Linux系统密码遗忘应急指南：GRUB2单用户模式重置root密码全解析

1. 项目概述：当“钥匙”被遗忘在系统里

在Linux系统管理的日常运维中，无论是个人工作站还是企业服务器，最让人心头一紧的瞬间之一，莫过于在登录提示符前，手指悬在键盘上，却怎么也想不起那个至关重要的root或用户密码。这感觉就像把家里的钥匙反锁在了屋内，而你是唯一能开门的人。对于RedHat及其衍生系统（如CentOS、RHEL、Fedora等）的用户来说，这并非世界末日。系统设计者早已预见了这种“健忘”场景，在引导流程中预留了后门——单用户模式或紧急救援模式。今天，我们就来彻底拆解这个经典问题的解决全流程，不仅告诉你“怎么做”，更深入分析“为什么可以这么做”，以及在不同场景下的最佳实践和避坑指南。

2. 核心原理：破解引导流程的认证壁垒

要理解如何重置密码，首先得明白Linux系统启动后，密码验证发生在哪个环节。这并非发生在BIOS/UEFI阶段，也不是在内核加载时，而是在系统完成内核引导、初始化硬件、挂载根文件系统之后，由init进程（在现代系统中通常是systemd）启动的一系列“目标”或“运行级别”服务中。其中，getty或login服务负责提供登录终端并验证用户凭证。

密码验证的核心是/etc/shadow文件，它存储了用户密码经过哈希算法（如SHA-512）加密后的密文。系统在启动到多用户模式（默认的运行级别，如RHEL的graphical.target或multi-user.target）时，会加载这个文件并进行校验。因此，重置密码的本质，就是在系统加载/etc/shadow文件并进入严格的权限验证环境之前，获得一个拥有最高权限（root）的Shell，从而直接修改这个文件。

RedHat系系统通过GRUB2引导加载器提供了干预启动流程的入口。我们可以在GRUB菜单界面，通过向内核传递特殊的启动参数，告诉系统：“跳过正常的服务启动流程，直接给我一个Shell”。这个Shell通常运行在内存盘（initramfs）提供的临时根环境中，或者以只读方式挂载真实根文件系统后，再重新以读写方式挂载。获得这个Shell后，我们便拥有了修改硬盘上/etc/shadow文件的钥匙。

注意：此方法需要物理接触或虚拟控制台访问权限。对于纯粹的远程服务器（如云主机），如果未设置救援模式或控制台访问，此方法无效。云服务商通常提供独立的“重置密码”功能或需要挂载救援镜像。

3. 环境准备与前置条件分析

在动手之前，确认你的环境符合以下条件至关重要，这能避免你白忙活一场。

3.1 所需环境与权限

1. 物理或虚拟控制台访问：你必须能直接看到系统的GRUB引导菜单。对于物理服务器，这意味着你需要连接显示器和键盘；对于虚拟机（如VMware, VirtualBox, KVM），你需要使用其提供的虚拟控制台功能。
2. GRUB2引导加载器：RedHat Enterprise Linux 7及以上版本、CentOS 7/8、Fedora等均使用GRUB2。这是我们的操作入口。
3. 系统未启用全盘加密：如果根分区或整个磁盘使用了LUKS等加密技术，在进入单用户模式前需要先提供解密密码，这就陷入了死循环。本文方法不适用于此场景。
4. BIOS/UEFI启动安全性：某些服务器或笔记本可能启用了Secure Boot或设置了BIOS/UEFI密码。你需要有权限进入BIOS/UEFI设置，并可能需临时禁用Secure Boot（对单用户模式操作无影响，操作后可重新启用）。

3.2 不同场景下的策略选择

• 个人桌面/测试环境：直接操作即可，风险最低。
• 生产环境服务器：
  • 强烈建议：在操作前，如果可能，对虚拟机创建快照，对物理机确保有完整的、可验证的备份。
  • 操作窗口：选择业务低峰期或维护窗口进行操作。
  • 记录：详细记录每一步操作，以备审计和回滚。
• 启用了GRUB密码的情况：如果系统管理员为GRUB菜单设置了密码，你需要先输入GRUB密码才能编辑启动项。如果你连这个密码也忘了，那就需要借助Live CD/USB启动来清除GRUB密码，这属于更复杂的恢复场景。

4. 详细操作步骤全解析

下面我们以 Red Hat Enterprise Linux 8 (或 CentOS 8) 为例，分步演示整个过程。其他版本（如RHEL 7, Fedora）原理相同，仅在细微处有差别。

4.1 第一步：中断GRUB2引导流程

1. 启动或重启你的RedHat系统。
2. 当屏幕出现GRUB2引导菜单时（通常会有倒计时，显示系统名称和内核版本），立即按下键盘上的e键。这个动作会中断自动启动，并进入所选启动项的编辑模式。
   • 如果菜单一闪而过，你可能需要在启动初期反复按Esc或Shift键来呼出菜单。
   • 在有些虚拟化平台，可能需要先用鼠标点击控制台窗口，再按快捷键。

4.2 第二步：修改内核启动参数

进入编辑模式后，你会看到一个包含多行配置的文本界面。找到以linux或linux16或linuxefi开头的那一行（具体关键词取决于系统是传统BIOS还是UEFI启动）。这一行定义了内核的启动参数和根文件系统位置。

1. 使用方向键将光标移动到这一行。

2. 找到该行结尾处，通常类似ro crashkernel=auto resume=/dev/mapper/rhel-swap ... quiet。关键参数是ro，它表示以只读（read-only）方式挂载根文件系统。

3. 进行如下修改：

   • 将ro修改为rw（read-write，读写）。这是为了后续能修改硬盘上的文件。
   • 在行末，quiet参数之前（或之后，确保在行内），添加init=/bin/bash或rd.break。
     • init=/bin/bash：这个参数告诉内核，在完成初始硬件和文件系统初始化后，不启动完整的systemd，而是直接执行/bin/bash这个Shell。此时，根文件系统已根据前面的rw参数以读写方式挂载。
     • rd.break：这个参数更“早”一点。它会在内核加载 initramfs（初始内存文件系统）后、尝试切换到真实根文件系统之前暂停，并提供一个Shell。此时真实的根文件系统尚未被挂载，或者以只读方式挂载在/sysroot下。你需要手动执行挂载和切换操作。

   为了流程更通用，我们以init=/bin/bash为例。修改后的行可能看起来像这样：

   linux /vmlinuz-4.18.0-348.el8.x86_64 root=/dev/mapper/rhel-root ro crashkernel=auto ... quiet

   修改为：

   linux /vmlinuz-4.18.0-348.el8.x86_64 root=/dev/mapper/rhel-root rw init=/bin/bash crashkernel=auto ...

4.3 第三步：以Root权限启动到Bash Shell

1. 参数修改完成后，按下Ctrl + X或F10（具体快捷键屏幕底部有提示）来使用这些编辑后的参数启动系统。
2. 系统不会进入图形界面或正常的登录提示符，而是会直接给你一个以root权限运行的Bash Shell，提示符可能是bash-5.0#。此时，你已经在拥有最高权限的环境中。

4.4 第四步：重新挂载根文件系统并重置密码

由于我们使用了init=/bin/bash参数，根文件系统已经以读写方式挂载。但为了确保万无一失，尤其是当系统使用了SELinux时，最好重新挂载一下。

1. （可选但推荐）重新挂载根文件系统：

   mount -o remount, rw /

   这个命令将根分区重新挂载为读写模式。执行后可以用mount | grep ‘ / ’确认。

2. 重置root密码：使用passwd命令。

   passwd root

   系统会提示你输入新的root密码，并确认一次。输入时屏幕上不会有任何显示（星号也没有），这是正常的。请务必输入一个强密码并牢记。

   Changing password for user root. New password: Retype new password: passwd: all authentication tokens updated successfully.

   看到成功的提示信息，说明密码文件/etc/shadow已被更新。

3. 处理SELinux上下文（关键步骤！）：如果你的系统启用了SELinux（RedHat系默认启用），直接修改密码会导致一个潜在问题：/etc/shadow文件的SELinux安全上下文可能不正确，导致重启后认证服务无法读取它。为确保安全，需要重新标记文件上下文。

   touch /.autorelabel

   这个命令创建一个空文件/.autorelabel。系统在下一次正常启动时，检测到这个文件的存在，会自动对整个文件系统进行SELinux上下文的重新标记。这是一个保险操作。

4.5 第五步：安全重启系统

1. 执行重启命令：

   exec /sbin/init

   或者

   exec /usr/lib/systemd/systemd

   也可以直接使用：

   reboot -f

   exec命令会用正常的init进程（systemd）替换当前的bash进程，从而触发一个相对干净的重启流程。reboot -f则是强制重启。

2. 系统将正常重启。由于创建了/.autorelabel文件，第一次重启可能会花费较长时间（尤其是文件系统很大时），因为系统在进行全面的SELinux上下文修复。请耐心等待，不要中断。

3. 重启完成后，在登录界面使用你刚设置的新root密码登录。

5. 替代方案与特殊情况处理

5.1 使用rd.break参数

如果你在第二步中选择了添加rd.break参数，流程会略有不同：

1. 启动后，你会进入一个initramfs提供的紧急Shell，真实的根文件系统挂载在/sysroot下，且通常是只读的。
2. 依次执行以下命令：

   # 1. 以读写方式重新挂载 /sysroot mount -o remount, rw /sysroot # 2. 切换根目录到真实的系统环境 chroot /sysroot # 3. 现在你已经在真实的系统环境中，可以修改密码了 passwd root # 4. 同样，创建SELinux重标记文件 touch /.autorelabel # 5. 退出chroot环境 exit # 6. 重启系统 reboot

   这种方法更“底层”，适用于某些init=/bin/bash无法正常工作的情况。

5.2 重置普通用户密码

如果你只是忘记了一个普通用户的密码，而记得root密码，事情就简单多了。用root登录后，直接运行passwd username即可。

如果连root密码也忘了，那就必须通过上述单用户模式先重置root密码，然后用root权限去修改普通用户密码：

# 在单用户模式的root shell中 passwd someuser

5.3 系统启用了LUKS磁盘加密

这是最棘手的情况。如果根文件系统被LUKS加密，在GRUB阶段加载内核和initramfs后，系统会提示你输入密码来解密根分区。如果忘记了这个密码，单用户模式也无能为力。

可能的途径：

1. 恢复密钥：在加密设置时，通常会产生一个恢复密钥文件。如果你有备份这个文件，可以使用它来解密。
2. Live CD/USB：使用系统安装镜像或第三方Live系统启动，尝试挂载加密卷。但这需要你知道加密密码，或者有恢复密钥。
3. 数据恢复服务：对于极其重要的数据，可能需要求助于专业的数据恢复机构，但这通常代价高昂且不保证成功。

教训：对于全盘加密的系统，密码或恢复密钥的备份管理必须作为最高优先级的运维纪律。

6. 安全加固与防范措施

通过单用户模式重置密码的能力是一把双刃剑。它提供了紧急恢复的通道，也带来了潜在的安全风险（任何能物理接触机器的人都可以获得root权限）。因此，在生产环境中，必须考虑加固。

6.1 为GRUB2菜单设置密码

这是防止未授权者进入单用户模式的最有效方法。

1. 生成加密的GRUB2密码（使用grub2-mkpasswd-pbkdf2命令）：

   grub2-mkpasswd-pbkdf2

   输入你想为GRUB设置的密码，命令会输出一串加密后的密钥（以grub.pbkdf2...开头）。

2. 编辑GRUB2配置文件/etc/grub.d/40_custom，在文件末尾添加：

   set superusers=“root” password_pbkdf2 root grub.pbkdf2.sha512.10000.非常长的加密字符串

   将grub.pbkdf2...替换为你上一步得到的完整字符串。

3. 更新GRUB配置：

   grub2-mkconfig -o /boot/grub2/grub.cfg

   或者对于UEFI系统：

   grub2-mkconfig -o /boot/efi/EFI/redhat/grub.cfg

4. 重启后，再按e编辑启动项时，会首先提示输入GRUB密码。

6.2 使用BIOS/UEFI密码和机箱锁

• 在服务器或工作站的BIOS/UEFI设置中启用启动密码，防止他人从其他设备（如U盘）启动。
• 为服务器机箱上锁，防止未经授权的物理访问。

6.3 完善的密码管理与备份策略

• 使用密码管理器：为所有系统账户使用密码管理器生成并存储强密码。
• 定期演练：在测试环境中定期演练密码重置流程，确保在真实紧急情况下能快速操作。
• 离线备份密码：将核心系统的root密码、加密密码、GRUB密码等，以加密形式存储在安全的离线介质中，并交由多人保管。

7. 常见问题与故障排查实录

在实际操作中，你可能会遇到以下问题：

问题1：按e键没反应，GRUB菜单直接跳过。

• 原因与解决：GRUB菜单显示时间太短。可以在系统内修改/etc/default/grub文件，将GRUB_TIMEOUT的值从5改为10（秒），然后运行grub2-mkconfig更新配置。对于当前启动，在出现GRUB菜单时快速按Esc或Shift键。

问题2：修改密码后，重启依然无法登录。

• 排查：
  1. SELinux问题：最常见。确认你是否执行了touch /.autorelabel。观察重启过程是否有“Automatic label reload”之类的提示。首次重标记需要时间。
  2. 文件系统损坏：在单用户模式下，运行fsck -f /dev/your_root_partition检查并修复文件系统（请先确认根分区设备名）。
  3. 密码输入错误：确认键盘布局（如Caps Lock是否开启），耐心地再试一次。
  4. /etc/shadow权限问题：在单用户模式下检查/etc/shadow的权限是否为---------(600)，属主是否为root。

问题3：系统重启后卡住，长时间无响应。

• 排查：
  1. SELinux重标记：这是正常现象，尤其是大容量硬盘，可能需要半小时以上。观察硬盘指示灯是否在频繁闪烁。
  2. 内核参数错误：可能是在编辑GRUB时误删了其他关键参数。重启进入GRUB，恢复原参数启动，然后重新仔细操作。
  3. 文件系统错误：同上，尝试在单用户模式运行fsck。

问题4：在虚拟机中操作，键盘输入无效。

• 解决：确保你的鼠标光标已点击到虚拟机控制台窗口内。对于VMware，有时需要按Ctrl + G将键盘焦点锁定到虚拟机。也可以尝试从虚拟机的“发送按键”菜单发送Ctrl+Alt+Del来重启。

问题5：操作完成后，系统服务无法正常启动。

• 原因：使用init=/bin/bash启动并直接reboot -f，可能未正常停止服务，导致文件系统状态不一致。
• 建议：优先使用exec /sbin/init或exec /usr/lib/systemd/systemd来触发正常关机流程。

忘记Linux密码，尤其是root密码，是每个系统管理员都可能遇到的“惊险时刻”。掌握通过GRUB2进入单用户模式重置密码的方法，是一项必备的救急技能。整个过程的核心在于理解Linux启动流程的阶段性，并利用引导加载器提供的参数注入能力，在认证环节之前获得控制权。记住，能力越大，责任越大。在生产环境使用此方法后，务必评估其暴露的安全风险，并通过设置GRUB密码、BIOS密码和加强物理安全来进行加固。最后，养成好的密码管理习惯，才是避免此类尴尬局面的根本之道。我个人习惯将关键系统的密码加密后，存储在只有团队核心成员才能访问的密码库中，并定期更换，同时，在虚拟机模板或新系统部署后，立即在测试环境验证一遍密码重置流程，做到心中有数，遇事不慌。