Ubuntu密码重置：通过GRUB引导恢复root访问

1. 问题背景与解决思路

作为一名长期使用Ubuntu的开发者，我经历过至少三次忘记密码的尴尬时刻。第一次是在大学实验室的公共机器上，第二次是在自己的开发服务器上，最近一次是在一台用于自动化测试的备用机上。每次情况不同，但核心解决方法都指向同一个方向——利用Ubuntu的GRUB引导机制。

GRUB（GRand Unified Bootloader）是大多数Linux发行版默认使用的引导加载程序。它最强大的特性之一就是允许我们在系统启动时中断正常流程，进入恢复模式或直接修改内核参数。正是这个特性，让我们能够在忘记密码时获得root权限并重置密码。

重要提示：此方法仅适用于你拥有物理访问权限的机器。如果是远程服务器且没有其他登录方式（如SSH密钥），请联系服务器管理员。

2. 详细操作步骤

2.1 进入GRUB菜单

首先重启你的Ubuntu系统。在BIOS/UEFI自检完成后，你会看到GRUB启动菜单（通常有Ubuntu选项和高级选项）。如果菜单没有自动显示，在启动时按住Shift键（传统BIOS）或Esc键（UEFI）。

在我的ThinkPad X1 Carbon上，这个时机很关键——需要在开机后约0.5秒内按下Esc键，太早会被BIOS拦截，太晚会错过GRUB。

2.2 编辑启动参数

用方向键选择"Ubuntu"条目（不一定是第一个），然后按'e'键进入编辑模式。你会看到几行配置代码，找到以"linux"开头的那一行（在Ubuntu 20.04之后可能是"linuxefi"）。

这行参数看起来类似这样：

code复制linux /boot/vmlinuz-5.15.0-76-generic root=UUID=xxxx ro quiet splash

将光标移动到这行末尾，删除"ro quiet splash"（readonly模式），替换为：

code复制rw init=/bin/bash

这个修改的作用是：

• rw：以读写模式挂载根文件系统
• init=/bin/bash：跳过常规启动流程，直接启动bash shell

2.3 进入单用户模式

按Ctrl+X或F10使用这些参数启动。你会进入一个root shell，此时文件系统是以读写模式挂载的，但其他挂载点（如/boot、/home等）可能还未挂载。

在我的Dell XPS 13上，这一步有时会遇到键盘不响应的问题。如果发生这种情况，尝试在GRUB菜单先按'e'再按Esc取消，重复几次后通常能解决。

3. 密码重置实操

3.1 重新挂载文件系统

首先确保根文件系统可写：

bash复制mount -o remount,rw /

如果你的/home是独立分区，也需要挂载（假设是/dev/sda5）：

bash复制mount /dev/sda5 /home

可以通过lsblk命令查看分区情况。我在第一次操作时就犯过这个错误——修改了密码但/home目录下的配置文件权限不对，导致登录后很多应用异常。

3.2 修改用户密码

现在可以使用passwd命令修改密码：

bash复制passwd your_username

系统会提示输入新密码两次。Ubuntu对密码强度有一定要求，建议至少包含：

• 8个字符以上
• 大小写字母混合
• 数字或特殊字符

我在测试服务器上设置的简单密码"ubuntu123"就被拒绝了，改用"Ubuntu@2023"才通过。

3.3 处理SELinux（如启用）

如果你使用了SELinux（默认不启用），还需要更新文件系统标签：

bash复制touch /.autorelabel

这个坑我在CentOS上遇到过，Ubuntu通常不需要，但如果你之前手动启用了AppArmor等安全模块，可能需要额外处理。

4. 完成重置并重启

4.1 同步文件系统

执行以下命令确保所有修改写入磁盘：

bash复制sync

4.2 正常重启系统

bash复制exec /sbin/init

或者直接：

bash复制reboot -f

在我的Ryzen台式机上，有时会遇到重启卡住的情况。此时长按电源键强制关机再开即可。

5. 特殊情况处理

5.1 全盘加密(LUKS)的情况

如果你的Ubuntu使用了全盘加密，上述方法会遇到障碍。这时需要：

1. 在GRUB菜单按'c'进入命令行
2. 输入cryptomount -a
3. 输入加密密码
4. 继续正常流程

我在2019年的Dell Latitude上配置过LUKS加密，解密后还需要手动挂载：

bash复制mount /dev/mapper/ubuntu--vg-root /mnt
chroot /mnt

5.2 系统损坏的恢复

如果修改GRUB参数后系统无法启动，可以使用Live USB：

1. 制作Ubuntu安装U盘
2. 启动到Try Ubuntu模式
3. 挂载原系统分区：

bash复制sudo mount /dev/sda1 /mnt
sudo mount --bind /dev /mnt/dev
sudo mount --bind /proc /mnt/proc
sudo mount --bind /sys /mnt/sys
sudo chroot /mnt

4. 然后正常使用passwd修改密码

6. 预防措施

6.1 设置密码提示

虽然不能直接显示密码，但可以设置提示：

bash复制sudo chfn -o "提示问题:提示答案" 用户名

例如：

bash复制sudo chfn -o "宠物名字:whiskers" alice

6.2 使用密码管理器

我目前使用KeePassXC管理所有Linux系统密码，数据库文件同步到私有Git仓库。推荐配置：

bash复制sudo apt install keepassxc
sudo apt install git
git clone ssh://user@example.com/path/to/passwords.git

6.3 配置SSH密钥登录

对于服务器，更安全的做法是禁用密码登录，改用SSH密钥：

bash复制sudo nano /etc/ssh/sshd_config

修改：

code复制PasswordAuthentication no
PubkeyAuthentication yes

然后重启SSH服务：

bash复制sudo systemctl restart sshd

7. 安全注意事项

重置密码后，建议检查以下安全相关项：

1. 查看最近登录记录：

bash复制last

2. 检查sudoers文件是否被修改：

bash复制sudo visudo -c

3. 查看是否有异常进程：

bash复制ps aux | grep -E '(cron|ssh|net)'

4. 检查计划任务：

bash复制systemctl list-timers --all
crontab -l

我在一次密码重置后发现了一个异常的cronjob，后来发现是之前安装的监控工具，虚惊一场。

8. 替代方案比较

除了上述方法，还有几种替代方案：

对于云服务器，各大厂商提供救援模式：

• AWS：通过EC2控制台挂载EBS到临时实例
• Azure：使用串行控制台
• Google Cloud：启用交互式串行控制台

9. 历史密码恢复

如果你只是记不清当前密码，但记得之前的某个密码，可以尝试：

1. 查看密码哈希（需要root）：

bash复制sudo cat /etc/shadow | grep username

2. 使用hashcat尝试常见变种：

bash复制hashcat -m 1800 -a 3 '$y$j9T$...' '?l?l?l?d?d'

不过在我的实践中，除非密码非常简单，否则暴力破解效率极低。一台8核机器破解8位混合密码可能需要数月。

10. 企业环境处理

在企业环境中，建议：

1. 配置LDAP/Kerberos统一认证
2. 部署sudo权限管理系统
3. 使用Ansible等工具批量管理密码
4. 设置密码过期策略：

bash复制sudo chage -M 90 username

我参与过的一个银行项目，要求每30天更换密码，且不能与最近5次重复，通过PAM模块实现：

bash复制sudo apt install libpam-pwhistory

在/etc/pam.d/common-password中添加：

code复制password required pam_pwhistory.so remember=5