquez sur Importer. La VM est créée automatiquement avec tous les paramètres optimisés.
Étape 2 : Ressources minimales recommandées
| Ressource | Minimum absolu | Recommandé (confortable) | Optimal (missions) |
|---|---|---|---|
| RAM | 2 Go | 4 Go | 8 Go |
| Disque | 20 Go | 40 Go | 80 Go |
| CPU | 2 vCPU | 4 vCPU | 4 vCPU |
| Accélération | Aucune | VT-x/AMD-V | VT-x + nested virtualization |
Étape 3 : Première connexion et changement du mot de passe par défaut
Les identifiants par défaut des VM pré-configurées Kali Linux sont kali / kali. Changez-les immédiatement après la première connexion :
passwd
Pour passer en root si nécessaire :
sudo su -
Étape 4 : Snapshot initial
Avant toute modification, créez un snapshot de l’état initial. Nommez-le explicitement : Kali 2026 fresh install. Ce snapshot vous permet de revenir à un état propre en quelques clics si vous cassez l’installation lors d’expérimentations. Dans VirtualBox : Machine > Prendre un instantané.
Installation de Kali Linux sur WSL 2 (Windows)
Kali Linux sur WSL 2 permet d’utiliser les outils en ligne de commande depuis Windows sans VM. C’est pratique pour un usage quotidien, mais limité : pas d’interface graphique native (sauf via WSLg), pas d’accès aux interfaces réseau physiques, pas de support des pilotes WiFi pour l’audit wireless.
Installation depuis PowerShell (en mode administrateur) :
wsl --install -d kali-linux
Ou depuis le Microsoft Store en recherchant “Kali Linux”.
Après le premier lancement, Kali vous demande de créer un nom d’utilisateur et un mot de passe. Installez ensuite le méta-paquet des outils courants :
sudo apt update && sudo apt install -y kali-linux-default
Installation de Kali Linux en Live USB persistant
Le mode Live USB persistant est idéal pour les missions terrain : vous gardez votre environnement personnel (configurations, scripts, outils) sur la clé USB et pouvez travailler depuis n’importe quelle machine.
Création de la clé USB avec Balena Etcher (Windows/macOS/Linux) ou dd sur Linux :
sudo dd if=kali-linux-2026.1-live-amd64.iso of=/dev/sdX bs=4M status=progress
Remplacez /dev/sdX par le périphérique de votre clé USB (vérifiez avec lsblk avant). Pour activer la persistance, une partition supplémentaire nommée persistence doit être créée et configurée avec un fichier persistence.conf contenant / union. Cette procédure est documentée en détail sur la documentation officielle kali.org.
Vous avez installé Kali Linux. Et maintenant ?
Nos pentesters utilisent ces mêmes outils dans de vraies missions d’audit. Découvrez comment nous les appliquons pour tester la sécurité de vos applications et infrastructures.
Configuration post-installation : les étapes que font tous nos pentesters
Une installation de Kali Linux fraîche n’est pas encore un environnement de pentest professionnel. Voici les configurations systématiques que nos équipes appliquent avant chaque mission.
1. Mise à jour complète du système
La première commande après l’installation :
sudo apt update && sudo apt full-upgrade -y
Notez la différence entre apt upgrade (conservatif, ignore les paquets avec conflits) et apt full-upgrade (résout les conflits en installant et supprimant des dépendances si nécessaire). Sur Kali, full-upgrade est la commande correcte pour un système rolling.
2. Installer les méta-paquets adaptés à votre usage
Kali propose des méta-paquets qui installent des groupes d’outils par catégorie. Inutile d’installer les 600 outils : choisissez selon votre usage :
sudo apt install -y kali-linux-default — Outils essentiels (recommandé pour débuter)sudo apt install -y kali-linux-web — Pentest web : Burp Suite, sqlmap, nikto, dirb, wfuzzsudo apt install -y kali-linux-wireless — Audit WiFi : aircrack-ng, kismet, reaversudo apt install -y kali-linux-forensics — Investigation numérique et forensiquesudo apt install -y kali-linux-everything — Installation complète (60 Go minimum, non recommandé sur VM)
3. Configurer le terminal et le shell
Le shell par défaut de Kali est zsh avec zsh-autosuggestions et zsh-syntax-highlighting préinstallés. La configuration par défaut est déjà optimisée pour le pentest. Pour aller plus loin, l’ajout de tmux est incontournable en mission : il permet de gérer plusieurs fenêtres de terminal, de partager une session et de maintenir des processus de longue durée actifs même en cas de déconnexion.
sudo apt install -y tmux
Configuration tmux de base (~/.tmux.conf) :
set -g mouse on
set -g history-limit 50000
bind | split-window -h
bind - split-window -v
4. Configurer le proxy Burp Suite
Pour le pentest applicatif avec Burp Suite, configurer FoxyProxy dans Firefox est la première étape :
- Lancer Burp Suite :
burpsuite & - Dans Burp, Proxy > Options : vérifier que le listener est sur
127.0.0.1:8080. - Installer l’extension FoxyProxy sur Firefox et créer un profil pointant vers
127.0.0.1:8080. - Installer le certificat CA de Burp : naviguer vers
http://burpsuiteavec le proxy actif et télécharger le certificat, puis l’importer dans les autorités de confiance Firefox.
5. Générer des clés SSH et configurer les accès
Pour les missions qui nécessitent des connexions SSH vers des machines cibles ou de rebond :
ssh-keygen -t ed25519 -C "kali-mission-$(date +%Y%m%d)"
Utiliser des clés Ed25519 (plus sûres et plus compactes que RSA-2048).
6. Configurer un VPN ou un réseau privé pour les labs
Pour travailler sur des plateformes de lab comme Hack The Box ou TryHackMe, téléchargez le fichier .ovpn de votre compte et connectez-vous :
sudo openvpn --config votre-fichier.ovpn
Pour vérifier que la connexion est établie et que votre IP VPN est active :
ip a show tun0
Les commandes Kali Linux essentielles pour le pentest
Voici les commandes et workflows que nos pentesters utilisent en phase de reconnaissance et de scan lors de leurs missions. Elles constituent la base de tout test d’intrusion.
Nmap : scan réseau et découverte de services
Nmap est le premier outil lancé sur toute cible. Les commandes les plus utilisées en mission :
Découverte des hôtes actifs sur un réseau :
nmap -sn 192.168.1.0/24
Scan des ports les plus courants avec détection de services et de version :
nmap -sV -sC -O -p- --min-rate 5000 192.168.1.100
Scan rapide des 1000 ports les plus courants avec scripts par défaut :
nmap -sV -sC 192.168.1.100
Enregistrer les résultats dans tous les formats :
nmap -sV -sC 192.168.1.100 -oA scan_cible
theHarvester : reconnaissance OSINT d’un domaine
theHarvester collecte des emails, sous-domaines, IPs et enregistrements DNS depuis des sources publiques :
theHarvester -d domaine-cible.com -b google,bing,linkedin,shodan
En mission, nous croisons les résultats de theHarvester avec Maltego pour construire une carte complète de la surface d’exposition externe.
Gobuster / ffuf : énumération de répertoires et sous-domaines
Enumeration de répertoires web :
gobuster dir -u https://cible.com -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php,html,txt -t 50
Enumération de sous-domaines :
ffuf -u https://FUZZ.cible.com -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt -mc 200,301,302
sqlmap : détection et exploitation d’injections SQL
sqlmap -u "https://cible.com/page?id=1" --dbs --batch
En pentest applicatif, sqlmap est utilisé pour confirmer les injections SQL identifiées manuellement via Burp Suite. Jamais en aveugle sur une cible inconnue.
Metasploit : framework d’exploitation
Lancer Metasploit et mettre à jour la base de données de modules :
sudo msfdb init
msfconsole
Rechercher un module par CVE :
msf6 > search cve:2021-44228
Utiliser un module :
msf6 > use exploit/multi/handler
msf6 exploit(multi/handler) > set PAYLOAD windows/x64/meterpreter/reverse_tcp
msf6 exploit(multi/handler) > set LHOST 0.0.0.0
msf6 exploit(multi/handler) > run
Responder : capture de hashes NTLM sur le réseau
Incontournable dans les missions de pentest interne pour capturer des authentifications NTLM et les cracker avec Hashcat :
sudo responder -I eth0 -A
Mode analyse uniquement (-A) pour observer les authentifications sans répondre. Retirer -A pour passer en mode offensif après validation du périmètre avec le client.
CrackMapExec / NetExec : énumération Active Directory
NetExec (successeur de CrackMapExec) est l’outil de référence pour l’énumération et le mouvement latéral en environnement Windows/Active Directory :
nxc smb 192.168.1.0/24 -u utilisateur -p motdepasse --shares
nxc smb 192.168.1.100 -u utilisateur -p motdepasse --sam
Wordlists : où trouver les dictionnaires dans Kali
Les wordlists sont dans /usr/share/wordlists/. Les plus utilisées :
/usr/share/wordlists/rockyou.txt.gz— dictionnaire de mots de passe (14 millions d’entrées). Décomprimer avecgunzipavant utilisation./usr/share/seclists/— collection SecLists (sous-domaines, usernames, répertoires web, fuzzing payloads). Installer avecsudo apt install seclists./usr/share/wordlists/dirbuster/— listes de répertoires pour gobuster et dirb.
Vous connaissez maintenant l’installation. Mais quels outils utiliser et quand ?
Notre premier article Kali Linux détaille l’arsenal complet de la distribution : comment chaque outil s’intègre dans les phases d’une mission de pentest, avec des cas concrets issus de nos audits.
Les erreurs que font tous les débutants sur Kali Linux
Après avoir formaté des profils juniors et suivi des dizaines de personnes dans leur prise en main de Kali, voici les erreurs classiques et comment les éviter.
- ✕ Vouloir apprendre tous les 600 outils en même temps.
Kali Linux écrase les débutants par sa richesse. La bonne approche : maîtriser parfaitement 10 outils plutôt que de connaître vaguement 100. Nmap, Burp Suite, Metasploit, sqlmap, Hashcat, BloodHound : ces 6 outils couvrent 80 % des besoins en pentest professionnel. - ✕ Utiliser root comme compte de travail par défaut.
Depuis Kali 2020+, l’utilisateur par défaut estkali(non-root) avecsudo. C’est intentionnel. Travailler en root permanent augmente les risques d’erreur et laisse plus de traces. Utilisezsudouniquement quand nécessaire. - ✕ Ne pas faire de snapshot avant les expérimentations.
Kali est une distribution rolling. Une mise à jour mal gérée ou un outil mal installé peut casser l’environnement. Sans snapshot, vous réinstallez tout depuis zéro. Avec, vous revenez à l’état précédent en 30 secondes. - ✕ Lancer des outils sur des systèmes sans autorisation.
Kali Linux est légal. L’utiliser pour attaquer des systèmes sans autorisation écrite ne l’est pas. La loi Godfrain (article 323-1 du Code pénal) prévoit jusqu’à 2 ans d’emprisonnement et 60 000 euros d’amende. Toutes nos missions PIIRATES font l’objet d’un PV d’autorisation signé avant toute action. - ✕ Pratiquer uniquement sur des labs et ne jamais aller sur le terrain.
Hack The Box, TryHackMe et les CTF sont d’excellents environnements d’apprentissage. Mais les vulnérabilités réelles, les protections EDR, les réseaux d’entreprise avec leurs spécificités : seule la pratique terrain le développe. C’est ce que nos formations cybersecurité apportent à nos clients.
Kali Linux et le cadre légal : ce qu’il faut savoir
Kali Linux est un outil open source, distribué librement et légal à installer. Son utilisation dans un cadre éthique et autorisé est entièrement légitime : formation, lab personnel, audit de vos propres systèmes, missions contractées avec autorisation écrite.
En revanche, utiliser Kali Linux ou l’un de ses outils pour accéder à des systèmes appartenant à des tiers sans leur autorisation explicite est un délit pénal en France. La possession de l’outil n’est pas un problème. Son utilisation non autorisée l’est.
PIIRATES réalise toutes ses missions dans un cadre contractuel strict, avec un PV d’autorisation signé par le commanditaire avant tout démarrage d’activité technique.
Indépendance totale
Expertise offensive
Professionnalisme
kali-rolling. La mise à jour se fait avec sudo apt update && sudo apt full-upgrade -y. Utilisez full-upgrade et non upgrade : sur un système rolling, upgrade peut laisser des paquets dans un état incomplet si leurs dépendances ont évolué. Pensez à créer un snapshot avant chaque mise à jour majeure.
Nos coordonnées
- 04 28 49 00 25
- contact@piirates.fr
- 6 Rue Denis Papin
07130 Saint Peray
Envoyez nous un ping
Comment installer et configurer Kali Linux pour le pentest en 2026 : VirtualBox, WSL 2, Live USB, machine physique. Commandes essentielles, configuration Burp Suite, erreurs à éviter. Par les pentesters PIIRATES.
