Дистрибутивы Linux для пентестера: от выбора до hardening

Когда я впервые поставил Kali в VirtualBox и запустил nmap по учебному стенду TryHackMe, мне и в голову не пришло проверить версию ядра. Зря. Ядро из ветки 5.15 содержало CVE-2026-31431 - CVSS 7.8 (HIGH), EPSS 0.98, top 0.09% среди всех CVE по вероятности реальной эксплуатации за 30 дней. Дистрибутив, который должен искать чужие уязвимости, оказался дырявым сам.

Ситуация банальная: новичок ставит Kali или Parrot, запускает Metasploit - и забывает, что под капотом обычное Linux-ядро с теми же CVE, что и у любого Debian-сервера. Ниже - как выбрать дистрибутив, понять его слабые места и закрыть дыры до начала работы.

Kali vs Parrot vs BlackArch - обзор дистрибутивов linux для пентеста​

Три дистрибутива - три подхода к рабочей среде. Kali - готовый тулбокс на Debian testing с лучшей документацией из тройки. Parrot - лёгкая альтернатива на Debian stable, заточенная под приватность. BlackArch - модульный репозиторий для Arch Linux, где ты собираешь среду под себя, а не получаешь "набор всего". Подробнее - в нашем обзоре linux для пентестера.

Другие варианты (BackBox для форензики, CAINE для анализа дисков, Pentoo на Gentoo) решают нишевые задачи и не годятся как первый выбор.

Kali Linux - настройка и старт​

Самый документированный дистрибутив для пентеста. Около 600 предустановленных инструментов покрывают разведку (nmap, Recon-ng), эксплуатацию (Metasploit, SQLMap), брутфорс (John the Ripper, Hashcat) и анализ трафика (Wireshark). Metapackages позволяют поставить только нужную группу - kali-tools-web для веба, kali-tools-wireless для Wi-Fi. Режим Kali Undercover маскирует рабочий стол под Windows - пригодится при работе в кафе или коворкинге.

Но есть нюанс: база Debian testing менее стабильна, чем stable. Обновления проходят менее строгую проверку, и система может развалиться при апгрейде. Без опыта откатить изменения - то ещё удовольствие. На r/cybersecurity часть практикующих пентестеров признаётся, что работает в обычном Ubuntu или Fedora, доустанавливая нужные инструменты руками. Больше контроля, меньше сюрпризов.

Parrot Security - linux для пентеста с фокусом на безопасность​

Parrot OS сидит на Debian stable - обновления предсказуемые, поломки при апгрейде случаются реже. Версия 7.x на базе Debian 13 с оперативным циклом доставки патчей закрывает уязвимости ядра быстрее, чем Kali на Debian testing. Ест меньше оперативки и нормально живёт в VirtualBox с 2 GB RAM. Встроенный AnonSurf гонит трафик через Tor без ручной конфигурации - для OSINT-задач самое то.

Ограничение: набор нишевых инструментов уже, чем у BlackArch. Криптоанализ специфичных протоколов, реверс прошивок, аудит IoT - придётся доставлять руками. Для стандартного веб-пентеста и сетевого сканирования Parrot хватает за глаза.

BlackArch Linux - обзор для продвинутых​

BlackArch - не дистрибутив в привычном смысле, а репозиторий из 2800+ инструментов для Arch Linux. Подключается к существующей установке, инструменты ставятся группами: pacman -S blackarch-exploitation для эксплуатации, pacman -S blackarch-networking для сетевых утилит. Arch-репозитории работают без географических ограничений - актуально для пользователей из СНГ, в отличие от некоторых зеркал Kali, которые могут потребовать ручной перенастройки.

Ограничение: нужно уверенно владеть Arch Linux и pacman. Rolling-модель обновлений может сломать зависимости в самый неподходящий момент. Если вы впервые открыли терминал - начинайте с Kali или Parrot. К BlackArch переходите, когда точно знаете, какие инструменты нужны и готовы их поддерживать сами.

CVE-2026-31431 - почему "дистрибутив для пентеста" != "безопасный дистрибутив"​

"Специализированный = безопасный" - опасное заблуждение. Разберём на конкретной CVE, которую CISA внесла в каталог Known Exploited Vulnerabilities.

CVE-2026-31431 - уязвимость в подсистеме crypto/algif_aead ядра Linux: некорректная передача ресурсов между адресными пространствами (CWE-669: Incorrect Resource Transfer Between Spheres, CWE-1288). Локальный пользователь с минимальными привилегиями повышает их до root. По MITRE ATT&CK - техника T1068 (Exploitation for Privilege Escalation, тактика Privilege Escalation). T1068 описана как платформонезависимая, но готовые atomic-тесты (Atomic Red Team) для неё существуют только для Windows. Для Linux-кейсов валидация строится на конкретных CVE и PoC-эксплойтах.

Бизнес-логика атаки: злоумышленник получил low-priv shell на рабочей машине пентестера - через скомпрометированный Python-пакет из pip, вредоносный репозиторий или бэкдор в загруженном инструменте - и эксплуатирует CVE-2026-31431 для эскалации до root. Итог: SSH-ключи, VPN-конфигурации, отчёты по клиентским проектам - всё утекло.

Уязвимые ядра: ветки 4.14.0 до 5.10.254 (исключительно), 5.11.0 до 5.15.204 (исключительно) и 5.16.0+ до соответствующих патчей.

Характеристики по NVD:

• CVSS 7.8 (HIGH), вектор AV:L/AC:L/PR:L/UI:N - локальная атака, низкая сложность, действия пользователя не требуются
• EPSS 0.9811 (percentile 0.9991) - top 0.09% среди всех CVE по вероятности эксплуатации
• CISA KEV: добавлена 1 мая 2026, срок устранения - 15 мая 2026
• SSVC: Act - патчить немедленно; эксплуатация активна; техническое воздействие полное

Патчи выпущены. Debian bookworm: linux 6.1.170-1 (DSA-6243-1). Debian trixie: linux 6.12.85-1 (DSA-6238-1). RHEL 6 и 7 не затронуты. Ubuntu - множественные USN для ядер jammy, noble, focal и bionic. Kali и Parrot базируются на Debian, поэтому apt подтягивает патч из upstream-репозитория.

Публичные PoC-эксплойты. Самый известный - rootsecdev/cve_2026_31431 (577 звёзд). Есть PoC для escape из непривилегированного контейнера в Kubernetes (Percivalll/Copy-Fail-CVE-2026-31431-Kubernetes-PoC, 194 звезды) и Rust-реализация с поддержкой Meterpreter shellcode. Пометка CISA SSVC Automatable: "no" означает, что массовая автоматизированная эксплуатация затруднена - для каждой цели нужна адаптация PoC под конкретную версию ядра и окружение (контейнер или хост). Готовые эксплойты при этом есть, просто "нажал кнопку - получил root на любой машине" не работает.

Hardening linux дистрибутивов - защита linux для пентеста​

. Если права шире - исправьте: sudo chmod 640 /etc/shadow.

Аудит cron и sudo. Cron-задачи (T1053.003, тактики Persistence и Privilege Escalation) и конфигурация sudo (T1548.003, Sudo and Sudo Caching - техника применима к GNU/Linux и macOS) - классические векторы закрепления. Проверяйте: crontab -l (ваши задачи), sudo cat /etc/crontab (системные), sudo -l (что доступно без пароля). Если sudo -l показывает NOPASSWD для интерпретаторов (python, bash, perl) - это прямой путь к root. Я видел такое на свежеустановленных Kali - NOPASSWD для всего, потому что "так удобнее".

Отключить лишние сервисы. Одно из реальных преимуществ GNU/Linux перед Windows - меньше ненужных фоновых сервисов из коробки. Но "меньше" не значит "ноль". Проверьте: ss -tlnp покажет все слушающие порты. Всё, что не нужно для текущей задачи, - отключите через sudo systemctl disable --now <service>.

Самопроверка через LinPEAS. LinPEAS автоматически ищет пути повышения привилегий на Linux-машине. Запустите на собственном дистрибутиве: curl -L https://github.com/peass-ng/PEASS-ng/releases/latest/download/linpeas.sh | sh. Если скрипт находит критические пути эскалации на вашей рабочей машине - закройте их до начала пентеста. Иронично: инструмент атакующего как средство самозащиты.

Точка зрения​

Большинство начинающих тратят недели на изучение инструментов атаки и ноль минут на защиту рабочего окружения. Я так делал - ставил Kali, открывал Metasploit и был уверен: "специализированный дистрибутив = безопасный". Нет. Kali, Parrot, BlackArch - наборы инструментов поверх обычного Linux, и ядро у них такое же дырявое. CVE-2026-31431 это показала: EPSS 0.98, активная эксплуатация, публичные PoC с Meterpreter shellcode - на ядрах, которые стоят в Kali из коробки.

Мой подход сейчас: сначала apt full-upgrade, потом ufw enable, потом LinPEAS на себе - и только после этого nmap наружу. Споры "Kali или Parrot" вторичны, если базовый hardening не сделан. Выбор дистрибутива - вопрос предпочтений. Выбор не обновлять ядро - вопрос некомпетентности. Базовый трек IB Basics - для тех, кто не хочет в одиночку ковыряться в Kali.