嵌入式Linux忘记root密码的三种破解路径与实战操作

1. 问题场景与核心困境

在嵌入式Linux开发或产品维护中，最让人头皮发麻的场景之一，莫过于某天你需要紧急调试一台设备，却发现root密码怎么输都不对——要么是时间太久忘记了，要么是接手了前任同事留下的“黑盒”，甚至可能是产线批量烧录时用了某个默认密码但文档早已不知所踪。这不像你的个人电脑，可以轻松地用U盘启动盘重置密码。嵌入式设备往往没有显示器、键盘，或者其Bootloader（如U-Boot）被配置为直接启动内核，根本没有给你中断启动流程、进入单用户模式的机会。此时，设备仿佛变成了一块“砖”，所有需要root权限的操作，包括查看日志、更新固件、修改关键配置，全部停滞。更棘手的是，很多商用或工业级嵌入式产品出于安全考虑，会禁用串口登录，或者对Bootloader进行加密、签名验证，进一步堵死了传统PC Linux的密码重置路径。这个看似基础的问题，在嵌入式领域却是一个涉及硬件接口、Bootloader配置、内核参数和文件系统挂载的综合性挑战。

2. 破解之道总览：从Bootloader到文件系统

面对嵌入式Linux平台忘记root密码的困境，我们不能指望一种方法通吃所有设备。其解决思路的核心，在于利用系统启动流程中的“间隙”，获取一个不受现有密码限制的shell环境，从而直接修改存储密码的配置文件。整个Linux启动流程可以简化为：Bootloader -> 内核 -> 根文件系统 -> 用户空间初始化。我们的机会点通常在前三个阶段。

2.1 机会窗口一：Bootloader交互界面

这是最经典、也是理论上最直接的方法。大多数嵌入式设备使用U-Boot作为Bootloader。在系统上电后，U-Boot启动的短暂几秒内，快速按下键盘上的某个键（如空格、回车），可以中断其自动启动流程，进入U-Boot的命令行交互界面。在这里，你拥有极高的权限，可以修改内核的启动参数。核心思路是：通过修改内核的cmdline（命令行参数），告诉内核以单用户模式（single）启动，或者直接指定一个初始化的进程为/bin/sh，从而绕过正常的登录验证流程。

2.2 机会窗口二：内核启动参数

如果无法中断U-Boot（例如，U-Boot的bootdelay被设为0，或者通过串口无法发送中断字符），我们可能需要通过其他方式修改内核的启动参数。对于从网络（TFTP）启动的设备，可以在服务器端修改启动配置文件；对于从SD卡或eMMC启动的设备，可能需要重新制作启动介质，或者如果设备支持从USB设备启动，则可以准备一个包含特殊启动参数的可启动U盘。

2.3 机会窗口三：挂载外部根文件系统

当前两种方法都行不通时（例如，内核本身被签名验证，无法随意修改参数），我们可以考虑“偷梁换柱”的思路。在U-Boot中，我们可以不启动设备内部的根文件系统，而是指定内核挂载一个我们预先准备好的、放在U盘或SD卡上的根文件系统。这个外部的文件系统里，我们可以放置任何我们需要的工具，并且可以将其挂载到设备的存储上，直接读写和修改/etc/shadow密码文件。

下表总结了这三种主要路径的适用场景、所需条件和操作位置：

3. 实战操作：通过U-Boot重置密码

这是最常用且最需要手速和运气的办法。假设我们通过串口连接到了设备（这是嵌入式调试的标配，通常使用USB转TTL串口线，连接设备的UART TX/RX/GND引脚，波特率常用115200）。

3.1 中断U-Boot启动

设备上电，立即在串口终端里狂按回车键或空格键。如果成功，你会看到提示符从自动启动的倒计时，变成类似=>的U-Boot命令行提示符。

U-Boot 2022.07 (Mar 01 2023 - 14:00:00 +0800) CPU: Some ARM Cortex-A53 DRAM: 1 GiB MMC: mmc@fe000000: 0 In: serial Out: serial Err: serial Net: eth0: ethernet@fe000000 Hit any key to stop autoboot: 0 =>

注意：有些厂商为了安全，会将bootdelay设置为0，或者禁用串口中断（通过修改U-Boot源码中的CONFIG_AUTOBOOT_KEYED等配置）。这种情况下，此路不通。

3.2 查看与修改环境变量

进入U-Boot后，首先打印当前的启动命令：

=> printenv bootcmd bootcmd=run distro_bootcmd

或者更直接地，查看bootargs，这是传递给内核的参数：

=> printenv bootargs bootargs=console=ttyS0,115200 root=/dev/mmcblk0p2 rw rootwait

我们的目标是修改bootargs。我们需要在原有的参数基础上，追加single、rd.break或init=/bin/sh等参数。

• 方法A：添加single或1single是SysV init系统的单用户模式参数，1是systemd对应的运行级别。这会让系统启动后直接进入root shell，但可能仍会执行部分初始化脚本。

  => setenv bootargs ‘console=ttyS0,115200 root=/dev/mmcblk0p2 rw rootwait single’ => saveenv => boot

• 方法B：指定init=/bin/sh这个参数让内核不启动默认的/sbin/init，而是直接执行/bin/sh。这通常能获得一个更“干净”的shell，但根文件系统可能处于只读状态。

  => setenv bootargs ‘console=ttyS0,115200 root=/dev/mmcblk0p2 rw rootwait init=/bin/sh’ => saveenv => boot

• 方法C：使用rd.break(针对initramfs)如果你的内核使用了initramfs，并且在内核命令行中看到了rd相关的参数，可以尝试rd.break。它会在initramfs切换到真实根文件系统之前打断，给你一个shell。但这需要initramfs支持。

3.3 重新挂载根文件系统并修改密码

无论用以上哪种方法，系统启动后，你大概率会获得一个#提示符的shell。但此时，根文件系统(/)很可能处于只读状态。这是Linux内核的一个常见安全行为。我们必须先将其重新挂载为可读写。

# mount -o remount,rw /

如果系统使用了单独的文件系统挂载/etc（不常见），你可能需要mount -o remount,rw /etc。确认可写后，就可以使用passwd命令修改root密码了：

# passwd Enter new UNIX password: Retype new UNIX password: passwd: password updated successfully

修改成功后，至关重要的一步：根据你进入系统的方式，决定如何退出。

• 如果你是使用init=/bin/sh启动的，直接执行exec /sbin/init来切换到正常的初始化进程。
• 如果你是使用single或1进入的单用户模式，通常输入exit或Ctrl+D会继续启动到多用户模式。
• 对于rd.break，需要依次执行exit继续启动流程。

最后，别忘了重启前，如果修改了U-Boot环境变量，最好将其改回去，除非你希望每次启动都进入单用户模式（这非常不安全）。

=> setenv bootargs ‘console=ttyS0,115200 root=/dev/mmcblk0p2 rw rootwait’ # 恢复原始参数 => saveenv

4. 进阶与变通方案

当标准U-Boot交互路径被封锁时，就需要一些“骚操作”了。这些方法需要对目标系统有更深入的了解。

4.1 修改内核DTB或引导镜像

有些嵌入式设备，其内核命令行参数是“写死”在设备树Blob（DTB）文件或者与内核打包在一起的。对于从SD卡启动的设备（如树莓派），你可以将SD卡插入电脑，挂载第一个FAT32格式的启动分区，直接编辑cmdline.txt文件（树莓派）或修改U-Boot脚本。对于其他平台，可能需要解包boot.img之类的镜像文件，修改其中的bootargs后再重新打包刷入。这个过程涉及二进制工具，如mkimage、dtc等，风险较高，操作前务必备份。

4.2 使用外部根文件系统“劫持”启动

这是一个非常有效且通用的方法，尤其适合那些U-Boot未被锁死，但内核参数难以修改的系统。原理是：让U-Boot不启动内部的根文件系统，转而启动一个我们准备好的、放在U盘里的最小Linux系统（例如，一个基于BusyBox构建的极小根文件系统）。

1. 准备外部根文件系统：在开发机上，使用dd创建一个空镜像，用mkfs格式化成ext4，挂载后，将BusyBox编译出的/bin/busybox以及必要的库文件、设备节点（/dev/console,/dev/mmcblk0p*）拷贝进去。也可以直接使用现成的轻量级发行版镜像，如Alpine Linux。
2. 配置U-Boot启动：将准备好的镜像拷贝到U盘。设备上电中断U-Boot后，手动设置启动命令。首先，扫描USB设备：

   => usb start

   假设U盘被识别为usb 0，其第一个分区是fat或ext2格式，包含我们的内核(zImage)和根文件系统(rootfs.cpio.gz或rootfs.ext4)。我们需要手动加载它们并启动：

   => load usb 0:1 ${loadaddr} zImage => load usb 0:1 ${initrd_addr} rootfs.cpio.gz => setenv bootargs ‘console=ttyS0,115200 rdinit=/bin/sh’ # 使用initramfs的参数 => bootz ${loadaddr} ${initrd_addr}

   如果根文件系统是完整的镜像文件，可能需要使用root=指定。
3. 挂载内部存储并修改密码：从外部系统启动后，你拥有一个干净的root shell。此时，你需要找到设备内部的实际存储（可能是/dev/mmcblk0p2或/dev/nand0p2），将其挂载到某个目录，例如/mnt：

   # mkdir /mnt # mount /dev/mmcblk0p2 /mnt

   现在，你可以直接编辑/mnt/etc/shadow文件了。这是最彻底的方式，因为/etc/shadow文件存储了所有用户的加密密码哈希。找到root用户那一行（以root:开头），将其第二个字段（密码哈希）清空或替换为一个已知的哈希。
   • 清空密码：将root:后的第一个冒号到第二个冒号之间的哈希值删除，变成root::...。这样root用户将无需密码即可登录。（极度不安全，仅用于紧急恢复，完成后务必设置新密码）
   • 设置已知密码：可以使用开发机上的openssl或mkpasswd命令生成一个密码的哈希值，例如mkpasswd -m sha-512 your_new_password，然后用这个哈希值替换原来的哈希。

4.3 利用调试接口或硬件漏洞

对于安全级别极高的设备，上述软件方法可能全部失效。这时，硬件层面的方法成为最后的选择，但这通常需要专门的工具和知识，并且可能使设备失去保修。

• JTAG/SWD调试器：通过芯片的调试接口，可以直接读写内存。理论上，可以暂停CPU，修改内存中正在运行的passwd进程逻辑，或者直接修改存储介质上的/etc/shadow文件对应的数据块。这需要昂贵的调试器（如J-Link）和芯片的调试手册，复杂度极高。
• eMMC芯片读卡器：对于一些将eMMC存储芯片焊接在板上的设备，如果设计上允许，可以尝试将eMMC芯片吹焊下来，使用专用的eMMC读卡器连接到电脑，直接读取其内容，像操作普通SD卡一样修改文件系统内的密码文件，然后再焊回去。这需要精湛的焊接技术和设备。

5. 安全加固与防范措施

作为一名开发者或系统管理员，在帮别人“解锁”的同时，更应思考如何避免自己的设备陷入同样境地，或者如何让非法破解变得困难。

5.1 Bootloader安全配置

• 设置Boot密码：在U-Boot中，可以编译时启用CONFIG_AUTOBOOT_KEYED并设置一个密码，只有输入正确密码才能进入交互模式。
• 签名验证：对U-Boot、内核、设备树甚至根文件系统镜像进行数字签名。U-Boot在加载每个阶段前都验证其签名，任何篡改（包括修改内核参数）都会导致启动失败。这是现代安全启动的基础。
• 禁用控制台：在量产固件中，可以关闭U-Boot的串口控制台输出和输入功能，或者将bootdelay设置为0。

5.2 内核与文件系统防护

• 内核模块锁定：禁止在运行时插入未签名的内核模块，防止通过init_module等方式注入恶意代码。
• 只读根文件系统：将根文件系统挂载为只读。对于需要写的目录（如/var,/tmp），使用tmpfs或单独的可读写分区。这样即使有人获得了shell，也无法修改/etc/shadow等关键文件。密码修改需要通过特定的、受控的更新流程。
• SELinux/AppArmor：使用强制访问控制框架，严格限制进程的权限，即使root进程也可能被限制对某些关键文件的写操作。

5.3 密码与访问管理策略

• 避免使用默认密码：这是最基本也最常被忽视的一点。首次启动强制修改密码。
• 使用密钥认证替代密码：对于SSH访问，禁用密码登录，强制使用SSH公钥认证。
• 权限最小化：日常操作使用普通用户账户，通过sudo来执行需要特权的命令，并精细配置sudoers文件。
• 记录与审计：启用系统审计功能，记录所有登录尝试和特权命令的执行，便于事后追溯。

6. 从应急到治本：建立设备访问管理规范

这次密码恢复的经历，暴露出的是设备生命周期管理中的一个薄弱环节。对于嵌入式产品，尤其是部署在远程或无人值守环境中的设备，必须建立一套完善的访问凭证管理规范。

6.1 密码保管与交接

开发阶段使用的调试密码、量产设备的默认密码、客户现场的维护密码，必须分门别类进行管理。建议使用专业的密码管理工具（如Bitwarden、1Password的团队版），确保密码加密存储、访问有记录、离职员工权限可及时收回。在项目交接时，密码清单必须作为关键交付物之一。

6.2 设计“后门”与恢复机制

在安全与可维护性之间需要权衡。可以为设备设计一个安全的恢复模式，例如：

• 恢复按钮：长按设备上的某个物理按钮上电，可以启动到一个特殊的恢复分区，该分区包含一个最小系统，允许授权人员重置密码或恢复配置。这个恢复分区的镜像同样需要签名验证。
• 带外管理：对于服务器或高端嵌入式设备，可以通过独立的BMC（基板管理控制器）或管理网口进行带外管理，即使主系统完全崩溃，也能通过管理接口重装或修复系统。

6.3 自动化部署与配置管理

从根本上减少对人工记忆密码的依赖。使用像Ansible、SaltStack这样的配置管理工具，或者结合CI/CD流水线，在设备出厂或首次部署时，自动生成随机密码并安全地注入到设备中，同时将密码备份到安全的服务器。运维人员通过访问管理平台来获取临时性的访问权限，而不是直接持有密码。

忘记root密码是一次危机，但也是一次审视系统安全性和运维流程的机会。通过软件和硬件的多重防护，结合规范的管理流程，才能让嵌入式设备在复杂的环境中既安全又可靠。毕竟，最好的故障恢复，就是不让故障发生。