在Linux系统管理中，遗忘root密码是运维人员可能面临的棘手问题，但通过引导加载程序（GRUB）修改内核启动参数进入单用户模式或紧急模式，是解决这一问题的标准且最高效的方案，这种操作无需重装系统或使用外部工具，核心原理是在系统启动早期介入，绕过身份验证机制直接获得最高权限Shell环境，进而强制重置密码，针对不同的Linux发行版，如CentOS/RHEL系列或Ubuntu/Debian系列，具体的操作步骤略有差异,但底层逻辑一致。
CentOS 7/8 及 RHEL 系统的重置方案
对于企业级常用的CentOS 7、8或RHEL系统，采用rd.break打断启动流程是目前最稳妥的方法，重启服务器，在GRUB启动菜单界面迅速按下方向键暂停倒计时，选中内核启动行（通常是以linux16或linux开头的那一行），按键盘上的e键进入编辑模式。
在编辑界面中，找到以ro（Read Only）开头或包含ro的参数段，将其修改为rw init=/sysroot/bin/sh，这一步至关重要，rw表示将根文件系统以读写模式挂载，而init=/sysroot/bin/sh则指定了系统启动后直接执行的Shell程序，从而跳过正常的系统初始化和登录验证，修改完成后，按Ctrl + x组合键启动系统。
系统进入紧急Shell后，输入chroot /sysroot命令切换根目录环境，直接输入passwd命令并按照提示输入两次新密码即可，对于启用了SELinux的系统（这是企业环境的常态），仅仅修改密码是不够的，必须创建一个自动重标记文件，否则重启后系统会因为SELinux上下文不匹配而拒绝登录，执行touch /.autorelabel命令即可解决此问题，输入exit退出chroot环境，再次输入exit或执行reboot重启系统，系统在首次重启时会进行SELinux重标记，过程可能需要几分钟,耐心等待即可使用新密码登录。
Ubuntu 及 Debian 系统的重置方案
Ubuntu和Debian系统的处理逻辑类似，但GRUB参数有所不同，在启动菜单按e进入编辑模式后，找到以linux开头的那一行，通常包含ro quiet splash，将ro改为rw，并在该行末尾添加init=/bin/bash，修改后按F10或Ctrl + x启动。
系统启动后会直接进入root Shell，此时直接执行passwd命令修改密码，由于Ubuntu默认通常不强制开启SELinux，因此无需执行重标记操作，密码修改成功后，为了确保系统正常重启，建议执行exec /sbin/init或直接强制重启，需要注意的是，如果文件系统是以只读方式挂载的，在修改密码前可能需要先执行mount -o remount,rw /命令，否则会提示“Authentication token manipulation error”错误。
安全风险与防范措施
虽然上述方法能有效解决密码遗忘问题，但也暴露了物理接触带来的巨大安全风险，任何能够接触到服务器物理终端或控制台的人，都可以通过类似手段获取系统最高权限，在生产环境中,必须采取相应的防范措施。
GRUB密码保护，通过生成加密的GRUB密码并配置到/etc/grub.d/00_header文件中，可以防止未经授权的用户修改启动参数，其次是全盘加密（如LUKS），如果磁盘分区经过加密，攻击者在启动时必须输入解密密钥，否则无法挂载根文件系统，上述的rd.break方法将无法读取或修改系统文件，对于云服务器，应严格控制VNC或控制台访问权限,并利用IAM策略管理谁能进行重启和重置实例的操作。
常见故障与排错思路
在实际操作中，新手常遇到“只读文件系统”报错，这通常是因为没有正确将根目录挂载为读写模式，在CentOS的rd.break模式下，必须使用mount -o remount,rw /sysroot；在Ubuntu下则是mount -o remount,rw /，另一个常见问题是修改密码后无法登录，提示“Permission denied”，这多半是因为SELinux的安全机制触发了，执行touch /.autorelabel是解决该问题的关键步骤。
相关问答
问题1：如果Linux系统开启了UEFI Secure Boot，还能通过GRUB破解root密码吗？
解答： 通常情况下是可以的，UEFI Secure Boot主要目的是防止恶意的bootloader或内核驱动在启动时加载，它并不阻止用户修改GRUB的启动参数，只要你能进入GRUB编辑界面，上述方法依然有效，但在某些高安全级别的配置下，管理员可能会设置GRUB密码或禁止进入恢复模式,这种情况下则需要输入GRUB密码才能进行编辑操作。
问题2：重置root密码后，系统重启一直卡在启动界面怎么办？
解答： 这极有可能是SELinux重标记过程导致的，在CentOS/RHEL系统中，执行touch /.autorelabel后，系统下次重启会扫描所有文件并重建安全上下文，对于存储了大量文件的系统，这个过程可能非常耗时，看起来像是死机，建议观察硬盘指示灯是否有活动，或者耐心等待30分钟以上，如果确实无法进入，可以重启再次进入紧急模式，删除/.autorelabel文件，并执行restorecon -Rv /命令手动修复,或者临时将SELinux设置为Permissive模式。
互动环节
如果您在尝试上述过程中遇到不同发行版的报错，或者有关于GRUB加密配置的具体疑问，欢迎在评论区分享您的系统版本和错误信息,我们将为您提供进一步的技术支持。
