Kali Linux的账号默认账号密码是：用户名kali，密码kali。密码就这么简单。账号如果你是密码从官方网站下载的ISO镜像，无论是账号直接安装到硬盘、在虚拟机里跑，密码还是账号用Live模式启动，这套凭据在绝大多数版本里都成立。密码我最近一次用Kali 2024.1的账号安装镜像测试，装完重启，密码登录界面输入kali/kali，账号直接进桌面。密码没有强制改密码的账号步骤，也没有随机生成的密码初始密码。

这事其实挺多人问的账号。新手刚接触Kali，兴冲冲装完，卡在登录界面，试了root/root、admin/admin、toor/toor，全不对。然后开始怀疑自己是不是下载了假的镜像。我见过一个论坛帖子，楼主说自己试了二十多个密码组合，最后差点重装系统。回帖里有人甩了一句“kali/kali”，楼主回复“我像个傻子”。这种场景反复出现，说明默认凭据这件事，官方文档写得不够显眼，而网上流传的答案又太零散。

为什么是kali/kali？这得从Kali的定位说起。它基于Debian，但做了大量渗透测试工具的集成。早期BackTrack时代，默认账号是root/toor，密码就是root倒过来写。后来Kali独立出来，开发团队决定不再默认启用root账户，而是创建一个普通用户kali，密码也设成kali。这个设计意图很明确：鼓励用户以普通权限操作，需要提权时再用sudo。安全工具里很多会直接调用系统底层，长期用root跑，一个手滑的rm -rf就能把系统干废。用普通账户，至少多一道确认。

不过这里有个细节容易踩坑。如果你下载的是Kali的Live镜像，启动后直接进入桌面，有时候不会弹出登录框。但一旦你锁屏或者切换用户，密码依然是kali。另外，某些第三方修改版或者老旧的BackTrack镜像，默认凭据可能不同。我手头还留着一个2016年的Kali 2.0虚拟机，账号密码也是kali/kali，没变过。但如果你从非官方渠道下载，比如某些“优化版”“中文版”，人家可能把默认密码改了，甚至预装了后门。这不是危言耸听，安全圈里有人专门分析过这类镜像，发现过SSH后门和挖矿脚本。

装完系统第一件事，改密码。命令是passwd，先输入当前密码kali，然后输两遍新密码。如果你打算用root账户，先sudo passwd root给root设个密码，再su -切换过去。有人嫌麻烦，直接sudo -i进root shell，也行。但长期用root跑图形界面，某些工具会弹警告，比如Wireshark会提示“以root运行有风险”。听人劝，吃饱饭。

虚拟机用户还有个常见问题：快照回滚后密码变了。比如你在VMware里装完Kali，改了密码，做了快照。后来系统搞崩了，回滚到快照，结果发现密码还是kali。这是因为快照恢复的是磁盘状态，你改密码的操作在快照之后，自然被抹掉了。我有个朋友折腾了半小时，以为虚拟机坏了，最后发现是快照的锅。所以改完密码记得重新做快照，或者至少记在密码管理器里。

云服务器上跑Kali又是另一回事。AWS、Azure的Kali镜像，默认用户名可能是kali，但密码不是kali，而是你创建实例时生成的密钥对。没有密码登录这回事，直接用SSH密钥。如果你非要用密码，得进系统后自己设。DigitalOcean的Kali镜像也类似，root登录被禁用，用kali用户加SSH密钥。这种设计比固定密码安全得多，毕竟公网上的22端口每天被扫无数次，用kali/kali等于把门敞开。

最后说个冷门的。Kali的WSL版本，也就是Windows Subsystem for Linux里装的那个，默认用户是你自己设置的，不是kali。安装过程中会提示你输入用户名和密码，那个才是你的登录凭据。有人照着网上的教程找kali/kali，结果发现根本不存在这个账户。WSL的Kali更像一个普通的Debian环境，只是预装了Kali的工具仓库。

所以，kali/kali是默认答案，但不是唯一答案。装完先试这个，进不去就查你下载的镜像来源。改密码要趁早，别等被扫了才后悔。至于那些问“kali账号密码是什么”的人，多半是刚装完系统，面对黑乎乎的登录框有点懵。回一句“kali/kali”，然后提醒他改密码，这事就结了。