Tutoriel : Utiliser Kali Linux pour les débutants

Pourquoi Kali Linux reste l’OS de référence pour la cybersécurité ?

Kali Linux n’est pas « un » OS pentest, c’est l’OS pentest. Maintenu par Offensive Security (les créateurs d’OSCP), il livre 600+ outils pré-configurés et reçoit des mises à jour hebdomadaires. C’est aussi la base de tous les cours sérieux en cybersécurité (TryHackMe, HackTheBox, OSCP, eJPT). Au Sénégal, savoir manier Kali — même au niveau débutant — vous différencie immédiatement sur le marché de l’emploi sécurité, là où la plupart des candidats ne dépassent pas « j’ai installé Linux Mint une fois ».

Kali Linux : la distribution de référence pour la cybersecurite

Kali Linux est une distribution Linux basee sur Debian, conue specialement pour les tests de pénétration et l’audit de sécurité. Elle intègre plus de 600 outils de cybersecurite pre-installés. Utilisee par les professionnels de la sécurité, les pentesteurs et les etudiants, c’est la porte d’entree vers le monde de la sécurité offensive.

Avertissement legal : au Sénégal, la loi 2008-11 sur la cybercriminalite punit l’accès non autorise a des systèmes informatiques. N’utilisez Kali Linux que sur vos propres systèmes ou avec une autorisation ecrite. Ce guide est destiné a l’apprentissage et a la sécurisation de vos propres infrastructures.

Installation de Kali Linux

Option 1 : Machine virtuelle (recommande pour debuter)

La méthode la plus sure pour debuter sans risquer votre système principal :

# 1. Télécharger VirtualBox (gratuit) depuis virtualbox.org
# 2. Télécharger l'image VM Kali depuis kali.org/get-kali/
#    Choisir "Virtual Machines" > "VirtualBox"
#    Fichier .ova d'environ 3-4 Go

# 3. Dans VirtualBox : Fichier > Importer un appareil virtuel
#    Selectionner le fichier .ova téléchargé

# 4. Configuration recommandee :
#    - RAM : 4 Go minimum (8 Go ideal)
#    - CPU : 2 coeurs minimum
#    - Stockage : 40 Go minimum

# 5. Identifiants par défaut :
#    Utilisateur : kali
#    Mot de passe : kali
#    CHANGEZ-LES IMMEDIATEMENT !

Option 2 : Clé USB bootable (Live)

# 1. Télécharger l'ISO Kali depuis kali.org
# 2. Télécharger Rufus (Windows) ou Etcher
# 3. Flasher l'ISO sur une clé USB de 16 Go minimum
# 4. Démarrer le PC depuis la clé USB (F12 au démarrage)
# Mode Live : rien n'est installé sur votre disque dur

Option 3 : WSL2 sur Windows (usage léger)

# Sur Windows 10/11, installer Kali via WSL
wsl --install -d kali-linux

# Lancer Kali
wsl -d kali-linux

# Installer les outils de base
sudo apt update && sudo apt install kali-linux-headless -y

# Limitation : pas de mode graphique complet
# Mais suffisant pour la ligne de commande

Premieres étapes après l’installation

# 1. Changer le mot de passe par défaut
passwd

# 2. Mettre a jour le système
sudo apt update && sudo apt full-upgrade -y

# 3. Vérifier les outils installés
apt list --installed | wc -l

# 4. Installer des outils supplementaires si besoin
sudo apt install kali-tools-top10 -y     # Les 10 outils les plus utilisés
sudo apt install kali-linux-large -y     # Collection etendue

Les outils essentiels de Kali Linux

Tutoriel pratique 1 : Scanner votre propre réseau

# Étape 1 : Découvrir votre adresse IP et réseau
ip addr show
# Notez votre IP (ex: 192.168.1.50) et le masque (/24)

# Étape 2 : Découvrir les machines activés
sudo nmap -sn 192.168.1.0/24

# Étape 3 : Scanner les ports ouverts sur votre routeur
sudo nmap -sS -sV 192.168.1.1

# Étape 4 : Scanner vos propres machines
sudo nmap -sS -sV -sC -O 192.168.1.50
# -sS : scan SYN (rapide)
# -sV : détection de version
# -sC : scripts par défaut
# -O  : détection OS

# Étape 5 : Chercher les vulnerabilites
sudo nmap --script vuln 192.168.1.50

# Que chercher dans les résultats :
# - Ports ouverts inutilement
# - Services obsoletes (vieilles versions)
# - Partages réseau non sécurisés

Tutoriel pratique 2 : Auditer un site WordPress (le votre)

# WPScan est pre-installé sur Kali
# Scanner votre propre site WordPress

# Scan de base
wpscan --url https://votre-site.sn

# Enumerer les plugins installés
wpscan --url https://votre-site.sn --enumerate p

# Enumerer les utilisateurs
wpscan --url https://votre-site.sn --enumerate u

# Scan complet avec API token (gratuit, 25 scans/jour)
# Créer un compte sur wpscan.com pour obtenir un token
wpscan --url https://votre-site.sn --api-token VOTRE_TOKEN --enumerate vp,vt,u
# vp : plugins vulnerables
# vt : thèmes vulnerables
# u  : utilisateurs

# Résultat type :
# [!] Title: Plugin XYZ < 3.5 - SQL Injection
# Fixed in: 3.5
# => Mettez a jour ce plugin immédiatement !

Tutoriel pratique 3 : Analyser le trafic réseau

# Wireshark - capture et analyse de paquets

# Lancer Wireshark
sudo wireshark

# Ou capturer en ligne de commande avec tcpdump
sudo tcpdump -i eth0 -w capture.pcap

# Filtres Wireshark utiles :
# Voir uniquement le trafic HTTP
http

# Voir les requetes DNS
dns

# Voir le trafic vers/depuis une IP spécifique
ip.addr == 192.168.1.50

# Voir les tentatives de connexion SSH
tcp.port == 22

# Voir les paquets contenant des mots de passe en clair (HTTP non sécurisé)
http.request.method == "POST"

# Chercher des transferts de fichiers
ftp-data || tftp

Tutoriel pratique 4 : Tester la solidite de vos mots de passe

# John the Ripper - test de mots de passe

# Extraire les hashs d'un système Linux (votre propre machine)
sudo unshadow /etc/passwd /etc/shadow > hashs.txt

# Tester avec un dictionnaire
john --wordlist=/usr/share/wordlists/rockyou.txt hashs.txt

# Voir les mots de passe trouves
john --show hashs.txt

# Si votre mot de passe est trouve en quelques secondes,
# il est TROP FAIBLE. Changez-le !

# Hydra - test de force brute sur services en ligne
# Tester la solidite du mot de passe SSH de votre serveur
hydra -l admin -P /usr/share/wordlists/rockyou.txt ssh://votre-serveur.sn
# Si Hydra trouve le mot de passe, votre serveur est vulnerable

Tutoriel pratique 5 : Scanner les vulnerabilites web

# Nikto - scanner de vulnerabilites web

# Scanner votre propre site
nikto -h https://votre-site.sn

# Résultat type :
# + Server: Apache/2.4.52 (Ubuntu)
# + /: The X-Content-Type-Options header is not set.
# + /: The X-Frame-Options header is not set.
# + /wp-login.php: WordPress login page found
# + /xmlrpc.php: XMLRPC accessible (risque de brute force)

# Actions correctives :
# - Ajouter les headers de sécurité dans Apache/Nginx
# - Désactiver XML-RPC si non utilise
# - Protéger wp-login.php avec fail2ban ou limit login attempts

Environnements d’entrainement legaux

Pour pratiquer sans risque legal, utilisez ces plateformes :

Installer DVWA pour s’entrainer

# Installer DVWA sur Kali avec Docker
sudo apt install docker.io -y
sudo systemctl start docker
sudo docker run -d -p 80:80 vulnerables/web-dvwa

# Accéder a DVWA dans le navigateur
# http://localhost
# Login : admin / password
# Configurer le niveau de sécurité (commencer par "Low")

Parcours d’apprentissage recommande

Mois 1-2 : Bases Linux et réseau

• Maitriser la ligne de commande Linux (cd, ls, cat, grep, chmod, etc.)
• Comprendre le modèle TCP/IP, DNS, HTTP/HTTPS
• Apprendre a utiliser Nmap pour le scan réseau
• Commencer TryHackMe (parcours « Pre Security » et « Introduction to Cyber Security »)

Mois 3-4 : Vulnerabilites web

• Installer et pratiquer sur DVWA
• Comprendre les failles OWASP Top 10 (injection SQL, XSS, etc.)
• Apprendre Burp Suite pour l’interception de requetes
• Scanner des sites avec Nikto et WPScan

Mois 5-6 : Exploitation et post-exploitation

• Apprendre Metasploit (tutoriels sur Metasploitable)
• Comprendre les concepts de privilege escalation
• Pratiquer sur HackTheBox (machines faciles)
• Commencer a rediger des rapports de pentest

Certifications sur un angle proche

Bonnes pratiques et ethique

• Toujours avoir une autorisation ecrite avant de tester un système qui ne vous appartient pas
• Documenter tout : gardez des traces de ce que vous faites, quand et pourquoi
• Ne jamais exploiter les vulnerabilites trouvees a des fins malveillantes
• Signaler les vulnerabilites de maniere responsable (responsible disclosure)
• Respecter la vie privee : ne lisez pas les données personnelles trouvees pendant un audit
• Se former continuellement : la cybersecurite evolue constamment

Erreurs fréquentes

1. Utiliser Kali comme OS quotidien

Cause : on installe Kali sur son PC principal pour « tout faire dedans ». Mauvaise idée : Kali tourne en root par défaut (jusqu’à 2020) ou avec des outils invasifs, mal adaptés à la bureautique, et certains paquets entrent en conflit avec les logiciels grand public.

Solution : Kali = VM ou clé USB Live. Pour le quotidien, utilisez Ubuntu, Linux Mint, Fedora ou Pop!_OS. Si vous voulez tout-en-un, regardez Parrot OS qui propose un mode « Home » bureautique.

2. Ne pas changer le mot de passe par défaut kali/kali

Cause : on laisse les identifiants kali/kali sur la VM. Si la VM est exposée sur le réseau (port forwarding, bridge), n’importe qui peut s’y connecter en SSH.

Solution : au premier démarrage : passwd pour changer le mot de passe, et désactivez SSH si vous ne l’utilisez pas (sudo systemctl disable ssh).

3. Lancer des outils offensifs sur des systèmes tiers « pour s’entraîner »

Cause : on teste Hydra contre un site WordPress public ou Nmap sur la box d’un voisin. La loi 2008-11 sénégalaise punit cela jusqu’à 5 ans d’emprisonnement.

Solution : entraînez-vous UNIQUEMENT sur des plateformes légales : TryHackMe, HackTheBox, DVWA local, Metasploitable, VulnHub. Toujours.

4. Ignorer les mises à jour (apt full-upgrade)

Cause : on installe Kali une fois et on l’utilise pendant 1 an sans mettre à jour. Les outils deviennent obsolètes (signatures Nmap périmées, exploits Metasploit invalides).

Solution : tous les 15 jours : sudo apt update && sudo apt full-upgrade -y. Et tous les 6 mois, vérifiez si la VM doit passer à la nouvelle version annuelle de Kali.

5. Wordlists basiques uniquement (rockyou.txt)

Cause : on utilise toujours /usr/share/wordlists/rockyou.txt pour Hydra/John. Cette liste est ancienne (2009) et adaptée à des contextes anglophones.

Solution : téléchargez SecLists (sudo apt install seclists). Pour le contexte sénégalais, créez votre propre wordlist (prénoms, noms wolof, dates locales) avec cewl.

Lectures complémentaires

• Introduction au pentesting éthique — la méthodologie qui structure l’usage des outils Kali.
• Sécuriser votre site WordPress — appliquer côté défense ce que WPScan révèle côté offense.
• Créer des mots de passe inviolables — comprendre comment Hashcat les casse.
• Reconnaître un email de phishing — la base sociale du pentest.
• Référence officielle : Kali Linux Documentation et Offensive Security Training.
• Plateformes d’entraînement : TryHackMe, HackTheBox, VulnHub.