忘了root密码这事儿谁摊上都头疼。尤其是那种大半年没碰过的测试服务器或者交接文档里根本没写root密码的旧机器你坐在终端前面sudo用不了su又不知道密码第一反应往往是“完了只能重装了”。先别急Linux从设计上就给你留了本地密码重置通道只要你能接触到机器的控制台或者虚拟化管理界面这事儿就还有救。这篇文章就从实际运维角度把Linux里最常见、最靠谱的几种重置root密码的路数掰开讲清楚。从原理到底层机制从GRUB菜单到紧急Shell从RHEL系到Debian系我会把每条路径的适用场景、完整步骤和坑点都整理出来。不管你是刚接触Linux的新手还是被生产环境困住的老手照着下面这几套逻辑走基本都能把密码捞回来。1. 场景复盘与核心原理为什么忘掉root密码不用重装系统1.1 密码存在哪里从 /etc/passwd 到 /etc/shadow在动手之前先把基本概念捋清楚这不只是理论直接影响后面每一步。Linux系统中用户账户信息传统上记录在/etc/passwd文件里早期这个文件第二字段就是用户密码的哈希值。但这样不安全因为/etc/passwd是所有用户都可读的于是现代系统把真正存放密码哈希的文件挪到了/etc/shadow并且把它设置为只有root可读写、部分程序可读。/etc/passwd里的密码字段只留一个x占位表示“真正的密码在shadow文件里”。所以root密码的本质是什么呢就是/etc/shadow中root那一行第二个冒号后面那串哈希字符串。当我们重置密码的时候本质上就是让系统重新生成一个合法的哈希替换掉旧的那一串。你可以用passwd命令来做这件事也可以直接编辑shadow文件来改但后者风险更大容易出格式问题。1.2 重置密码的本质在特殊环境中修改哈希值想修改/etc/shadow必须要有root权限。这就形成了一个死锁你想改root密码但改密码需要root身份而root身份又恰恰被密码锁住了。破局思路只有一个绕过正常登录流程在系统启动早期进入一个特殊环境在这个环境里直接以root身份操作或者通过挂载等手法获得对磁盘的读写控制权。GRUB引导菜单就是最常见的“后门入口”。你可以把它理解成你把钥匙锁屋里了但窗户没锁从窗户爬进去把钥匙换了。进入这个特殊环境的常见路线有三条编辑GRUB的启动参数临时加一个参数让系统进入紧急Shell或单用户模式。使用系统安装镜像ISO启动进入救援模式。把硬盘拆下来挂到另一台Linux机器上修改shadow文件。这三条路线本质相同都是想办法在系统正常“门禁”之外直接获得一个能修改文件的Root Shell。理解了这一点后面所有的操作都是这个思路的具体落地。1.3 三条常见重置路径的定位与取舍不是说哪条路一定最好而是要看你的具体环境和手头资源。GRUB参数法依赖你能在开机时看到引导菜单并且能编辑参数适合物理机、带控制台的虚拟机、部分云服务器的VNC界面。优点是快不用准备安装介质缺点是有一些系统细节需要注意比如SELinux、只读挂载等。救援模式法适合你在手头有同版本系统安装镜像的场景或者你不想碰GRUB、对参数记忆不熟。它启动时会自动检测磁盘并挂载到一个固定目录下操作直观容错率高。缺点是得准备ISO镜像或U盘需要通过某种方式引导它对云服务器来说就是厂商提供的“救援模式”入口。离线修改shadow文件法适合前面两种都走不通的情况比如GRUB彻底坏了、引导记录完全丢失或者你手头只有另一台正常Linux机器。缺点是需要把硬盘物理拆下来或至少能附加到另一台机器上在云环境里基本做不到。但作为兜底方案依然值得掌握。2. 方法一GRUB临时参数 rd.break 强制进入紧急Shell2.1 前置条件与适用系统这条方法针对的是使用systemd引导的主流RHEL系发行版比如CentOS 7及以上、Rocky Linux、AlmaLinux、Fedora这些。核心参数就是rd.break它的意思是“在initramfs阶段中断启动流程进入一个用于排障的Shell”。为什么要用这个参数因为systemd启动流程中内核先加载initramfs再由initramfs加载真正的根文件系统并切换过去。如果我们在启动参数里加上rd.break系统就会在initramfs刚挂载完、还没切到真正根目录之前停下来给你一个switch_root:/#的提示符。在这个阶段系统的根目录是一个基于内存的临时文件系统真正的磁盘根分区会被挂载到/sysroot下面。所以这条路径非常适合CentOS 7/8/9、Rocky Linux、AlmaLinux等系统。如果你手头是CentOS 6那种老SysV体系或者Debian/Ubuntu系列方法要稍微调整这个后面专门讲。2.2 五步操作全流程假设你现在已经站在机器面前能操作它的显示器和键盘或者通过VMware/virtualbox控制台、云厂商的VNC窗口看到开机画面。第一步开机进入GRUB菜单。如果是多系统会在列表里看到多个内核版本随便选一个当前使用的就行不用纠结。第二步在想要启动的内核条目上按e键进入编辑模式。此时你会看到一堆以linux16或linuxefi开头、后面跟着ro crashkernelauto ...之类的长参数。第三步找到以linuxfd16开头的那一行有的系统是linux或linuxefi把光标移到该行末尾。在末尾先输入一个空格然后追加参数rd.break按CtrlX或者F10使用修改后的参数启动。系统会走一段正常的启动流程然后在某个瞬间停下来进入一个看起来像这样的Shellswitch_root:/#第四步此时执行下面四条命令mount -o remount,rw /sysroot chroot /sysroot passwd root敲完passwd root后系统会提示你输入新密码并确认按提示操作。这一步就是最终目的修改root密码。第五步依次执行exit退出chroot环境再执行一次exit退出临时Shell。系统会继续完成剩余启动流程并进入正常登录界面。此时用新密码登录root即可。2.3 关键命令逐条拆解rd.break 为什么能帮你重置密码先说mount -o remount,rw /sysroot。刚才提到了在rd.break阶段/sysroot是只读挂载的。如果你不理解这一点上来就直接改文件会碰到 “Read-only file system” 的报错。remount,rw的意思是重新以读写模式挂载这个目录一步都不能省。再说chroot /sysroot。在rd.break阶段当前的根目录/是内存文件系统里面没有完整的系统目录结构也没有/etc/shadow。你真正要改的文件在物理硬盘上现在被挂载在/sysroot。chroot可以把当前Shell的根目录切换到/sysroot这样你敲passwd root的时候修改的就是真正的系统账户密码。执行完chroot后提示符通常会变成类似bash-4.2#这种已经进入真正系统的感觉了。这个命令本质上就是“换了个根”把自己关进一个能访问真实系统的空间里。最后是passwd root。这命令会调用系统的密码哈希算法根据当前系统的/etc/login.defs和PAM配置生成一个新的哈希并写入shadow。在CentOS 7上默认是采用sha512算法CentOS 9/Rocky 9上默认可能是yescrypt。不管哪种passwd自己会处理你不用关心具体哈希长什么样。2.4 避坑提醒实际操作中有几个细节特别容易翻车。第一个坑在rd.break里直接敲passwd root却不先remount系统会卡在只读文件系统上报错然后你满脑子都是“怎么权限不够”。我见过不少人绕半天其实问题根本不在于权限而在于文件系统挂载模式。第二个坑执行完passwd之后如果系统启用了SELinux并且处于Enforcing模式改完密码后直接重启有概率出现无法登录的现象。原因是/etc/shadow的安全上下文可能因为直接写入而变了。稳妥的做法是在chroot环境里执行touch /.autorelabel这个命令会让系统在下次启动时自动重新标记所有文件的安全上下文相当于给SELinux做一次“体检校准”。代价是重启时会多花一些时间但值得。第三个坑有些新版本系统的GRUB界面不再叫linux16而是叫linux或linuxefi。不管叫什么你只要找那个以vmlinuz开头、后面跟着一大堆内核参数的大长行就行。第四个坑如果你是在云服务器的网页控制台VNC里操作键盘映射可能不对输命令时经常把符号敲错。这时候要么切换输入法/键盘布局要么耐心一点一次敲完再检查。3. 方法二安装镜像救援模式Rescue Mode兜底3.1 什么时候需要这款“坦克”GRUB参数法虽然速度快但有个前提你还能看到GRUB菜单而且系统内核能正常加载。假如你连GRUB都坏了或者引导直接丢到了Shell这时候再用rd.break就无从谈起了。还有一个典型场景是pattern机本身是LUKS全盘加密你即使在GRUB里加了rd.break也未必能顺利进入因为加密分区还没解锁。这时候安装镜像的救援模式就派上用场了。救援模式相当于用一张“外置系统”启动机器然后让这个外置系统识别你的硬盘、挂载原有的Linux分区并把你放进一个Root Shell。这就像你进不了自己的房子但有一颗钥匙是专门开备用锁的。3.2 完整实操步骤拿一张跟现有系统同版本或更高版本的系统安装镜像比如RHEL、Rocky、CentOS的ISO把它写到U盘或者通过虚拟机挂载的方式让机器从ISO启动。如果是云服务器很多厂商的“救援模式”本质就是干这个的你只需要在控制台里选择进入救援系统它会自动用一个最小化的系统帮你挂载原来的数据盘。开机后从安装介质启动你会看到安装引导界面。注意别选直接安装而是找到类似Troubleshooting故障排除这样的入口进入之后选择Rescue a CentOS system或Rescue installed system名称因发行版而异。系统会问你几个基础问题比如语言、键盘布局选择默认或中文都行。接着它会扫描磁盘找到已经安装的Linux。这里通常会出现一个选择界面1) Continue 继续并将原系统挂载到 /mnt/sysimage 2) Read-Only 只读挂载 3) Skip 跳过选1Continue。系统会自动把找到的根分区挂载到/mnt/sysimage下。挂载完成后你会进入一个Shell这时依次执行chroot /mnt/sysimage passwd root exit reboot跟前面一样passwd root就是重置密码的核心操作。因为有chroot操作的是原系统环境。执行完exit退出chroot然后输入exit退出救援模式并重启。重启时记得把ISO摘掉从硬盘启动然后用新密码登录。3.3 没有安装镜像时的离线修改方案如果你手头没有安装镜像但能把硬盘拆下来、接到另一台运行着相同或相近版本Linux的机器上也可以离线修改。先把原硬盘接好用lsblk查看分区情况找到根分区假设它显示为/dev/sdb2。然后挂载它mkdir -p /mnt/root mount /dev/sdb2 /mnt/root挂载完成后建议用chroot方式重置密码这样可以调用原系统里的passwd和PAM库保证哈希算法兼容mount -t proc proc /mnt/root/proc mount -t sysfs sys /mnt/root/sys mount --rbind /dev /mnt/root/dev chroot /mnt/root /bin/bash passwd root exit这里的proc、sys、dev挂载是为了让chroot环境里的程序能正常工作尤其是某些服务和管理命令。如果你只是改密码不做更多操作其实可以直接用编辑器改shadow文件但我不推荐。原因很简单不同发行版、不同版本默认使用的密码哈希算法不一样你手工生成一个哈希还好说如果格式不对或者算法不被系统PAM识别改完反而更麻烦。用passwd命令最保险。4. 方法三单用户模式single与 Debian/Ubuntu 变体4.1 经典 single 模式路径在RHEL 7之前的SysV时代单用户模式/sbin/sulogin或者直接在GRUB内核参数里加single进入的就是一个Root Shell非常干脆。现在虽然很多系统转向systemd但single参数依然有效。在GRUB编辑界面找到linux那一行在末尾加上single然后按CtrlX启动。进入之后有些系统的根文件系统依然是只读的所以先执行mount -o remount,rw / passwd root如果已经可写直接passwd root就行。这种情况下改完密码后执行reboot重启。这个方法相比rd.break进入的系统阶段更靠后一些也就是说已经加载了initramfs、挂载了真正的根文件系统。好处是环境更接近完整系统坏处是如果系统本身有某种启动故障导致正常启动卡住那single也可能进不去。rd.break发生在initramfs更早期这根“救命稻草”往往更稳。4.2 Ubuntu/Debian 的 init/bin/bash 方案Ubuntu和Debian系列的GRUB参数与RHEL系略有不同在它们上面最经典的做法是修改启动参数让内核直接用/bin/bash作为init程序。具体步骤开机进入GRUB菜单按e进入编辑。找到以linux开头的那一行这一行的末尾通常是ro quiet splash把ro改成rw然后在行尾追加init/bin/bash修改后的行大概长这样linux /boot/vmlinuz-... ro quiet splash init/bin/bash按CtrlX启动后系统不会走正常引导流程而是直接给你一个root Shell。因为已经改成rw根文件系统默认可写所以直接执行passwd root输完密码后重启即可exec /sbin/init或直接reboot。这个方案在Ubuntu 18.04、20.04、22.04上都很常见也适用于Debian系。要注意的一点是如果Ubuntu启用了SELinux默认没有或者别的新安全机制可能需要额外处理但一般情况下不需要。4.3 注意事项为什么改完还要处理 SELinux relabel前文已经提过SELinux这里再系统地说一下。RHEL系、Fedora、Rocky、Alma这些系统默认是开启SELinux的。SELinux会给每个文件打一个安全上下文标签/etc/shadow有它自己的标签正常情况下是system_u:object_r:shadow_t:s0。如果你在rd.break或者救援模式中直接修改shadow有可能会破坏标签的一致性。虽然大多数时候passwd命令会正确更新文件内容不会影响标签但为了稳妥起见执行一次touch /.autorelabel是成本极低、收益很高的操作。每次开机时如果存在/autorelabel文件系统会启动自动重标记流程整个流程可能耗时几分钟到十几分钟取决于磁盘里的文件数量。如果你关闭了SELinux或者系统本身没启用SELinux那就不需要这一步。Debian/Ubuntu默认用的AppArmor机制和SELinux不同处理逻辑也不一样一般不需要做类似操作。5. 系统差异对照与方法选型建议5.1 各发行版推荐重置路径速查表从实际应用的覆盖面来看不同系统的推荐路径可以整理成下面这张表方便你到时候翻出来照着选。系统类型代表发行版推荐方法关键步骤RHEL系SystemdCentOS 7/8/9、Rocky、AlmaLinux、FedoraGRUB加rd.breakremount rw → chroot /sysroot → passwd root → touch /.autorelabelDebian系Ubuntu、DebianGRUB改rw init/bin/bash直接passwd root → 重启老SysV系统CentOS 6、RHEL 6GRUB加singleremount rw → passwd root → 重启全盘加密LUKS任意发行版安装镜像救援模式解锁加密分区后再chroot/改shadow云服务器阿里云、腾讯云、华为云等控制台救援模式或VNC参考对应厂商救援文档本质是Rescue模式WSL环境Windows Subsystem for Linux不适用常规方法直接通过宿主侧wsl -u root处理第6行的WSL特殊说明一下WSL不是传统虚拟机它没有GRUB也不能用安装镜像引导。如果你在WSL里忘了root密码可以在Windows终端执行wsl -u root直接以root身份进入然后passwd重置。这也是很多开发者的一个扫盲点因为它会用另一套逻辑运转。5.2 全盘加密、云服务器等特殊场景的额外提醒如果你使用了LUKS加密情况会稍微复杂一点。系统启动时通常会要求你输入密码来解锁根分区这个密码跟root登录密码是两回事。忘掉root密码还能用上面的办法但忘掉LUKS解锁密码才是真正的灾难。如果你没忘LUKS密码只是忘了root密码那条路也不复杂在GRUB里加rd.break后会进入一个Shell此时加密分区已经解锁挂载到/sysroot你只需要继续执行mount -o remount,rw /sysroot和chroot /sysroot等命令。如果你是在救援模式下系统检测到LUKS分区后会自动询问LUKS密码输进去即可正常挂载。云服务器方面如果厂商提供了VNC界面你可以像操作物理机一样进GRUB菜单来用rd.break方法。但有些厂商的GRUB菜单为了加快启动速度会设置超时时间极短甚至直接跳过此时你需要在开机画面时狂按方向键把它唤出来。如果实在唤不出GRUB那就走厂商的救援模式这通常是最省心的。还有一个很多人忽略的办法如果你在系统内部还有一个拥有sudo权限的普通用户那根本不用去搞GRUB直接sudo passwd root这行命令同样可以重置root密码。所以平时在每个重要机器上保留一个带sudo权限的普通用户是非常好的运维习惯。6. 常见问题与排查技巧实录6.1 问题速查表下面这些问题是实际操作中反复出现的典型问题我直接整理成排查表。现象常见原因排查与解决passwd报错 “authentication token lockout”root目录所在文件系统未以读写方式挂载执行mount -o remount,rw /sysroot后再试文件系统提示 “Read-only file system”根分区挂载为只读模式检查当前挂载状态使用remount rw重新挂载chroot /sysroot失败提示权限不足/sysroot未挂载或当前环境不对先执行ls /sysroot确认可看到etc、usr等目录重启后卡在SELinux相关界面或无法登录没有执行touch /.autorelabel回到重置环境创建autorelabel标记重启等它完成重标记改完密码后提示 “invalid or corrupt shadow file”手工编辑shadow文件时哈希格式错误尽量用passwd而不是手动改如果已改坏从备份恢复shadow文件救援模式找不到原系统的根分区磁盘驱动未加载或分区加密用lsblk、blkid查看设备LUKS卷用cryptsetup luksOpen解锁GRUB菜单里键盘失灵按不动USB键盘驱动在早期未加载尝试换PS/2键盘或使用救援模式替代重启后启动停在dracut/initramfs提示符根分区无法挂载或引导参数写错检查GRUB参数确认root指向正确分区必要时进救援模式修复6.2 两个实战细节经验第一个细节动手修改之前先把/etc/shadow备份一份。进入Shell后马上执行cp /etc/shadow /etc/shadow.bak这样就算改出问题还能通过临时环境把备份恢复回去不至于变成锁死状态。我见过太多人一进去就急着改密码结果因为shadow文件不小心被写坏导致整个系统直接无法登录最后只能花更大代价去处理。备份就是一条命。第二个细节重置完密码后不要把GRUB里临时加的启动参数保存到配置文件里。正常来说e编辑后启动的参数是一次性的重启后自动恢复。但如果你不小心按了CtrlO保存或者在某些图形版GRUB菜单里选择了“保存修改”这些临时参数就可能被写进grub配置文件导致每次开机都启动到紧急模式。如果真的保存了进系统后用grub2-mkconfig -o /boot/grub2/grub.cfg重新生成一下配置或者直接手动编辑/etc/default/grub删掉多余参数。第三个细节如果机器启用了云监控或自动化配置工具比如一些自动化运维工具、配置管理平台你手动改完root密码后它可能会在下次巡检时把密码又改回去。这不是玄学而是配置漂移。所以重置密码后如果有自动化工具在管理这台机器最好同步更新密码配置否则你刚改完没几分钟工具又给你拉回旧状态。这些方法都是Linux自带的能力流程不复杂但每一步都要清楚自己在干什么。把原理理顺了操作就会稳很多。我自己平时最常用的还是rd.break那条链路稳定、不用准备额外介质只要能在GRUB界面动手就够。不过也踩过几次坑第一次忘了remount rw直接passwd报错当时还误以为是系统权限坏了后来才反应过来是只读挂载的事。现在我的习惯是进入shell后第一件事先用ls /sysroot确认目录结构没问题再执行remount和chroot最后才轮到改密码。另外如果你接手的是别人管理过的机器改完密码后最好再看看有没有可用的sudo用户顺手把机器纳入统一的账户密码管理别让root又变成“只能靠重置才能进”的状态。
忘了root密码这事儿谁摊上都头疼。尤其是那种大半年没碰过的测试服务器或者交接文档里根本没写root密码的旧机器你坐在终端前面sudo用不了su又不知道密码第一反应往往是“完了只能重装了”。先别急Linux从设计上就给你留了本地密码重置通道只要你能接触到机器的控制台或者虚拟化管理界面这事儿就还有救。这篇文章就从实际运维角度把Linux里最常见、最靠谱的几种重置root密码的路数掰开讲清楚。从原理到底层机制从GRUB菜单到紧急Shell从RHEL系到Debian系我会把每条路径的适用场景、完整步骤和坑点都整理出来。不管你是刚接触Linux的新手还是被生产环境困住的老手照着下面这几套逻辑走基本都能把密码捞回来。1. 场景复盘与核心原理为什么忘掉root密码不用重装系统1.1 密码存在哪里从 /etc/passwd 到 /etc/shadow在动手之前先把基本概念捋清楚这不只是理论直接影响后面每一步。Linux系统中用户账户信息传统上记录在/etc/passwd文件里早期这个文件第二字段就是用户密码的哈希值。但这样不安全因为/etc/passwd是所有用户都可读的于是现代系统把真正存放密码哈希的文件挪到了/etc/shadow并且把它设置为只有root可读写、部分程序可读。/etc/passwd里的密码字段只留一个x占位表示“真正的密码在shadow文件里”。所以root密码的本质是什么呢就是/etc/shadow中root那一行第二个冒号后面那串哈希字符串。当我们重置密码的时候本质上就是让系统重新生成一个合法的哈希替换掉旧的那一串。你可以用passwd命令来做这件事也可以直接编辑shadow文件来改但后者风险更大容易出格式问题。1.2 重置密码的本质在特殊环境中修改哈希值想修改/etc/shadow必须要有root权限。这就形成了一个死锁你想改root密码但改密码需要root身份而root身份又恰恰被密码锁住了。破局思路只有一个绕过正常登录流程在系统启动早期进入一个特殊环境在这个环境里直接以root身份操作或者通过挂载等手法获得对磁盘的读写控制权。GRUB引导菜单就是最常见的“后门入口”。你可以把它理解成你把钥匙锁屋里了但窗户没锁从窗户爬进去把钥匙换了。进入这个特殊环境的常见路线有三条编辑GRUB的启动参数临时加一个参数让系统进入紧急Shell或单用户模式。使用系统安装镜像ISO启动进入救援模式。把硬盘拆下来挂到另一台Linux机器上修改shadow文件。这三条路线本质相同都是想办法在系统正常“门禁”之外直接获得一个能修改文件的Root Shell。理解了这一点后面所有的操作都是这个思路的具体落地。1.3 三条常见重置路径的定位与取舍不是说哪条路一定最好而是要看你的具体环境和手头资源。GRUB参数法依赖你能在开机时看到引导菜单并且能编辑参数适合物理机、带控制台的虚拟机、部分云服务器的VNC界面。优点是快不用准备安装介质缺点是有一些系统细节需要注意比如SELinux、只读挂载等。救援模式法适合你在手头有同版本系统安装镜像的场景或者你不想碰GRUB、对参数记忆不熟。它启动时会自动检测磁盘并挂载到一个固定目录下操作直观容错率高。缺点是得准备ISO镜像或U盘需要通过某种方式引导它对云服务器来说就是厂商提供的“救援模式”入口。离线修改shadow文件法适合前面两种都走不通的情况比如GRUB彻底坏了、引导记录完全丢失或者你手头只有另一台正常Linux机器。缺点是需要把硬盘物理拆下来或至少能附加到另一台机器上在云环境里基本做不到。但作为兜底方案依然值得掌握。2. 方法一GRUB临时参数 rd.break 强制进入紧急Shell2.1 前置条件与适用系统这条方法针对的是使用systemd引导的主流RHEL系发行版比如CentOS 7及以上、Rocky Linux、AlmaLinux、Fedora这些。核心参数就是rd.break它的意思是“在initramfs阶段中断启动流程进入一个用于排障的Shell”。为什么要用这个参数因为systemd启动流程中内核先加载initramfs再由initramfs加载真正的根文件系统并切换过去。如果我们在启动参数里加上rd.break系统就会在initramfs刚挂载完、还没切到真正根目录之前停下来给你一个switch_root:/#的提示符。在这个阶段系统的根目录是一个基于内存的临时文件系统真正的磁盘根分区会被挂载到/sysroot下面。所以这条路径非常适合CentOS 7/8/9、Rocky Linux、AlmaLinux等系统。如果你手头是CentOS 6那种老SysV体系或者Debian/Ubuntu系列方法要稍微调整这个后面专门讲。2.2 五步操作全流程假设你现在已经站在机器面前能操作它的显示器和键盘或者通过VMware/virtualbox控制台、云厂商的VNC窗口看到开机画面。第一步开机进入GRUB菜单。如果是多系统会在列表里看到多个内核版本随便选一个当前使用的就行不用纠结。第二步在想要启动的内核条目上按e键进入编辑模式。此时你会看到一堆以linux16或linuxefi开头、后面跟着ro crashkernelauto ...之类的长参数。第三步找到以linuxfd16开头的那一行有的系统是linux或linuxefi把光标移到该行末尾。在末尾先输入一个空格然后追加参数rd.break按CtrlX或者F10使用修改后的参数启动。系统会走一段正常的启动流程然后在某个瞬间停下来进入一个看起来像这样的Shellswitch_root:/#第四步此时执行下面四条命令mount -o remount,rw /sysroot chroot /sysroot passwd root敲完passwd root后系统会提示你输入新密码并确认按提示操作。这一步就是最终目的修改root密码。第五步依次执行exit退出chroot环境再执行一次exit退出临时Shell。系统会继续完成剩余启动流程并进入正常登录界面。此时用新密码登录root即可。2.3 关键命令逐条拆解rd.break 为什么能帮你重置密码先说mount -o remount,rw /sysroot。刚才提到了在rd.break阶段/sysroot是只读挂载的。如果你不理解这一点上来就直接改文件会碰到 “Read-only file system” 的报错。remount,rw的意思是重新以读写模式挂载这个目录一步都不能省。再说chroot /sysroot。在rd.break阶段当前的根目录/是内存文件系统里面没有完整的系统目录结构也没有/etc/shadow。你真正要改的文件在物理硬盘上现在被挂载在/sysroot。chroot可以把当前Shell的根目录切换到/sysroot这样你敲passwd root的时候修改的就是真正的系统账户密码。执行完chroot后提示符通常会变成类似bash-4.2#这种已经进入真正系统的感觉了。这个命令本质上就是“换了个根”把自己关进一个能访问真实系统的空间里。最后是passwd root。这命令会调用系统的密码哈希算法根据当前系统的/etc/login.defs和PAM配置生成一个新的哈希并写入shadow。在CentOS 7上默认是采用sha512算法CentOS 9/Rocky 9上默认可能是yescrypt。不管哪种passwd自己会处理你不用关心具体哈希长什么样。2.4 避坑提醒实际操作中有几个细节特别容易翻车。第一个坑在rd.break里直接敲passwd root却不先remount系统会卡在只读文件系统上报错然后你满脑子都是“怎么权限不够”。我见过不少人绕半天其实问题根本不在于权限而在于文件系统挂载模式。第二个坑执行完passwd之后如果系统启用了SELinux并且处于Enforcing模式改完密码后直接重启有概率出现无法登录的现象。原因是/etc/shadow的安全上下文可能因为直接写入而变了。稳妥的做法是在chroot环境里执行touch /.autorelabel这个命令会让系统在下次启动时自动重新标记所有文件的安全上下文相当于给SELinux做一次“体检校准”。代价是重启时会多花一些时间但值得。第三个坑有些新版本系统的GRUB界面不再叫linux16而是叫linux或linuxefi。不管叫什么你只要找那个以vmlinuz开头、后面跟着一大堆内核参数的大长行就行。第四个坑如果你是在云服务器的网页控制台VNC里操作键盘映射可能不对输命令时经常把符号敲错。这时候要么切换输入法/键盘布局要么耐心一点一次敲完再检查。3. 方法二安装镜像救援模式Rescue Mode兜底3.1 什么时候需要这款“坦克”GRUB参数法虽然速度快但有个前提你还能看到GRUB菜单而且系统内核能正常加载。假如你连GRUB都坏了或者引导直接丢到了Shell这时候再用rd.break就无从谈起了。还有一个典型场景是pattern机本身是LUKS全盘加密你即使在GRUB里加了rd.break也未必能顺利进入因为加密分区还没解锁。这时候安装镜像的救援模式就派上用场了。救援模式相当于用一张“外置系统”启动机器然后让这个外置系统识别你的硬盘、挂载原有的Linux分区并把你放进一个Root Shell。这就像你进不了自己的房子但有一颗钥匙是专门开备用锁的。3.2 完整实操步骤拿一张跟现有系统同版本或更高版本的系统安装镜像比如RHEL、Rocky、CentOS的ISO把它写到U盘或者通过虚拟机挂载的方式让机器从ISO启动。如果是云服务器很多厂商的“救援模式”本质就是干这个的你只需要在控制台里选择进入救援系统它会自动用一个最小化的系统帮你挂载原来的数据盘。开机后从安装介质启动你会看到安装引导界面。注意别选直接安装而是找到类似Troubleshooting故障排除这样的入口进入之后选择Rescue a CentOS system或Rescue installed system名称因发行版而异。系统会问你几个基础问题比如语言、键盘布局选择默认或中文都行。接着它会扫描磁盘找到已经安装的Linux。这里通常会出现一个选择界面1) Continue 继续并将原系统挂载到 /mnt/sysimage 2) Read-Only 只读挂载 3) Skip 跳过选1Continue。系统会自动把找到的根分区挂载到/mnt/sysimage下。挂载完成后你会进入一个Shell这时依次执行chroot /mnt/sysimage passwd root exit reboot跟前面一样passwd root就是重置密码的核心操作。因为有chroot操作的是原系统环境。执行完exit退出chroot然后输入exit退出救援模式并重启。重启时记得把ISO摘掉从硬盘启动然后用新密码登录。3.3 没有安装镜像时的离线修改方案如果你手头没有安装镜像但能把硬盘拆下来、接到另一台运行着相同或相近版本Linux的机器上也可以离线修改。先把原硬盘接好用lsblk查看分区情况找到根分区假设它显示为/dev/sdb2。然后挂载它mkdir -p /mnt/root mount /dev/sdb2 /mnt/root挂载完成后建议用chroot方式重置密码这样可以调用原系统里的passwd和PAM库保证哈希算法兼容mount -t proc proc /mnt/root/proc mount -t sysfs sys /mnt/root/sys mount --rbind /dev /mnt/root/dev chroot /mnt/root /bin/bash passwd root exit这里的proc、sys、dev挂载是为了让chroot环境里的程序能正常工作尤其是某些服务和管理命令。如果你只是改密码不做更多操作其实可以直接用编辑器改shadow文件但我不推荐。原因很简单不同发行版、不同版本默认使用的密码哈希算法不一样你手工生成一个哈希还好说如果格式不对或者算法不被系统PAM识别改完反而更麻烦。用passwd命令最保险。4. 方法三单用户模式single与 Debian/Ubuntu 变体4.1 经典 single 模式路径在RHEL 7之前的SysV时代单用户模式/sbin/sulogin或者直接在GRUB内核参数里加single进入的就是一个Root Shell非常干脆。现在虽然很多系统转向systemd但single参数依然有效。在GRUB编辑界面找到linux那一行在末尾加上single然后按CtrlX启动。进入之后有些系统的根文件系统依然是只读的所以先执行mount -o remount,rw / passwd root如果已经可写直接passwd root就行。这种情况下改完密码后执行reboot重启。这个方法相比rd.break进入的系统阶段更靠后一些也就是说已经加载了initramfs、挂载了真正的根文件系统。好处是环境更接近完整系统坏处是如果系统本身有某种启动故障导致正常启动卡住那single也可能进不去。rd.break发生在initramfs更早期这根“救命稻草”往往更稳。4.2 Ubuntu/Debian 的 init/bin/bash 方案Ubuntu和Debian系列的GRUB参数与RHEL系略有不同在它们上面最经典的做法是修改启动参数让内核直接用/bin/bash作为init程序。具体步骤开机进入GRUB菜单按e进入编辑。找到以linux开头的那一行这一行的末尾通常是ro quiet splash把ro改成rw然后在行尾追加init/bin/bash修改后的行大概长这样linux /boot/vmlinuz-... ro quiet splash init/bin/bash按CtrlX启动后系统不会走正常引导流程而是直接给你一个root Shell。因为已经改成rw根文件系统默认可写所以直接执行passwd root输完密码后重启即可exec /sbin/init或直接reboot。这个方案在Ubuntu 18.04、20.04、22.04上都很常见也适用于Debian系。要注意的一点是如果Ubuntu启用了SELinux默认没有或者别的新安全机制可能需要额外处理但一般情况下不需要。4.3 注意事项为什么改完还要处理 SELinux relabel前文已经提过SELinux这里再系统地说一下。RHEL系、Fedora、Rocky、Alma这些系统默认是开启SELinux的。SELinux会给每个文件打一个安全上下文标签/etc/shadow有它自己的标签正常情况下是system_u:object_r:shadow_t:s0。如果你在rd.break或者救援模式中直接修改shadow有可能会破坏标签的一致性。虽然大多数时候passwd命令会正确更新文件内容不会影响标签但为了稳妥起见执行一次touch /.autorelabel是成本极低、收益很高的操作。每次开机时如果存在/autorelabel文件系统会启动自动重标记流程整个流程可能耗时几分钟到十几分钟取决于磁盘里的文件数量。如果你关闭了SELinux或者系统本身没启用SELinux那就不需要这一步。Debian/Ubuntu默认用的AppArmor机制和SELinux不同处理逻辑也不一样一般不需要做类似操作。5. 系统差异对照与方法选型建议5.1 各发行版推荐重置路径速查表从实际应用的覆盖面来看不同系统的推荐路径可以整理成下面这张表方便你到时候翻出来照着选。系统类型代表发行版推荐方法关键步骤RHEL系SystemdCentOS 7/8/9、Rocky、AlmaLinux、FedoraGRUB加rd.breakremount rw → chroot /sysroot → passwd root → touch /.autorelabelDebian系Ubuntu、DebianGRUB改rw init/bin/bash直接passwd root → 重启老SysV系统CentOS 6、RHEL 6GRUB加singleremount rw → passwd root → 重启全盘加密LUKS任意发行版安装镜像救援模式解锁加密分区后再chroot/改shadow云服务器阿里云、腾讯云、华为云等控制台救援模式或VNC参考对应厂商救援文档本质是Rescue模式WSL环境Windows Subsystem for Linux不适用常规方法直接通过宿主侧wsl -u root处理第6行的WSL特殊说明一下WSL不是传统虚拟机它没有GRUB也不能用安装镜像引导。如果你在WSL里忘了root密码可以在Windows终端执行wsl -u root直接以root身份进入然后passwd重置。这也是很多开发者的一个扫盲点因为它会用另一套逻辑运转。5.2 全盘加密、云服务器等特殊场景的额外提醒如果你使用了LUKS加密情况会稍微复杂一点。系统启动时通常会要求你输入密码来解锁根分区这个密码跟root登录密码是两回事。忘掉root密码还能用上面的办法但忘掉LUKS解锁密码才是真正的灾难。如果你没忘LUKS密码只是忘了root密码那条路也不复杂在GRUB里加rd.break后会进入一个Shell此时加密分区已经解锁挂载到/sysroot你只需要继续执行mount -o remount,rw /sysroot和chroot /sysroot等命令。如果你是在救援模式下系统检测到LUKS分区后会自动询问LUKS密码输进去即可正常挂载。云服务器方面如果厂商提供了VNC界面你可以像操作物理机一样进GRUB菜单来用rd.break方法。但有些厂商的GRUB菜单为了加快启动速度会设置超时时间极短甚至直接跳过此时你需要在开机画面时狂按方向键把它唤出来。如果实在唤不出GRUB那就走厂商的救援模式这通常是最省心的。还有一个很多人忽略的办法如果你在系统内部还有一个拥有sudo权限的普通用户那根本不用去搞GRUB直接sudo passwd root这行命令同样可以重置root密码。所以平时在每个重要机器上保留一个带sudo权限的普通用户是非常好的运维习惯。6. 常见问题与排查技巧实录6.1 问题速查表下面这些问题是实际操作中反复出现的典型问题我直接整理成排查表。现象常见原因排查与解决passwd报错 “authentication token lockout”root目录所在文件系统未以读写方式挂载执行mount -o remount,rw /sysroot后再试文件系统提示 “Read-only file system”根分区挂载为只读模式检查当前挂载状态使用remount rw重新挂载chroot /sysroot失败提示权限不足/sysroot未挂载或当前环境不对先执行ls /sysroot确认可看到etc、usr等目录重启后卡在SELinux相关界面或无法登录没有执行touch /.autorelabel回到重置环境创建autorelabel标记重启等它完成重标记改完密码后提示 “invalid or corrupt shadow file”手工编辑shadow文件时哈希格式错误尽量用passwd而不是手动改如果已改坏从备份恢复shadow文件救援模式找不到原系统的根分区磁盘驱动未加载或分区加密用lsblk、blkid查看设备LUKS卷用cryptsetup luksOpen解锁GRUB菜单里键盘失灵按不动USB键盘驱动在早期未加载尝试换PS/2键盘或使用救援模式替代重启后启动停在dracut/initramfs提示符根分区无法挂载或引导参数写错检查GRUB参数确认root指向正确分区必要时进救援模式修复6.2 两个实战细节经验第一个细节动手修改之前先把/etc/shadow备份一份。进入Shell后马上执行cp /etc/shadow /etc/shadow.bak这样就算改出问题还能通过临时环境把备份恢复回去不至于变成锁死状态。我见过太多人一进去就急着改密码结果因为shadow文件不小心被写坏导致整个系统直接无法登录最后只能花更大代价去处理。备份就是一条命。第二个细节重置完密码后不要把GRUB里临时加的启动参数保存到配置文件里。正常来说e编辑后启动的参数是一次性的重启后自动恢复。但如果你不小心按了CtrlO保存或者在某些图形版GRUB菜单里选择了“保存修改”这些临时参数就可能被写进grub配置文件导致每次开机都启动到紧急模式。如果真的保存了进系统后用grub2-mkconfig -o /boot/grub2/grub.cfg重新生成一下配置或者直接手动编辑/etc/default/grub删掉多余参数。第三个细节如果机器启用了云监控或自动化配置工具比如一些自动化运维工具、配置管理平台你手动改完root密码后它可能会在下次巡检时把密码又改回去。这不是玄学而是配置漂移。所以重置密码后如果有自动化工具在管理这台机器最好同步更新密码配置否则你刚改完没几分钟工具又给你拉回旧状态。这些方法都是Linux自带的能力流程不复杂但每一步都要清楚自己在干什么。把原理理顺了操作就会稳很多。我自己平时最常用的还是rd.break那条链路稳定、不用准备额外介质只要能在GRUB界面动手就够。不过也踩过几次坑第一次忘了remount rw直接passwd报错当时还误以为是系统权限坏了后来才反应过来是只读挂载的事。现在我的习惯是进入shell后第一件事先用ls /sysroot确认目录结构没问题再执行remount和chroot最后才轮到改密码。另外如果你接手的是别人管理过的机器改完密码后最好再看看有没有可用的sudo用户顺手把机器纳入统一的账户密码管理别让root又变成“只能靠重置才能进”的状态。
