Linux忘记root密码怎么办？两种高效恢复方法与实战排查指南

有没有遇到过这样的场景：一台服务器放了大半年，突然要上线，结果所有人都不记得root密码；或者接手一台二手机器，前管理员交底时只说了一句"密码我也不知道，你自己想办法"；再或者你试着把一台老笔记本装成Linux做实验，当时随便设的密码，三个月后自己把自己锁在了门外。

说实话，这种事在Linux运维里太常见了。我见过不少刚入行的朋友一遇到这种情况就直接重装系统，其实完全没必要。只要你能接触到机器的物理控制台（或者有带外管理权限，比如服务器的IPMI/iLO管理口），恢复Linux密码就是一个非常成熟的流程，操作得当十分钟以内就能搞定。这里说的"破解"，本质上是利用Linux启动流程和认证机制的特性，重置你自己机器的访问权限——前提是你对这台机器有合法的管理权，千万别拿这套东西去打别人系统的主意。

这篇文章我会把原理和实操一起讲清楚，包含两种最常用的恢复路径、每种方法适用的场景、以及恢复之后必须处理的隐患。不管你是Ubuntu、CentOS还是Rocky Linux，看完都能少走弯路。

1. 先搞懂Linux认证机制：为什么本地恢复密码是可行的

很多新手有一个误区，觉得Linux密码是一个一锤子买卖的东西，密码就是密码，忘了就只能哭。实际上Linux的认证体系比这灵活得多，搞清楚它内部怎么运作，"重置密码"这个操作就会变得非常清晰。

1.1 用户信息其实存在两个文件里

Linux系统里所有用户的信息，核心都在两个文件：/etc/passwd和/etc/shadow。

/etc/passwd存储的是用户的基础信息，包括用户名、UID、GID、家目录、默认shell等。早期Unix时代，用户密码的哈希值也存这里，但后来因为/etc/passwd需要被很多程序读取（比如ls -l要显示文件属主），权限不能设得太严，导致密码哈希有泄露风险，于是系统把这个敏感信息挪到了/etc/shadow，并且把shadow文件的权限收紧到只有root能读。

你可以打开看看，shadow里每一行对应一个用户，大概长这样：

code复制root:$6$rWZ1G9pP$uqBZ8aJpKl5n9fxHnUwZJ9D7XKRHOns6wRt3c9Ehm1VKoB9M3C5ZzZ8B0K0v2yM8j8L3xW1sY5aAeEfF6c2X4H2v0:19253:0:99999:7:::

字段用冒号分隔，第二段就是密码哈希。注意$6$这个前缀，它表示使用的是SHA-512算法。同理$1$是MD5，$5$是SHA-256，$y$是比较新的yescrypt算法（Debian/Ubuntu新版默认），$2b$是bcrypt，$id$是argon2的部分变种。哈希里还带着盐值，就是$6$后面、下一个$之前的这段随机字符串，目的是防彩虹表攻击。

1.2 密码验证的流程决定了重置的可行性

当一个用户登录时，系统通过PAM模块调用相应的认证逻辑，把你输入的密码做同样的加盐哈希，然后和shadow里的哈希比对。如果一致，身份验证通过；不一致，拒绝登录。

这里的关键在于：密码验证是一个"比对"过程，而不是"反解"过程。系统并不会把shadow里的哈希还原成明文密码来和你输入的密码比较，它只做一次哈希计算并对比结果。所以，只要我们能修改shadow文件里的哈希值，等于是直接改写了密码验证的基准答案。

那怎么能改shadow文件？两个条件：要么你是root用户，要么你能让系统在某个跳过正常登录流程的阶段执行命令。我接下来要讲的两种恢复方法，本质都是在利用后一个条件——让系统启动到一个不要求登录、直接给你root权限的临时状态，然后你用passwd命令刷新shadow里的哈希。

1.3 物理访问意味着什么

这里说句很多教程不会点破的话：在Linux的安全模型里，物理访问权限是一种非常高的权限。你能摸到机器、能在开机时按电源键、能接键盘，你就有机会通过GRUB引导菜单进入特殊模式。这并不是漏洞，而是设计使然——Linux管理员必须有一种在忘记密码时恢复访问的手段，否则数据中心里那些老机器早就变成板砖了。

所以，做这类操作前你心里要有底：能进入GRUB菜单是前提。如果你的机器有GRUB密码保护，或者硬盘做了全盘加密（LUKS），情况就复杂一些，后面我会单独讲。

2. 最快路径：通过GRUB引导参数进入单用户/紧急模式

这是最常用、最省事的方案。它的核心思路是：在GRUB引导时给内核追加一个参数，让系统启动后不进入正常的graphical/多用户模式，而是直接落到一个root shell里。

2.1 具体操作步骤（以Ubuntu 20.04+ / CentOS 7+系统为例）

第一步，重启机器，在GRUB菜单出现时，选中你要进入的内核条目，按e键进入编辑模式。

你会看到类似下面的内容：

code复制load_video
set gfxpayload=keep
insmod gfxterm
...
linux   /vmlinuz-5.15.0-91-generic root=/dev/mapper/ubuntu--vg-root ro quiet splash
initrd  /initrd.img-5.15.0-91-generic

第二步，找到以linux开头的那一行（有些系统上叫kernel，比如老版CentOS），光标移到行尾，删除ro quiet splash这几个参数，改成rw init=/bin/bash。

这里解释一下每个参数的含义：

• rw：让内核以可读写方式挂载根文件系统。原来那个ro是只读挂载，是因为正常启动过程要检查磁盘完整性，这里我们必须改掉，否则后续改不了文件。
• init=/bin/bash：让内核不启动正常的init进程（现在是systemd），而是直接启动一个bash作为1号进程。这样系统不会拉起任何登录服务，直接给你一个root权限的bash。

第三步，按Ctrl+X或F10启动。稍等片刻，你会看到屏幕停在一个类似这样的shell提示符：

code复制bash-5.1#

注意：这时候根文件系统是以rw方式挂载的，但你所在的环境是一个极其精简的"救援环境"。很多服务没启动，PATH变量也不完整，DNS也没有。不过我们需要的命令都在。

第四步，重置密码。直接执行：

code复制passwd root

系统会让你输入两次新密码。如果这台机器的root密码是锁定的（shadow里密码位是!或*），passwd可能会提示你密码未设置，通常它会允许你直接设置。设置完成后再检查一下shadow里root那行的密码位：

code复制grep '^root:' /etc/shadow

看到$6$或$y$开头、不再是!或*开头，就说明密码已经写进去了。

第五步，如果你的根文件系统不是LVM，这步可以跳过；如果是LVM逻辑卷，有些情况下需要手动执行一下exec /sbin/init正常继续启动，或者直接reboot -f强制重启。建议执行exec /sbin/init让系统走正常启动流程，等系统完全起来后用新密码登录测试。

2.2 SELinux系统需要多一步：触发重新标记

如果你用的是RHEL/CentOS/Rocky Linux这些启用了SELinux的系统，在正常启动时，/etc/shadow文件的安全上下文是被严格管理的。你通过reset方式直接改了这个文件，SELinux可能会在系统启动时因为文件上下文异常，导致某些服务起不来，甚至直接拒绝你登录。

稳妥的做法是：重置完密码后，在bash里创建一个.autorelabel标记文件：

code复制touch /.autorelabel

这个文件的作用是告诉SELinux，在下一次启动时自动重新标记整个文件系统的安全上下文。系统启动过程中会扫描一遍文件系统并修正上下文，过程可能有点慢（取决于磁盘大小），但能避免很多奇怪的权限问题。

另一种做法是，如果你记得SELinux的上下文命令，可以直接执行：

code复制restorecon -v /etc/shadow

只修正这一个文件也行。但在救援环境里restorecon可能没有预置在initramfs里，所以/.autorelabel更稳妥。

2.3 这个方法在systemd时代的一个变体：rd.break

有些新版系统的initramfs里，init=/bin/bash这种方式可能会遇到根文件系统device mapper没初始化完成的问题，导致挂载失败进入dracut紧急shell。这时可以换一种玩法。

在GRUB编辑界面，同样找到linux行，把ro改成rw，然后在行尾追加参数：

code复制rd.break

启动后系统会在initramfs阶段、在切换根文件系统之前暂停，并进入一个shell。此时你的根文件系统挂在/sysroot目录下，你需要做的是：

code复制mount -o remount,rw /sysroot
chroot /sysroot
passwd root
touch /.autorelabel
exit

rd.break这种方式的好处是它避开了systemd和复杂设备初始化过程，在initramfs阶段就停下来，对LVM、加密分区（非LUKS）等复杂根文件系统有更好的兼容性。

2.4 全盘加密（LUKS）的情况

如果你的系统在安装时勾选了全盘加密，那么上面所有方法都会卡在第一步——GRUB加载完内核后，系统会先让你输入LUKS密码解锁硬盘，没有这个密码，根本看不到根文件系统，也就别谈什么改shadow了。

对于这种情况，常规做法是无解的，除非你在安装时也设置了LUKS密码的恢复密钥（recovery key）。如果有恢复密钥，在解锁界面选恢复模式，输入密钥后就能进入系统。如果没有，那只能回到"重装系统"的老路。所以，做全盘加密的机器，密钥管理一定要有预案，别把钥匙全锁在保险箱里还把保险箱密码忘了。

3. 更灵活的兜底方案：Live USB挂载系统后chroot

GRUB方法虽然快，但有两个硬伤：一是要求你能正常进入GRUB菜单，万一GRUB配置损坏、引导记录丢失，压根到不了菜单；二是遇到一些特殊的文件系统或硬件组合，救援环境可能不识别。这时候，最可靠的方案是准备一个Linux Live USB，从U盘启动一个"临时系统"，然后挂载你硬盘上的原系统，用chroot进入并重置密码。

3.1 你需要准备什么

• 一个能正常启动的Ubuntu/CentOS/Manjaro等Live USB，推荐Ubuntu Desktop或带有图形界面的发行版，操作起来直观。
• 知道你的根分区是哪个设备。如果不知道，可以通过lsblk或fdisk -l查看。

我用一个常见的双盘或LVM场景举例。假设你的原系统在一块NVMe硬盘上，根分区是/dev/nvme0n1p2，boot分区是/dev/nvme0n1p1。

3.2 挂载和chroot的正确步骤

从Live USB启动后，打开终端，先创建挂载目录：

code复制mkdir -p /mnt/root
mount /dev/nvme0n1p2 /mnt/root

如果只有一个根分区，挂载就完成了。如果有独立的/boot分区，也挂上：

code复制mount /dev/nvme0n1p1 /mnt/root/boot

如果是LVM卷组结构，你可能需要先激活卷组。Live系统里一般有LVM工具：

code复制vgscan
vgchange -ay

然后通过lsblk或lvs查看逻辑卷名称，挂载对应的根逻辑卷。

接下来关键一步，挂载系统运行所需的伪文件系统：

code复制mount --bind /dev /mnt/root/dev
mount --bind /proc /mnt/root/proc
mount --bind /sys /mnt/root/sys
mount --bind /run /mnt/root/run

很多人chroot之后发现网络不通，或者某些命令报错，就是因为这几个目录没挂。/dev不挂，设备节点缺失；/proc不挂，很多程序会卡死；/run不挂在一些新版系统里会导致systemd相关命令报错。

挂载完成后，切换根目录：

code复制chroot /mnt/root

现在你就在原系统的环境里了，像是进入了"时间机器"。接下来重置密码：

code复制passwd root

如果原系统的root账户锁定，passwd可能会弹提示说"密码已过期"或"密码被锁定"，不用慌，连续执行两次passwd，或者先用chage -d 0 root强制密码立即可用，再设新密码。

如果是想重置某个普通用户的密码，比如john，就执行：

code复制passwd john

退出chroot前，别忘了做两件事：

code复制exit
umount -R /mnt/root

umount -R是递归卸载，确保所有挂载点都卸干净，避免缓存数据没回写。

3.3 chroot后除了改密码还能做什么

既然已经进了原系统的根环境，可以顺手处理一些和登录相关的问题。比如：

• 检查/etc/sudoers里哪些用户有sudo权限，确保你恢复后能正常管理。
• 查看/etc/ssh/sshd_config的配置，确认PermitRootLogin是否允许root远程登录。
• 如果之前root密码是过期状态，执行chage -l root查看状态，或者直接chage -M 99999 root延长有效期。

请记住这里的一个原则：能通过Live USB进入系统，基本上等于你拿到了这台机器最高的权限，所以操作时要清醒，不要乱改其他配置，改完密码就尽快恢复原状。

3.4 关于"密码被锁定"和"账户被锁定"的区别

chroot后设密码时，你可能会遇到两种情况，很容易搞混：

• 密码哈希位是!或*：这是账户被锁定。在Debian/Ubuntu系列，root用户默认就是锁定状态，但可以用sudo管理。如果你非要用root直接登录，用passwd -u root解锁，或者直接重设密码（重设会自动解锁）。
• shadow里的chage过期字段设置了0：这是密码已过期，登录时必须强制改新密码。在重置密码后，执行chage -l root看状态，发现Password expires是已过期的话，用chage -d 0 root强制密码立即生效，或者chage -M 99999 root去掉过期时间。

这两种状态在正常桌面环境遇到时很头疼，但在chroot环境里都是一行命令的事。

4. 恢复密码后必须处理的三件隐患：过期策略、锁定账户与安全闭环

很多人辛苦把密码重置了，测试能登录，就以为万事大吉。实际上后面还有几个坑，我因为下面这些问题吃过亏，所以每次恢复完都会顺手排查一遍。

4.1 密码策略和过期时间：为什么登录后还要强制改密码

有一种情况是：你重置的密码是"新"的，但系统还留着旧的密码过期策略，导致你登录成功后，系统立刻要求你再换一次密码。如果你不换，或者想跳过，可能直接被锁在门外。

处理方式很简单，重置完密码后检查一下用户的过期信息：

code复制chage -l root

重点关注Password expires和Account expires两行。如果希望这个密码长期有效，执行：

code复制chage -M 99999 root

把密码最大有效天数设置为99999天（约274年），基本等同永不过期。如果是给生产服务器的应用账户设置，建议别说设成永久就用，还是要结合公司的密码策略来定周期。但作为恢复操作，先把有效期拉长确认没其他问题，再按正式策略收紧，是稳妥的顺序。

4.2 root账号是否允许登录：SSH进不来的原因不一定是密码错

有时候你本地重置了密码，高高兴兴打开SSH工具去连接，结果一直提示Permission denied (publickey,password)。排查来排查去，密码明明是对的，为什么还连不上？

原因大概率在/etc/ssh/sshd_config里：

code复制PermitRootLogin prohibit-password

这个配置在很多发行版（尤其Ubuntu）的默认值是prohibit-password，意思是root不能用密码登录，只能通过SSH密钥登录。你需要改成PermitRootLogin yes才能用密码登录。

修改后在chroot环境里执行一下：

code复制sshd -t

检查配置语法无误后，重启sshd服务（如果你在chroot里用systemctl可能不生效，可以exit后用chroot /mnt/root systemctl restart sshd，或者等重启用原系统自己拉起来）。

如果你只是想登录普通用户，这个配置不影响，普通用户用密码登录一般没限制。

4.3 从日志角度回看：恢复后别留一堆"未授权"痕迹

这个可能大家觉得无所谓，但如果你是在给客户处理机器或者企业内网服务器，最好还是心里有数。系统里/var/log/auth.log（Debian/Ubuntu）或/var/log/secure（RHEL系列）会记录登录和提权行为。你重置密码的过程因为是在救援模式或Live USB环境里操作的，不会在正常日志里留下明显的"密码修改记录"，但你会发现自己新密码的登录时间戳和之前服务器停机时间完全对不上。

如果你希望这台机器后续可以干净地交接，建议操作完清理一下日志文件里的无关记录，或者至少做一张时间线记录，写清楚什么时候做了什么操作，方便后续审计。

安全闭环上最实际的一条是：恢复完成后，别用同一个密码到处用。尤其是你通过Live USB恢复密码的过程中，U盘启动的环境可能是不干净的，你输入的新密码理论上存在被键盘记录器截获的可能（虽然Live系统一般不装那些东西）。从严谨角度讲，重置后的密码应该尽快在正常工作环境里再改一次。

5. 不同发行版和引导方式的差异：遇到的具体表现和兼容处理

这里我把常见发行版在这两条恢复路径中的差异整理一下，方便你用时对号入座。别小看这些差异，比如有的发行版默认不显示GRUB菜单，你要是不处理根本到不了编辑界面。

5.1 Ubuntu / Debian 系：GRUB菜单默认被隐藏

Ubuntu 20.04之后，GRUB菜单在正常启动时默认根本不显示，而是直接进入系统，只有在你按Shift键（BIOS模式）或Esc键（UEFI模式）时才出现。很多新手在"按e进入编辑"这一步就卡住了，因为压根没菜单。

处理方式：开机时看到品牌Logo后立刻连续点按Esc或Shift键，进入GRUB菜单。如果来不及，就在系统启动过程中重复按，直到菜单出来。在虚拟机里测试时，这个时机可以多试几次，因为VM的引导速度很快，第一次容易错过。

另外，Ubuntu默认root密码是空的（实际上是被锁定的），所以你通过GRUB方法进入bash后，执行passwd root会直接设置新密码，操作没问题。但如果系统里只有一个普通用户且该用户在sudo组，你其实也可以直接登录后用sudo passwd root同步重置root密码，不用进救援模式。

5.2 RHEL / CentOS / Rocky 系：SELinux的坑

前面提到的/.autorelabel就是这一系的专属需求。此外，RHEL 8/9的GRUB菜单默认是显示着的（有5秒倒计时），操作比Ubuntu更直观。进入编辑后，找linux开头行，类似这样：

code复制linux /boot/vmlinuz-4.18.0-477.10.1.el8_8.x86_64 root=/dev/mapper/rl-root ro crashkernel=auto resume=/dev/mapper/rl-swap rd.lvm.lv=rl/root rd.lvm.lv=rl/swap

操作时记得把ro改成rw，追加rd.break还是init=/bin/bash，看个人习惯：

• rd.break在RHEL 8上稳定性很好，进入的shell环境是静态编译的busybox风格，chroot进/sysroot后操作。
• init=/bin/bash在RHEL 7上常见，RHEL 8/9上也能用，但有时会遇到根文件系统是XFS的情况，挂载rw需要主动mount -o remount,rw /。

RHEL系还有一个共同点：如果systemd版本较新，你从救援shell执行exec /sbin/init时，系统可能会报错，因为SELinux策略拒绝上下文切换。这时直接reboot -f强制重启即可，重启后因为有/.autorelabel，系统会自动修复上下文，不用担心。

5.3 系统为什么默认ro挂载根分区：这背后的逻辑

很多刚接触GRUB编辑的朋友可能会疑惑：既然我们最终要改文件，为什么系统默认要用ro（只读）挂载根分区？这不是故意给恢复增加难度吗？

其实ro挂载是出于文件系统一致性保护。正常启动时，Linux内核在挂载根文件系统后、正式进入用户空间前，要对根分区做检查和日志回放（如果有journal要replay）。在这个阶段用只读挂载能避免文件系统还没准备好就被写坏。改成rw是跳过这层保护，让我们能在救援环境里直接改文件，代价是如果文件系统本身有未修复的问题，可能造成损坏。所以，在救援环境里修改完文件后，reboot -f之后第一次正常启动时，系统会自动做一次完整的文件系统检查和journal清理，不用手动干预。

5.4 如果GRUB也坏了怎么办

说实话，GRUB引导完全损坏的情况，靠"破解密码"这层功夫是救不回来的，因为内核都加载不了。这时需要用Live USB进入后重装GRUB。常见命令是（以UEFI为例）：

code复制mount /dev/nvme0n1p2 /mnt/root
mount /dev/nvme0n1p1 /mnt/root/boot/efi
mount --bind /dev /mnt/root/dev
mount --bind /proc /mnt/root/proc
mount --bind /sys /mnt/root/sys
chroot /mnt/root
grub-install /dev/nvme0n1
update-grub   # 或者 grub2-mkconfig -o /boot/grub2/grub.cfg

这段操作有个前置条件：/etc/fstab里的挂载配置要正确。如果fstab本身有问题，chroot后执行grub-install可能会报警。这属于另一个故障方向，这里先不展开，但你可以记住一个原则：Live USB能启动的情况下，系统恢复的希望远大于你想象。理论上只要硬盘上的数据没物理损坏，救回的路径就还有。

6. 恢复过程中容易翻车的几个细节：经验汇总与替代手段

最后写一些零散的实战经验，这些都是我在一次次翻车后总结出来的，有些在文档里根本找不到。

6.1 改完密码重启后登录失败的通用排查顺序

如果重启后新密码登录不进去，按以下顺序排查，而不是急着再重来一遍：

1. 键盘布局问题：GRUB救援环境里默认可能用的是美式键盘布局，如果你的电脑是德语键盘、法语键盘，设置密码时输入的y和z位置可能和预想不同。这是最常见的"密码看起来对但登不进去"的原因。建议设置密码时尽量只用英文字母和数字，不含特殊符号，尤其是/和\这两个键在不同布局上差异极大。
2. 大小写锁定：听起来很基础，但救援环境的提示符不会告诉你有没开Caps Lock。我见过有同事花半小时排查，最后发现是Caps Lock开着。
3. 密码哈希算法版本不兼容：如果系统比较老（比如CentOS 6用的SHA-512 $6$哈希没问题），但你从Live USB的chroot环境里用新版本passwd设置了hash，一般情况下兼容，极少数发行版搭配会有PAM模块不识别的问题。出现这种情况时，可以试试在chroot里执行pwconv命令同步shadow，或者用vipw手动修改shadow文件里对应的哈希位。
4. 用户shell是否有效：如果你改密码的用户的默认shell是/usr/sbin/nologin或/bin/false（比如某些服务账户），那密码改对了也登不上shell。这是账户设计问题，不是密码问题。用usermod -s /bin/bash 用户名修正。

6.2 有没有办法不用重启机子就能重置密码

有读者可能会问：如果是远程服务器，根本无法物理接触，怎么办？我只能说，纯远程场景下，如果你没有带外管理卡（比如iLO、iDRAC），SSH又进不去，那就没有任何方法能重置密码。这也是为什么生产服务器运维强制要求必须配置带外管理的原因。所以看到这篇文章的运维朋友，强烈建议你去看一眼自己负责的服务器有没有开通IPMI/iLO远程管理口，这可能是某天你救命的唯一通道。

如果你的设备支持带外管理，那么重置密码的操作和物理机操作完全一样，只不过你是通过web控制台或串口会话执行上述命令。

6.3 一个反直觉的恢复技巧：直接改shadow文件的哈希位

在chroot环境里，除了用passwd命令，还可以手工修改shadow文件达到目的。做法是：先复制一个已知用户（比如root自己）的密码哈希，或者用工具生成一个新的哈希，然后粘贴到目标用户的第二段。

比如用openssl生成一个SHA-512哈希：

code复制openssl passwd -6 -salt your_salt your_new_password

把输出结果替换到/etc/shadow目标用户行的第二段。这种方法在你没法正常执行passwd命令的时候（比如系统的PAM配置坏了）非常管用。

不过只有在passwd命令本身报错、无法正常更新时我才建议这么干。手工改文件容易因为格式错误导致用户彻底无法登录，且不好调试。

6.4 恢复后系统时间异常的影响

这是一个很少有人提的细节。当你用Live USB启动再chroot进原系统时，Live系统的硬件时钟可能会和原系统的系统时区设置不一致。如果你在chroot里执行chage -d 0 root强制密码立即过期，或设置其他的时间相关策略，系统会依据当前时钟判断策略状态。万一时间差得很远，可能出现"旧密码过期时间在2020年，新密码设置却显示还有-500天过期"这种奇葩状态。

所以，在chroot后、执行密码过期策略前，最好先看一眼date，确认时间是否正确。不对的话，先date -s同步一下，或至少对根文件系统的时间有个底。

6.5 生产环境恢复密码后的标准化检查清单

每次帮客户或朋友恢复完密码，我都会按这个清单过一遍，效率很高，也避免返工：

• [ ] 新密码能本地登录（tty）
• [ ] 如果是远程服务器，ssh能正常连接，root能登录或sudo可执行
• [ ] /etc/shadow中目标用户不再有!或*锁定标记
• [ ] chage -l 目标用户查看密码过期时间符合预期
• [ ] SELinux系统确认存在/.autorelabel或已手动restorecon
• [ ] 所有U盘/Live介质已安全移除
• [ ] 检查journalctl -u sshd或auth日志，确认登录行为正常

写在最后

我每次做这类恢复操作时，都会提醒自己一句话：这招既是救命的钥匙，也是把责任重大的钥匙。你有物理访问权或合法管理权，用它解决问题就是正常运维；但如果对象不是自己的机器，这整套方法就是另一回事了。技术本身是中性的，关键看你拿来做什么。

还有一个体会：恢复密码的操作本身不难，难的是恢复后能不能让系统继续稳定运行。密码只是入口，入口打开了，后面还有一堆策略、权限、安全配置需要审视。建议把这份技能当成一个契机——正好借机梳理一遍你的服务器账户体系，谁该有什么权限，谁该定期改密码，谁已经离职半年了但账户还在，这些都值得花点时间清理。

毕竟，最安全的系统，不是密码最难破解的系统，而是把钥匙管理得清清楚楚的系统。