GreedyAbyss1. 问题背景与解决思路
上周帮同事处理一台闲置的开发机时，发现这台Ubuntu系统已经半年多没人使用，所有人都记不起登录密码。这种情况在长期不用的测试机、备用机上很常见——特别是多人共用的环境。更麻烦的是，这台机器没有启用SSH远程访问，只能通过本地终端操作。
遇到Ubuntu用户密码遗忘的情况，通常有四种主流的解决路径：
- 单用户模式重置：通过GRUB引导进入root shell直接修改密码文件
- Live CD/USB修改：使用Ubuntu安装介质挂载原系统分区
- chroot环境操作：对加密主目录需要额外处理
- 第三方工具：如SystemRescueCD等专业工具包
经过评估，我选择了最稳妥的单用户模式方案。原因有三：首先该机器是传统BIOS引导（非UEFI），其次硬盘未加密，最重要的是这个方法不需要任何外部介质。下面详细记录操作过程和关键注意事项。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 单用户模式详细操作流程
2.1 进入GRUB菜单
首先重启目标机器，在BIOS自检完成后立即长按Shift键（UEFI系统可能需要按ESC）。这个时机很重要——要在Ubuntu启动动画出现前按下。如果看到紫色背景的GRUB菜单，就成功了一半。
注意：部分显卡型号可能导致GRUB菜单显示异常，此时可以尝试连接VGA接口显示器。如果仍然不显示，可以盲操作——在启动时先按
ESC再按Shift。
2.2 修改启动参数
在GRUB菜单用方向键选择Ubuntu项（通常是第一个），不要回车，而是按e键进入编辑模式。这里可以看到完整的启动配置参数。
找到以linux开头的那一行，在行尾quiet splash后面添加：
code复制init=/bin/bash
修改后应该类似：
code复制linux /boot/vmlinuz-5.15.0-76-generic root=UUID=xxxx ro quiet splash init=/bin/bash
关键点解析：
init=/bin/bash表示系统启动后直接运行bash shell- 必须保留
ro参数（read-only）避免文件系统损坏 - 不要删除原有参数，仅在末尾追加
2.3 挂载文件系统
按Ctrl+X或F10启动后，你会进入root shell。此时文件系统是只读状态，需要重新挂载：
bash复制mount -o remount,rw /
mount --all
验证是否成功：
bash复制ls /home
应该能看到用户目录列表。如果遇到mount: /sys: cannot mount之类的错误可以忽略，不影响主要操作。
3. 密码重置与安全加固
3.1 修改用户密码
执行passwd命令重置密码：
bash复制passwd 用户名
系统会提示输入新密码两次。建议设置强度足够的密码：
- 至少12位字符
- 包含大小写字母、数字和特殊符号
- 避免使用常见词汇或重复字符
重要安全提示：如果这是共享开发机，重置后应立即通知所有可能使用该机器的成员更新密码。多人共用的机器建议配置SSH密钥认证替代密码登录。
3.2 处理加密主目录（可选）
如果用户启用了主目录加密（安装时勾选了"加密我的主文件夹"），还需要多一步操作：
bash复制ecryptfs-unwrap-passphrase /home/.ecryptfs/用户名/.ecryptfs/wrapped-passphrase
输入刚设置的新密码后，会显示解密密钥。记下这个密钥，然后：
bash复制ecryptfs-add-passphrase --fnek
依次输入解密密钥和新密码。这一步确保加密文件在登录时能自动解密。
3.3 重启验证
执行同步操作后重启：
bash复制sync
exec /sbin/init
或者直接：
bash复制reboot -f
现在应该能用新密码正常登录了。如果登录后桌面图标显示为问号，说明加密主目录处理有问题，需要重新执行3.2步骤。
4. 替代方案与疑难排查
4.1 Live USB方案
当单用户模式不可行时（比如GRUB损坏），可以使用Ubuntu安装U盘：
- 从U盘启动选择"Try Ubuntu"
- 打开终端获取root权限：
bash复制sudo -i - 查看磁盘分区：
bash复制
fdisk -l - 挂载原系统分区（假设在/dev/sda1）：
bash复制
mount /dev/sda1 /mnt - chroot到原系统：
bash复制chroot /mnt - 执行passwd修改密码
4.2 常见问题解决
问题1：GRUB菜单无法调出
- 检查BIOS设置中Fast Boot是否关闭
- 尝试在启动时连续快速按
Shift或ESC - 对于云服务器，需要通过VNC或控制台连接
问题2：密码修改后仍无法登录
- 检查是否修改了正确的用户账号
- 查看PAM认证日志：
bash复制cat /var/log/auth.log | grep pam - 尝试创建新用户测试：
bash复制
useradd -m testuser passwd testuser
问题3：加密主目录无法解锁
- 确保执行了
ecryptfs-add-passphrase - 检查
.ecryptfs目录权限：bash复制chown -R 用户名:用户名 /home/.ecryptfs/用户名 - 重建加密密钥：
bash复制
ecryptfs-recover-private
5. 预防措施与安全建议
经历过这次密码重置后，我给团队制定了以下规范：
-
密码管理：
- 重要机器密码必须记录在加密密码管理器
- 定期（每3个月）轮换共享账号密码
- 禁用不活跃账号
-
访问控制：
- 优先配置SSH密钥认证
- 为每个开发者创建独立账号
- 安装
libpam-google-authenticator启用双因素认证
-
应急准备：
- 关键服务器配置串口控制台访问
- 保留一个已知密码的备用管理员账号
- 定期测试恢复流程
对于个人用户，建议：
- 启用Ubuntu的自动登录功能（仅限安全环境）
- 将密码提示问题设置为有效信息
- 在安全位置记录密码哈希（使用
sudo cat /etc/shadow）
最后分享一个快速查看用户账号的方法：
bash复制getent passwd | grep -vE '(nologin|false|sync|halt)' | cut -d: -f1