干运维这行谁没经历过那种心跳漏一拍的瞬间——手头一台跑着业务的Linux服务器或者刚装好系统的虚拟机突然发现root密码怎么输都不对。更尴尬的是有时候不是被入侵纯粹是自己脑子短路或者前任同事交接时压根没告诉你密码。很多人第一反应是重装系统其实完全没必要。Linux的密码恢复机制设计得相当灵活只要你能碰到物理机或者虚拟机的控制台绝大多数情况下都能在几分钟内把密码改回来。这篇文章我就把完整的解决思路、不同发行版的具体操作链路以及我这些年实测踩过的坑一次性讲清楚希望能帮你少走弯路。先说清楚一个核心认知Linux忘记密码之后真正的目标不是找回旧密码而是想办法绕过登录认证直接进入一个拥有root权限的环境然后把密码重置掉。所有主流方法本质上都在做这一件事。理解了这一点后面所有操作你都能看懂为什么要那么做。1. 忘记密码的那一刻先想清楚这三点很多人一着急就乱操作反而把系统搞得更糟。其实动手之前花一分钟梳理一下自己的处境能省下后面大量的折腾时间。第一个问题是你面对的是哪一类环境是本机的物理Linux系统是VMware/VirtualBox里的虚拟机还是一台云服务器三者进入恢复流程的入口虽然有差异但底层思路是一样的。本机和虚拟机都能直接重启并在开机时打断引导过程云服务器则需要借助云厂商提供的VNC控制台或者重置密码功能。搞清楚这一点你就知道该往哪个方向使劲。第二个问题是你还有没有别的渠道能拿到root权限比如你是否记得另一个有sudo权限的普通用户密码如果记得直接登录后执行sudo passwd root就能重置绕一大圈完全没必要。再比如你是不是用SSH密钥登录的如果SSH密钥还留在本地而且系统开了PermitRootLogin yes或prohibit-password你可以通过密钥登录进去然后用passwd改密码。很多所谓忘了密码的场景其实只是忘了密码字符串但还有别的合法通道可以进去先排查这些别一上来就重启机器。第三个问题是这台机器上有没有开启磁盘加密LUKS或者强制安全模块SELinux这两个因素会直接影响重启之后的操作步骤。如果系统盘做了全盘加密开机时你首先得输入LUKS解密密码才能看到系统引导这时候你忘的如果是系统账号密码问题还不大进单用户模式改掉就行如果你连LUKS密码都忘了那这篇文章的方法就不适用了数据基本只能靠备份恢复操作难度完全是另一个量级。SELinux的影响我后面会专门讲现在只需要记住如果系统开了SELinux并且是Enforcing模式改完密码之后最好额外处理一下安全上下文否则有可能出现密码明明改了却仍然无法登录的诡异情况。把这三点想明白你就能快速判断自己是走标准救援流程还是可以先通过其他渠道进去。说白了这才是排查问题该有的顺序先易后难先非破坏后破坏。2. 动手前必须看清的两样东西引导器版本和初始化系统进入正式操作前我强烈建议你先花两分钟搞清楚系统底层用的什么引导器和初始化系统。这不是学术考据而是因为不同组合的操作步骤差异非常大照着网上的教程盲目复制很可能在错误的发行版上执行了错误的参数结果系统卡在奇怪的界面反而更难收拾。先说引导器。目前绝大多数发行版用的都是GRUB 2但老系统上还有GRUB 1也叫GRUB Legacy或者LILO。GRUB 2的开机界面通常是深蓝色底、白字列出了多个内核版本选项进入后按e键可以编辑启动条目。GRUB Legacy的界面颜色和交互略有不同编辑方式是按e进入行编辑。还有一个常见误区有些教程让你在启动界面按Esc或Shift强制显示GRUB菜单但这个行为在不同机器上效果不一样。在BIOS环境下开机时按住Shift容易生效在UEFI环境下大部分机器默认就显示菜单根本不用按任何键。如果机器引导太快看不到菜单可以在GRUB菜单出现后立即按方向键冻结倒计时。再说初始化系统。老派Linux比如CentOS 6及更早、Ubuntu 14.04及更早用的是SysVinit或Upstart救援模式通常叫单用户模式只要在内核命令行末尾加一个single或数字1就能进入。而新派Linux从CentOS 7开始、Ubuntu 15.04之后全面转向了systemd救援模式被拆成了rescue.target和emergency.target进入方式变成了systemd.unitrescue.target或者systemd.unitemergency.target。另外还有一类非常实用的方案在内存盘initramfs阶段直接打断也就是给内核传rd.break参数在真正的root文件系统挂载之前拿到一个极简的shell再通过chroot切进真实的root环境改密码。我整理了一张表把主流发行版的默认环境特征和推荐救援入口列出来方便你直接对照发行版系列常见版本默认引导器初始化系统推荐的救援入口RHEL/CentOS/Rocky/Alma6.x 及更早GRUB 1SysVinit内核参数加singleRHEL/CentOS/Rocky/Alma7.x 及以上GRUB 2systemd内核参数加rd.breakUbuntu/Debian14.04 及更早GRUB 2Upstart/SysVinit内核参数加singleUbuntu/Debian16.04 及以上GRUB 2systemd开机进Recovery模式或内核参数init/bin/bashopenSUSE全版本GRUB 2systemd内核参数加rd.break或systemd.unitemergency.target这个表只是帮你快速定位大方向真正的判断标准是在GRUB菜单里按e之后看启动命令行如果内有rhgb quiet这类Red Hat风格参数多半是RHEL系如果看到ro后面跟着类似splash quiet的多半是Ubuntu系。找准了环境后面的步骤才能一步到位。3. 完整操作链路从开机打断GRUB到密码生效环境认清之后真正的操作链路其实不长核心就是引导进一个root可用的环境改密码重启验证。我以最常见的三种场景为例把每一步的意图和可能出现的问题都讲清楚。3.1 第一步重启并进入GRUB编辑界面这一步的目标是在GRUB菜单出现时按e注意不是cc是进命令行e是编辑当前条目。如果机器已经启动到了登录界面直接重启即可如果是虚拟机在VMware或VirtualBox的窗口里重启也一样。这里有个细节很多新手会纠结按e的时机其实GRUB菜单出现后会停留几秒你只需要在菜单上高亮任意一个条目时按e就行不需要疯了一样敲键盘。编辑界面打开后你会看到一段类似这样的内容setparams Ubuntu ... load_video ... linux /vmlinuz-5.15.0-91-generic root/dev/mapper/ubuntu--vg-root ro quiet splash initrd /initrd.img-5.15.0-91-generic请特别注意linux开头的那一行有些系统是linux16本质一样前后不要动我们只在该行末尾追加参数。接下来的操作完全取决于你面对的发行版类型。3.2 第二步针对不同环境注入不同的内核参数场景一RHEL/CentOS 7及以上、Rocky/Almasystemd GRUB 2用方向键把光标移到linux16或linux那一行的末尾先敲一个空格然后输入rd.break最后按CtrlX或F10启动。这个参数会告诉内核在initramfs阶段、挂载真正的根文件系统之前先停住丢给你一个root shell。这个shell里的目录结构很简陋root目录是空的命令也不全但它的存在就是让你自救用的。启动过程大概几十秒最终你会看到一个类似这样的提示符switch_root:/#场景二CentOS 6及更早、老版本UbuntuSysVinit同样把光标移到linux行末尾追加一个单词single或者数字1。启动后系统不会进入图形或完整多用户环境而是直接在控制台给你一个root shell而且此时根文件系统默认已经是读写挂载状态直接执行passwd就行。这是最省事的方案。场景三Ubuntu新版本16.04及更高新版本Ubuntu在GRUB菜单里专门提供了Advanced options for Ubuntu子菜单里面每一项内核旁边都有一个(recovery mode)选项。选择恢复模式后系统会进入一个蓝色的Recovery Menu一般会列出一堆选项比如root、dpkg、fsck等。这时候选中root回车就会进入一个root shell而且根文件系统通常已经以可写方式挂载好了直接改密码即可。如果Recovery菜单进不去还有一招回到GRUB编辑界面在linux行的末尾把原有的ro quiet splash改成rw init/bin/bash。注意这里ro变成了rw含义是让内核把根文件系统以读写方式挂载同时跳过init进程直接用/bin/bash作为第一个进程。这样子改完之后按CtrlX你会进入一个极简的bash环境里面没有乱七八糟的服务只有一个root shell。这个方法对很多Debian系系统都通用老运维几乎必用。3.3 第三步正确重挂根文件系统别急着敲passwd前面进入shell之后很多教程会让你直接敲passwd但这里有个极易踩坑的地方rd.break环境里的根文件系统是只读的而且真实的根目录挂载在/sysroot下面不是你当前看到的/。在rd.break的提示符下你先执行mount -o remount,rw /sysroot chroot /sysroot第一行是把真正的根文件系统重新挂载为可读写第二行是把当前shell的根目录切换到真实系统根目录下。执行完chroot之后你的命令环境和正常系统的root shell几乎一样了此时再改密码才不会有权限或只读问题。而在init/bin/bash或者系统自带的Recovery shell里通常已经处理好挂载了但为了保险起见建议先敲一下mount | grep / 看看挂载状态是否包含rw字样。如果显示的却是只读ro同样先执行mount -o remount,rw /再继续。这一步的逻辑在于passwd命令要向/etc/shadow写入新的密码哈希而只读文件系统会直接拒绝写入。很多人卡在这一步系统提示passwd: Authentication token manipulation error其实就是文件系统没重挂成读写。3.4 第四步修改密码并处理SELinux安全上下文现在终于到了改密码这一步。在正确的root shell下执行passwd root然后按提示输入两次新密码。这里有个细节passwd命令不会直接显示你输入的密码指定输入并且至少8位、包含大小写和数字的复杂度否则某些系统会因为你用了太弱的密码而报错。如果系统里还有别的普通用户也需要重置就执行passwd 用户名。如果你是从rd.break进入chroot的而且系统启用了SELinux并处于Enforcing模式请务必再执行一句touch /.autorelabel这一步的作用是让系统在下次启动时自动修复所有文件的安全上下文标签。为什么要这么做因为你在initramfs阶段通过chroot修改了/etc/shadow这个文件的SELinux标签在极特殊情况下可能因为挂载或上下文处理不当而变得不正确导致重启后即使密码正确PAM模块也可能因SELinux拒绝访问而返回认证失败。touch /.autorelabel会在根目录做一个标记下次开机时systemd会自动对整个文件系统执行restorecon把上下文全部刷新一遍。如果系统本身禁用了SELinux这步跳过没关系。老派SysVinit的single模式一般不需要处理SELinux因为它是完整系统环境下的单用户模式文件上下文没有被绕过。但我在CentOS 6上确实遇到过单用户模式改完密码重启后SELinux把登录流程搞挂的情况所以保险起见只要是SELinux Enforcing的环境改完密码后执行一次touch /.autorelabel不会错。3.5 第五步重启验证别急着关终端改完密码后一步步退出当前的shell。如果是rd.break环境先exit退到initramfs的switch_root环境再exit一次继续启动过程。如果是init/bin/bash环境直接执行exec /sbin/init或者reboot -f强制重启。如果是Recovery菜单里进的root shell输入exit可以回到恢复菜单然后选择resume继续启动或者直接reboot。重启后在登录界面或SSH输入修改后的密码。这里有一个我强烈建议的验证习惯第一次登录成功后先不要立刻关掉机器开一个额外的会话确认密码有效再继续后续工作。因为很多时候你在救援环境里改密码可能因为键盘布局、输入法或手误实际上输错了新密码但passwd不会给你第二次确认机会以外的提示。如果你直接把机器关了或放回机房下次再要登录又进不去那就得重复一遍整个流程。4. 实测中最容易翻车的几个问题按部就班改密码大多数系统都能顺利搞定但我在实际工作里也见过很多改完了还是进不去的离奇问题。这里挑几个典型情况专门说一下免得你到时候怀疑人生。4.1 SELinux导致登录后密码验证失败这个前面提过这里再展开讲一次。有一次我给一台CentOS 7.9的机器通过rd.break改完root密码重启后无论如何都登录不上密码明明是对的但控制台一直提示认证失败。排查到最后发现/etc/shadow的SELinux标签变得异常变成了普通文件而不是etc_shadow_t。原因在于chroot环境的安全上下文处理比较微妙加上某些发行版的默认SELinux策略对initramfs阶段的写操作不友好。最后我通过紧急模式进去执行restorecon -v /etc/shadow修复标签重启后正常。这个教训的总结就是只要你走的是rd.break chroot路径且系统开启SELinux的Enforcing无脑先touch /.autorelabel别等出问题再补救。4.2 只读文件系统导致passwd报错很多人在rd.break环境下直接敲passwd root结果被告知无法写入认证信息。这个坑我在前文说过了但值得再强调一次rd.break后的initramfs里真实根目录是在/sysroot而且是ro状态。如果不先mount -o remount,rw /sysroot再chroot /sysroot后面所有写操作都会失败。知道你看到的错误是passwd: Authentication token manipulation error第一反应就应该是查挂载状态而不是怀疑密码策略。4.3 系统提示“Authentication token manipulation error”的深层原因除了文件系统只读还有个可能的原因是/etc/shadow文件本身的权限或所有权被改动过。正常情况下/etc/shadow的权限应该是000或640属主是root:shadow。如果你之前操作时不小心chmod过它或者恢复数据时覆盖了它passwd也会无法写入。遇到这种情况先检查ls -l /etc/shadow chmod 640 /etc/shadow chown root:shadow /etc/shadow另外有些系统的PAM配置了密码质量策略比如minlen、minclass你如果设了一个过于简单的密码passwd会报错并要求你重新输入。这不是系统坏了你可以设一个复杂度足够的密码或者临时调整/etc/security/pwquality.conf再改。但就救援场景来说尽量一步到位设个好记又合规的密码别给自己添堵。4.4 云服务器和虚拟机的额外注意事项云服务器虽然也能通过VNC控制台走同样的流程但有几个额外风险要提醒第一云平台默认的GRUB超时时间可能非常短甚至有些平台开启后需要先向控制台发送一次按键才能激活VNC输入第二部分云厂商比如阿里云、腾讯云提供了更安全的控制台重置实例密码功能修改后一般需要重启才生效能不动手敲就尽量别手动改避免把网络配置弄乱第三如果你的系统启用了cloud-init修改root密码后可能被云平台的开机脚本再次重置。这个情况比较少见但如果出现改完密码重启又回到初始密码去检查一下云平台的密钥和密码注入配置。虚拟机相对纯粹但有个细节VMware里CtrlAltInsert是重启快捷键在GRUB编辑界面按的是CtrlX启动别和Windows的快捷键搞混了。VirtualBox在GRUB界面按e也可能需要先点击一下虚拟机窗口捕获键盘否则按键会跑到宿主系统里。4.5 一个特殊场景WSL里忘了Linux用户密码如果你用的是WSLWindows Subsystem for Linux上面的GRUB方法全都用不上因为WSL没有真正的引导过程。但在WSL里处理忘密码反而更简单在Windows的PowerShell或CMD中执行wsl -u root这会直接切入root身份进入默认的Linux环境然后执行passwd 用户名就能重置。如果这个命令不行还可以通过Windows终端进入系统后开启root默认用户或者在/etc/wsl.conf里临时配置[user] defaultroot。WSL本身的密码体系比较轻量一般默认不开启sudo密码所以这个场景通常不太会卡住。5. 一次救援操作带来的日常防护思考每次做完这种救援我都不禁感叹Linux的密码恢复机制在设计上确实给了管理员极大的便利但便利的另一面是安全隐患。任何人只要物理上能碰触到机器或者能拿到虚拟机的控制台都可以通过上述方法重置密码进而接管系统。所以借着这个机会我建议每个Linux管理员都认真思考一下几个防护层面的问题。5.1 给GRUB加上访问保护如果你管理的机器放在公共机房或者虚拟机镜像会被多人使用建议给GRUB菜单本身加一层密码保护。GRUB 2支持password_pbkdf2指令启用后即使有人重启机器想按e编辑启动参数也需要先输入密码。这样Linux账号密码忘了至少你还有GRUB密码可用别人想通过救援模式入侵门槛也高了一截。不过这个方法有个反作用如果GRUB密码你也忘了那恢复起来就相当麻烦通常得用系统光盘进入救援模式或者通过其他手段重写引导配置。5.2 为平时配置一个可用的sudo用户真实生产环境中root密码的使用频率其实不高我更建议日常用一个普通用户登录需要管理操作时通过sudo提权。这样即使root密码丢了只要普通用户密码还记得上去执行sudo passwd root就能秒解决。反过来如果你只设置了一个root账号还忘了密码救援成本就完全不一样了。因此密码保留策略比密码本身更有价值。5.3 磁盘加密的利与弊如果系统盘开启了LUKS全盘加密那么开机时必须先输入解密密码之后才能进入GRUB在这种情况下上面说的rd.break、single模式都是在你已经能解锁磁盘的前提下才生效的。也就是说LUKS保护的是静态数据Linux账号密码保护的是运行中系统的访问权限两者是不同层次的安全措施。如果你追求更高的安全性LUKS必不可少但你要清楚地意识到一旦忘了LUKS口令这些救援方法统统失效只能依赖备份恢复。所以部署LUKS之前务必把恢复口令recovery key和备份策略落实到位。最后再分享一个实用的小习惯每次给系统改密码或做大维护之前先用cp /etc/shadow /root/shadow.bak.$(date %F)留一份备份。这句话看起来简单却能在你改坏密码、搞乱权限之后用一条cp shadow.bak /etc/shadow把系统救回来。密码这东西记不住没关系流程和备份永远是最后的兜底。
Linux忘记root密码怎么办？主流发行版救援重置全攻略
干运维这行谁没经历过那种心跳漏一拍的瞬间——手头一台跑着业务的Linux服务器或者刚装好系统的虚拟机突然发现root密码怎么输都不对。更尴尬的是有时候不是被入侵纯粹是自己脑子短路或者前任同事交接时压根没告诉你密码。很多人第一反应是重装系统其实完全没必要。Linux的密码恢复机制设计得相当灵活只要你能碰到物理机或者虚拟机的控制台绝大多数情况下都能在几分钟内把密码改回来。这篇文章我就把完整的解决思路、不同发行版的具体操作链路以及我这些年实测踩过的坑一次性讲清楚希望能帮你少走弯路。先说清楚一个核心认知Linux忘记密码之后真正的目标不是找回旧密码而是想办法绕过登录认证直接进入一个拥有root权限的环境然后把密码重置掉。所有主流方法本质上都在做这一件事。理解了这一点后面所有操作你都能看懂为什么要那么做。1. 忘记密码的那一刻先想清楚这三点很多人一着急就乱操作反而把系统搞得更糟。其实动手之前花一分钟梳理一下自己的处境能省下后面大量的折腾时间。第一个问题是你面对的是哪一类环境是本机的物理Linux系统是VMware/VirtualBox里的虚拟机还是一台云服务器三者进入恢复流程的入口虽然有差异但底层思路是一样的。本机和虚拟机都能直接重启并在开机时打断引导过程云服务器则需要借助云厂商提供的VNC控制台或者重置密码功能。搞清楚这一点你就知道该往哪个方向使劲。第二个问题是你还有没有别的渠道能拿到root权限比如你是否记得另一个有sudo权限的普通用户密码如果记得直接登录后执行sudo passwd root就能重置绕一大圈完全没必要。再比如你是不是用SSH密钥登录的如果SSH密钥还留在本地而且系统开了PermitRootLogin yes或prohibit-password你可以通过密钥登录进去然后用passwd改密码。很多所谓忘了密码的场景其实只是忘了密码字符串但还有别的合法通道可以进去先排查这些别一上来就重启机器。第三个问题是这台机器上有没有开启磁盘加密LUKS或者强制安全模块SELinux这两个因素会直接影响重启之后的操作步骤。如果系统盘做了全盘加密开机时你首先得输入LUKS解密密码才能看到系统引导这时候你忘的如果是系统账号密码问题还不大进单用户模式改掉就行如果你连LUKS密码都忘了那这篇文章的方法就不适用了数据基本只能靠备份恢复操作难度完全是另一个量级。SELinux的影响我后面会专门讲现在只需要记住如果系统开了SELinux并且是Enforcing模式改完密码之后最好额外处理一下安全上下文否则有可能出现密码明明改了却仍然无法登录的诡异情况。把这三点想明白你就能快速判断自己是走标准救援流程还是可以先通过其他渠道进去。说白了这才是排查问题该有的顺序先易后难先非破坏后破坏。2. 动手前必须看清的两样东西引导器版本和初始化系统进入正式操作前我强烈建议你先花两分钟搞清楚系统底层用的什么引导器和初始化系统。这不是学术考据而是因为不同组合的操作步骤差异非常大照着网上的教程盲目复制很可能在错误的发行版上执行了错误的参数结果系统卡在奇怪的界面反而更难收拾。先说引导器。目前绝大多数发行版用的都是GRUB 2但老系统上还有GRUB 1也叫GRUB Legacy或者LILO。GRUB 2的开机界面通常是深蓝色底、白字列出了多个内核版本选项进入后按e键可以编辑启动条目。GRUB Legacy的界面颜色和交互略有不同编辑方式是按e进入行编辑。还有一个常见误区有些教程让你在启动界面按Esc或Shift强制显示GRUB菜单但这个行为在不同机器上效果不一样。在BIOS环境下开机时按住Shift容易生效在UEFI环境下大部分机器默认就显示菜单根本不用按任何键。如果机器引导太快看不到菜单可以在GRUB菜单出现后立即按方向键冻结倒计时。再说初始化系统。老派Linux比如CentOS 6及更早、Ubuntu 14.04及更早用的是SysVinit或Upstart救援模式通常叫单用户模式只要在内核命令行末尾加一个single或数字1就能进入。而新派Linux从CentOS 7开始、Ubuntu 15.04之后全面转向了systemd救援模式被拆成了rescue.target和emergency.target进入方式变成了systemd.unitrescue.target或者systemd.unitemergency.target。另外还有一类非常实用的方案在内存盘initramfs阶段直接打断也就是给内核传rd.break参数在真正的root文件系统挂载之前拿到一个极简的shell再通过chroot切进真实的root环境改密码。我整理了一张表把主流发行版的默认环境特征和推荐救援入口列出来方便你直接对照发行版系列常见版本默认引导器初始化系统推荐的救援入口RHEL/CentOS/Rocky/Alma6.x 及更早GRUB 1SysVinit内核参数加singleRHEL/CentOS/Rocky/Alma7.x 及以上GRUB 2systemd内核参数加rd.breakUbuntu/Debian14.04 及更早GRUB 2Upstart/SysVinit内核参数加singleUbuntu/Debian16.04 及以上GRUB 2systemd开机进Recovery模式或内核参数init/bin/bashopenSUSE全版本GRUB 2systemd内核参数加rd.break或systemd.unitemergency.target这个表只是帮你快速定位大方向真正的判断标准是在GRUB菜单里按e之后看启动命令行如果内有rhgb quiet这类Red Hat风格参数多半是RHEL系如果看到ro后面跟着类似splash quiet的多半是Ubuntu系。找准了环境后面的步骤才能一步到位。3. 完整操作链路从开机打断GRUB到密码生效环境认清之后真正的操作链路其实不长核心就是引导进一个root可用的环境改密码重启验证。我以最常见的三种场景为例把每一步的意图和可能出现的问题都讲清楚。3.1 第一步重启并进入GRUB编辑界面这一步的目标是在GRUB菜单出现时按e注意不是cc是进命令行e是编辑当前条目。如果机器已经启动到了登录界面直接重启即可如果是虚拟机在VMware或VirtualBox的窗口里重启也一样。这里有个细节很多新手会纠结按e的时机其实GRUB菜单出现后会停留几秒你只需要在菜单上高亮任意一个条目时按e就行不需要疯了一样敲键盘。编辑界面打开后你会看到一段类似这样的内容setparams Ubuntu ... load_video ... linux /vmlinuz-5.15.0-91-generic root/dev/mapper/ubuntu--vg-root ro quiet splash initrd /initrd.img-5.15.0-91-generic请特别注意linux开头的那一行有些系统是linux16本质一样前后不要动我们只在该行末尾追加参数。接下来的操作完全取决于你面对的发行版类型。3.2 第二步针对不同环境注入不同的内核参数场景一RHEL/CentOS 7及以上、Rocky/Almasystemd GRUB 2用方向键把光标移到linux16或linux那一行的末尾先敲一个空格然后输入rd.break最后按CtrlX或F10启动。这个参数会告诉内核在initramfs阶段、挂载真正的根文件系统之前先停住丢给你一个root shell。这个shell里的目录结构很简陋root目录是空的命令也不全但它的存在就是让你自救用的。启动过程大概几十秒最终你会看到一个类似这样的提示符switch_root:/#场景二CentOS 6及更早、老版本UbuntuSysVinit同样把光标移到linux行末尾追加一个单词single或者数字1。启动后系统不会进入图形或完整多用户环境而是直接在控制台给你一个root shell而且此时根文件系统默认已经是读写挂载状态直接执行passwd就行。这是最省事的方案。场景三Ubuntu新版本16.04及更高新版本Ubuntu在GRUB菜单里专门提供了Advanced options for Ubuntu子菜单里面每一项内核旁边都有一个(recovery mode)选项。选择恢复模式后系统会进入一个蓝色的Recovery Menu一般会列出一堆选项比如root、dpkg、fsck等。这时候选中root回车就会进入一个root shell而且根文件系统通常已经以可写方式挂载好了直接改密码即可。如果Recovery菜单进不去还有一招回到GRUB编辑界面在linux行的末尾把原有的ro quiet splash改成rw init/bin/bash。注意这里ro变成了rw含义是让内核把根文件系统以读写方式挂载同时跳过init进程直接用/bin/bash作为第一个进程。这样子改完之后按CtrlX你会进入一个极简的bash环境里面没有乱七八糟的服务只有一个root shell。这个方法对很多Debian系系统都通用老运维几乎必用。3.3 第三步正确重挂根文件系统别急着敲passwd前面进入shell之后很多教程会让你直接敲passwd但这里有个极易踩坑的地方rd.break环境里的根文件系统是只读的而且真实的根目录挂载在/sysroot下面不是你当前看到的/。在rd.break的提示符下你先执行mount -o remount,rw /sysroot chroot /sysroot第一行是把真正的根文件系统重新挂载为可读写第二行是把当前shell的根目录切换到真实系统根目录下。执行完chroot之后你的命令环境和正常系统的root shell几乎一样了此时再改密码才不会有权限或只读问题。而在init/bin/bash或者系统自带的Recovery shell里通常已经处理好挂载了但为了保险起见建议先敲一下mount | grep / 看看挂载状态是否包含rw字样。如果显示的却是只读ro同样先执行mount -o remount,rw /再继续。这一步的逻辑在于passwd命令要向/etc/shadow写入新的密码哈希而只读文件系统会直接拒绝写入。很多人卡在这一步系统提示passwd: Authentication token manipulation error其实就是文件系统没重挂成读写。3.4 第四步修改密码并处理SELinux安全上下文现在终于到了改密码这一步。在正确的root shell下执行passwd root然后按提示输入两次新密码。这里有个细节passwd命令不会直接显示你输入的密码指定输入并且至少8位、包含大小写和数字的复杂度否则某些系统会因为你用了太弱的密码而报错。如果系统里还有别的普通用户也需要重置就执行passwd 用户名。如果你是从rd.break进入chroot的而且系统启用了SELinux并处于Enforcing模式请务必再执行一句touch /.autorelabel这一步的作用是让系统在下次启动时自动修复所有文件的安全上下文标签。为什么要这么做因为你在initramfs阶段通过chroot修改了/etc/shadow这个文件的SELinux标签在极特殊情况下可能因为挂载或上下文处理不当而变得不正确导致重启后即使密码正确PAM模块也可能因SELinux拒绝访问而返回认证失败。touch /.autorelabel会在根目录做一个标记下次开机时systemd会自动对整个文件系统执行restorecon把上下文全部刷新一遍。如果系统本身禁用了SELinux这步跳过没关系。老派SysVinit的single模式一般不需要处理SELinux因为它是完整系统环境下的单用户模式文件上下文没有被绕过。但我在CentOS 6上确实遇到过单用户模式改完密码重启后SELinux把登录流程搞挂的情况所以保险起见只要是SELinux Enforcing的环境改完密码后执行一次touch /.autorelabel不会错。3.5 第五步重启验证别急着关终端改完密码后一步步退出当前的shell。如果是rd.break环境先exit退到initramfs的switch_root环境再exit一次继续启动过程。如果是init/bin/bash环境直接执行exec /sbin/init或者reboot -f强制重启。如果是Recovery菜单里进的root shell输入exit可以回到恢复菜单然后选择resume继续启动或者直接reboot。重启后在登录界面或SSH输入修改后的密码。这里有一个我强烈建议的验证习惯第一次登录成功后先不要立刻关掉机器开一个额外的会话确认密码有效再继续后续工作。因为很多时候你在救援环境里改密码可能因为键盘布局、输入法或手误实际上输错了新密码但passwd不会给你第二次确认机会以外的提示。如果你直接把机器关了或放回机房下次再要登录又进不去那就得重复一遍整个流程。4. 实测中最容易翻车的几个问题按部就班改密码大多数系统都能顺利搞定但我在实际工作里也见过很多改完了还是进不去的离奇问题。这里挑几个典型情况专门说一下免得你到时候怀疑人生。4.1 SELinux导致登录后密码验证失败这个前面提过这里再展开讲一次。有一次我给一台CentOS 7.9的机器通过rd.break改完root密码重启后无论如何都登录不上密码明明是对的但控制台一直提示认证失败。排查到最后发现/etc/shadow的SELinux标签变得异常变成了普通文件而不是etc_shadow_t。原因在于chroot环境的安全上下文处理比较微妙加上某些发行版的默认SELinux策略对initramfs阶段的写操作不友好。最后我通过紧急模式进去执行restorecon -v /etc/shadow修复标签重启后正常。这个教训的总结就是只要你走的是rd.break chroot路径且系统开启SELinux的Enforcing无脑先touch /.autorelabel别等出问题再补救。4.2 只读文件系统导致passwd报错很多人在rd.break环境下直接敲passwd root结果被告知无法写入认证信息。这个坑我在前文说过了但值得再强调一次rd.break后的initramfs里真实根目录是在/sysroot而且是ro状态。如果不先mount -o remount,rw /sysroot再chroot /sysroot后面所有写操作都会失败。知道你看到的错误是passwd: Authentication token manipulation error第一反应就应该是查挂载状态而不是怀疑密码策略。4.3 系统提示“Authentication token manipulation error”的深层原因除了文件系统只读还有个可能的原因是/etc/shadow文件本身的权限或所有权被改动过。正常情况下/etc/shadow的权限应该是000或640属主是root:shadow。如果你之前操作时不小心chmod过它或者恢复数据时覆盖了它passwd也会无法写入。遇到这种情况先检查ls -l /etc/shadow chmod 640 /etc/shadow chown root:shadow /etc/shadow另外有些系统的PAM配置了密码质量策略比如minlen、minclass你如果设了一个过于简单的密码passwd会报错并要求你重新输入。这不是系统坏了你可以设一个复杂度足够的密码或者临时调整/etc/security/pwquality.conf再改。但就救援场景来说尽量一步到位设个好记又合规的密码别给自己添堵。4.4 云服务器和虚拟机的额外注意事项云服务器虽然也能通过VNC控制台走同样的流程但有几个额外风险要提醒第一云平台默认的GRUB超时时间可能非常短甚至有些平台开启后需要先向控制台发送一次按键才能激活VNC输入第二部分云厂商比如阿里云、腾讯云提供了更安全的控制台重置实例密码功能修改后一般需要重启才生效能不动手敲就尽量别手动改避免把网络配置弄乱第三如果你的系统启用了cloud-init修改root密码后可能被云平台的开机脚本再次重置。这个情况比较少见但如果出现改完密码重启又回到初始密码去检查一下云平台的密钥和密码注入配置。虚拟机相对纯粹但有个细节VMware里CtrlAltInsert是重启快捷键在GRUB编辑界面按的是CtrlX启动别和Windows的快捷键搞混了。VirtualBox在GRUB界面按e也可能需要先点击一下虚拟机窗口捕获键盘否则按键会跑到宿主系统里。4.5 一个特殊场景WSL里忘了Linux用户密码如果你用的是WSLWindows Subsystem for Linux上面的GRUB方法全都用不上因为WSL没有真正的引导过程。但在WSL里处理忘密码反而更简单在Windows的PowerShell或CMD中执行wsl -u root这会直接切入root身份进入默认的Linux环境然后执行passwd 用户名就能重置。如果这个命令不行还可以通过Windows终端进入系统后开启root默认用户或者在/etc/wsl.conf里临时配置[user] defaultroot。WSL本身的密码体系比较轻量一般默认不开启sudo密码所以这个场景通常不太会卡住。5. 一次救援操作带来的日常防护思考每次做完这种救援我都不禁感叹Linux的密码恢复机制在设计上确实给了管理员极大的便利但便利的另一面是安全隐患。任何人只要物理上能碰触到机器或者能拿到虚拟机的控制台都可以通过上述方法重置密码进而接管系统。所以借着这个机会我建议每个Linux管理员都认真思考一下几个防护层面的问题。5.1 给GRUB加上访问保护如果你管理的机器放在公共机房或者虚拟机镜像会被多人使用建议给GRUB菜单本身加一层密码保护。GRUB 2支持password_pbkdf2指令启用后即使有人重启机器想按e编辑启动参数也需要先输入密码。这样Linux账号密码忘了至少你还有GRUB密码可用别人想通过救援模式入侵门槛也高了一截。不过这个方法有个反作用如果GRUB密码你也忘了那恢复起来就相当麻烦通常得用系统光盘进入救援模式或者通过其他手段重写引导配置。5.2 为平时配置一个可用的sudo用户真实生产环境中root密码的使用频率其实不高我更建议日常用一个普通用户登录需要管理操作时通过sudo提权。这样即使root密码丢了只要普通用户密码还记得上去执行sudo passwd root就能秒解决。反过来如果你只设置了一个root账号还忘了密码救援成本就完全不一样了。因此密码保留策略比密码本身更有价值。5.3 磁盘加密的利与弊如果系统盘开启了LUKS全盘加密那么开机时必须先输入解密密码之后才能进入GRUB在这种情况下上面说的rd.break、single模式都是在你已经能解锁磁盘的前提下才生效的。也就是说LUKS保护的是静态数据Linux账号密码保护的是运行中系统的访问权限两者是不同层次的安全措施。如果你追求更高的安全性LUKS必不可少但你要清楚地意识到一旦忘了LUKS口令这些救援方法统统失效只能依赖备份恢复。所以部署LUKS之前务必把恢复口令recovery key和备份策略落实到位。最后再分享一个实用的小习惯每次给系统改密码或做大维护之前先用cp /etc/shadow /root/shadow.bak.$(date %F)留一份备份。这句话看起来简单却能在你改坏密码、搞乱权限之后用一条cp shadow.bak /etc/shadow把系统救回来。密码这东西记不住没关系流程和备份永远是最后的兜底。
与LR(1)高频考点全解析)
