Linux密码找回实战：GRUB引导与单用户模式操作指南

2026/8/16 12:52:02

1. 从“进不去系统”到“重掌控制权”：Linux密码找回的实战路径

相信不少运维工程师、开发者，甚至是刚开始接触Linux的个人用户，都经历过一个令人心跳加速的瞬间：面对熟悉的登录界面，手指在键盘上敲下那个自以为铭记于心的密码，回车后却只得到一句冰冷的“Authentication failure”。尤其是在服务器环境，这往往意味着关键服务的中断和潜在的线上风险。找回Linux系统密码，绝不仅仅是输入几个命令那么简单，它是一套结合了系统引导原理、文件系统操作和权限管理的综合应急技能。今天，我们就抛开那些泛泛而谈的教程，深入Linux的GRUB引导器和单用户模式，手把手带你走通从“被锁门外”到“重掌root大权”的完整流程，并剖析其中每一步背后的原理与风险控制点。

很多人第一反应是去搜索“Linux 忘记密码怎么办”，得到的答案往往是“进入单用户模式修改”。但实际操作中，你会遇到GRUB菜单加密、系统使用systemd、或者根文件系统是LUKS加密等复杂情况。本文将围绕最通用但也最核心的GRUB引导器介入法展开，这种方法适用于绝大多数使用GRUB2引导、根分区未做全盘加密的发行版（如CentOS/RHEL 7/8/9, Ubuntu, Debian, Rocky Linux等）。我们的目标不仅是让你成功修改密码，更要让你理解为什么可以这么做，以及在不同变种情况下如何调整策略。

2. GRUB引导菜单：系统启动的“后门”与安防要点

在探讨如何利用GRUB前，我们必须先理解它的角色。GRUB（GRand Unified Bootloader）是大多数Linux发行版默认的引导加载程序。它的核心任务有两个：一是加载内核镜像（vmlinuz）和初始内存盘（initramfs），二是将控制权交给内核。关键在于，在将控制权交出之前，GRUB提供了一个可交互的菜单界面，允许用户临时修改内核的启动参数。这，就是我们找回密码的“后门”。

2.1 触及GRUB菜单的正确姿势

首先，你需要确保能见到GRUB菜单。在物理服务器或虚拟机上，开机后当出现制造商Logo（如Dell、HP）或黑屏时，迅速、连续地按下Esc键（对于某些系统可能是Shift键）。如果屏幕一闪而过直接进入了系统，说明GRUB被配置为隐藏菜单或等待时间为0。

为什么有时按了没反应？这可能是因为UEFI启动模式下，固件自检和快速启动功能缩短了按键检测窗口。一个更可靠的方法是：如果系统正在运行，你可以预先修改GRUB配置，为下次重启做好准备。编辑/etc/default/grub文件，找到GRUB_TIMEOUT参数，将其设置为一个明显的值，例如GRUB_TIMEOUT=5（表示显示5秒）。然后，对于基于Debian/Ubuntu的系统运行sudo update-grub，对于基于RHEL的系统运行sudo grub2-mkconfig -o /boot/grub2/grub.cfg。这样重启后你就有充足的时间按下按键了。

注意：在生产环境中，随意修改GRUB_TIMEOUT并更新配置是高风险操作，可能因配置错误导致系统无法引导。此操作仅建议在你有把握或非核心测试环境进行。更安全的做法是牢记按键时机，或通过服务器管理卡（如iDRAC, iLO）的虚拟控制台来操作，其响应窗口更宽裕。

2.2 内核启动参数：通往单用户模式的钥匙

成功进入GRUB菜单后，你会看到一行行以你安装的内核版本命名的选项。用上下键选中你平时正常启动的那一行（通常是第一个），然后按下e键进入编辑模式。这时，屏幕上会显示出一段配置文本。

我们的焦点是找到以linux或linuxefi（UEFI系统）开头的那一行。这一行定义了内核镜像的路径和一系列启动参数。例如，它可能看起来像这样：

linux /vmlinuz-5.4.0-150-generic root=/dev/mapper/ubuntu--vg-ubuntu--lv ro quiet splash

在这一行的末尾，ro表示以只读（read-only）方式挂载根文件系统，quiet和splash是用于隐藏启动日志、显示美化画面的参数。

修改的核心操作是：将光标移动到这行的末尾，先添加一个空格，然后输入init=/bin/bash或single。更推荐使用init=/bin/bash，因为它能更直接地给我们一个root shell。

修改后的一行可能变为：

linux /vmlinuz-5.4.0-150-generic root=/dev/mapper/ubuntu--vg-ubuntu--lv ro quiet splash init=/bin/bash

原理剖析：init=参数用于指定内核启动后运行的第一个进程（PID 1）。默认情况下，这个进程是/sbin/init（通常是systemd或SysV init的符号链接），它负责拉起所有系统服务。当我们将其替换为/bin/bash，内核在完成初始化后，不会启动任何系统服务（包括登录管理器、网络服务等），而是直接给我们一个Bash shell。由于这个shell是由内核直接启动的，它天然具有root权限，并且根文件系统仍处于“只读（ro）”状态。

3. 单用户Shell下的精细操作：不只是passwd命令

按下Ctrl+X或F10使用修改后的参数启动。几秒钟后，你会进入一个只有命令提示符（可能是bash-5.0#）的界面，没有图形，也没有网络。这时，你已身处一个极其精简的“救援环境”。

3.1 重新挂载根文件系统为可读写

第一步不是直接改密码，而是让根文件系统可写。因为启动参数里有ro，所以目前根分区是只读的，无法保存密码文件的修改。

mount -o remount,rw /

执行这条命令后，如果没有任何错误输出，通常意味着成功。但这里有一个关键检查点：使用mount | grep ‘ / ’确认挂载选项是否已包含rw。有时，特别是使用了LVM或复杂分区的情况下，根文件系统可能挂载在/dev/mapper下的某个逻辑卷，上述命令可能失效。如果失效，你需要先确认根设备是什么：cat /proc/mounts | grep ‘ / ’，然后使用mount -o remount,rw /dev/mapper/your-root-lv /这样的命令。

3.2 修改root密码的“标准”与“备用”方案

现在可以修改密码了：

passwd root

系统会提示你输入新的密码并确认。这是最标准的方法。

但是，实战中常会遇到“passwd: Authentication token manipulation error”错误。这通常是因为根文件系统虽然可写，但某些底层安全模块（如SELinux）或文件属性阻止了修改。此时，你需要一个备用方案：直接编辑密码文件/etc/shadow。

/etc/shadow文件存储了用户的加密密码哈希。我们可以用openssl或mkpasswd生成一个新的哈希来替换它。首先，生成一个密码为“NewPassword123!”的SHA-512哈希：

openssl passwd -6 -salt $(openssl rand -base64 6) NewPassword123!

或者使用mkpasswd（如果可用）：

mkpasswd -m sha-512 NewPassword123!

命令会输出一串以 $6$ 开头的长字符串，这就是加密后的密码哈希。然后，编辑shadow文件：

vi /etc/shadow

找到root:开头的那一行，将第一个冒号和第二个冒号之间的内容（即当前的密码哈希字段，可能是!或*或一串加密字符）删除，替换为你刚刚生成的哈希字符串。保存并退出。

重要安全提示：这种方法会明文记录你使用的密码在命令历史中（如果shell有历史记录）。在共享环境或安全审计严格的环境中，这是一个风险点。更安全的做法是，在修改后立即清除当前shell的历史记录（history -c），并确保重启后Bash历史记录功能尚未激活。更好的实践是，在恢复访问后，立即通过正常的登录方式再次修改密码。

3.3 处理SELinux上下文问题（针对RHEL/CentOS/Rocky Linux）

如果你使用的是开启了SELinux的发行版（默认开启），直接修改/etc/shadow可能会导致其安全上下文（context）错乱，未来可能引发问题。一个稳妥的做法是在修改后恢复其上下文：

touch /.autorelabel

这条命令会在根目录下创建一个空文件.autorelabel。系统在下次正常启动时，如果发现这个文件，会自动重新标记整个文件系统的SELinux上下文。这是一个一劳永逸的修复方式。

4. 完成修复与安全重启：关闭“后门”

密码修改完成后，不能简单地reboot。因为系统仍运行在我们临时修改的init=/bin/bash模式下，直接重启可能会因为文件系统未正确同步（sync）而导致数据损坏。

正确的收尾顺序是：

同步磁盘：sync命令将内存中所有未写入的磁盘数据强制刷入硬盘。
重启系统：exec /sbin/reboot -f。这里使用exec是为了用reboot进程替换当前的bash进程，-f参数表示强制重启。

系统重启后，使用你新设置的root密码登录。登录后第一件事：检查系统日志（journalctl -xe或/var/log/messages），看看刚才的非正常启动是否有报错。第二件事，如果系统重要，考虑重新给GRUB菜单加密，关闭这个“后门”。

4.1 GRUB菜单加密方法

给GRUB菜单设置密码，可以防止任何物理接触到机器的人进行上述操作。首先，生成一个PBKDF2加密的密码哈希：

grub2-mkpasswd-pbkdf2

输入你想为GRUB设置的密码，会得到一串以grub.pbkdf2...开头的哈希。然后，编辑/etc/grub.d/40_custom文件，在末尾添加：

set superusers=“root” password_pbkdf2 root grub.pbkdf2.sha512.10000.这里是你得到的很长一串哈希

接着，更新GRUB配置：

grub2-mkconfig -o /boot/grub2/grub.cfg

重启后，在GRUB菜单界面，按e编辑前会要求你先输入用户名（root）和密码。这样就为系统增加了一道物理访问层面的安全屏障。

5. 必须掌握的Linux常用命令“生存包”

成功找回密码并登录系统后，日常运维和问题排查离不开一系列高频命令。下面不是一个简单的命令列表，而是结合场景的“生存包”指南，解释在什么情况下该用什么命令，以及为什么。

5.1 系统状态一眼知：资源监控与进程管理

当系统感觉“慢”或“卡”时，盲目重启不是好习惯。你需要一套组合拳来定位瓶颈。

top/htop：这是你的第一站。top提供动态的进程视图。关键看几列：%CPU（单个进程CPU占用）、%MEM（内存占用）、COMMAND（进程名）。如果某个进程长期占用CPU 90%以上，它就是可疑分子。htop是top的增强版，支持颜色、鼠标操作和更直观的树状进程显示，效率更高。
df -h：检查磁盘空间使用情况。-h参数让数据以人类可读的格式（G, M）显示。重点看/根分区和/home、/var（日志常在这里）的使用率。一旦使用率超过90%，系统就可能出现各种奇怪问题，需要及时清理。
free -h：查看内存使用。关键看available列，它表示系统可用（包含可回收缓存）的内存。如果available非常小，而swap使用量（Swap行的used）在持续增长，说明物理内存不足，系统正在频繁使用交换分区，这是性能杀手。
ps aux | grep -v grep | grep 进程名：精准查找进程。ps aux列出所有进程，通过管道|传给grep进行过滤。例如ps aux | grep nginx可以找到所有Nginx相关进程。-v grep是为了排除掉grep命令自身的进程。

5.2 问题追踪利器：日志查看与文本处理

系统服务出问题，日志是唯一的“证人”。学会高效查看日志是必备技能。

journalctl：这是systemd系统（几乎所有现代发行版）的日志中心。它的强大在于过滤能力。
- journalctl -xe：查看最近的日志，并展开详细信息（-x）且从末尾开始显示（-e），这是排查刚发生的错误最常用的命令。
- journalctl -u nginx.service --since “2024-01-01 09:00:00”：查看指定服务（nginx）从某个时间点开始的日志。
- journalctl -p err -b：查看本次启动（-b）以来所有优先级为错误（err）及以上的日志。
tail与grep的黄金组合：对于仍使用传统syslog的日志文件（如/var/log/messages,/var/log/syslog），这个组合无敌。
- tail -f /var/log/nginx/access.log：-f参数可以实时追踪日志尾部的新内容，对于监控Web请求非常有用。
- grep -i error /var/log/messages | tail -20：在messages日志中查找包含“error”（-i忽略大小写）的行，并显示最后20条。这是快速定位错误的方法。
- grep -A 5 -B 5 “Connection refused” /var/log/syslog：查找包含“Connection refused”的行，并同时打印其前（-B 5）后（-A 5）各5行上下文，让你了解错误发生的背景。

5.3 文件与目录操作：不只是ls和cd

文件操作是基础，但高效操作能节省大量时间。

查找文件：
- find / -name “*.log” -mtime -7：在根目录下查找过去7天内修改过的所有.log文件。find功能极其强大，可以根据名称、类型、时间、大小、权限等组合查找。
- locate nginx.conf：基于数据库的快速查找，比find快得多，但需要先更新数据库（sudo updatedb）。适合你知道文件名但不确定路径的情况。
查看与分析文件：
- less file.log：分页查看大文件，支持搜索（/关键词）、跳转（G到文件尾，g到文件头），比cat更适合阅读。
- head -n 50 file.log/tail -n 50 file.log：查看文件头或尾的50行。
- wc -l file.log：统计文件行数，快速了解日志规模。
- du -sh /var/*：查看/var目录下各个子目录的磁盘使用大小（-s总计，-h人性化显示），快速定位是哪个目录占用了大量空间。
权限与归属：ls -l查看详细权限。chmod修改权限（如chmod 600 private.key设置密钥文件仅所有者可读写）。chown修改所有者和所属组（如chown www-data:www-data /var/www/html将网站目录权限给Web服务用户）。

5.4 网络诊断三板斧

网络不通？按顺序使用这三个命令，基本能定位大部分问题。

ping：检查基础连通性。ping -c 4 8.8.8.8向Google DNS发送4个ICMP包。如果能通，说明本机网络协议栈、路由、对方IP可达性基本没问题。如果失败，问题可能出在本地防火墙、路由或对方禁ping。
traceroute(或tracepath,mtr)：如果ping不通，用这个命令查看数据包在哪个网络节点丢失。traceroute www.baidu.com会显示数据包到达目标经过的每一跳，延迟和丢包情况一目了然，可以判断是国内网络问题还是国际出口问题。
netstat/ss：检查本地端口监听和连接情况。ss是更现代、更快的替代品。
- ss -tlnp：查看所有TCP（-t）监听（-l）端口，不解析服务名（-n），并显示关联的进程（-p）。这是查看“我的服务器上到底开了哪些服务”的标准命令。
- ss -tunp：查看所有TCP和UDP（-u）的连接和监听状态。
- 如果你想查看某个特定端口（如3306）是否被监听：ss -tlnp | grep :3306。