凌晨两点的电话永远是运维人最不想接的那种。某天一位客户说服务器root密码忘了业务系统全停着数据都在盘里但就是进不去系统。这种场景在Linux运维里太常见了常见到几乎每个干过几年运维的人都会遇到几次。很多人一听到Linux密码破解就想到攻击、渗透、黑客但其实在真实的生产环境里比攻击更常见的是合法恢复——你自己管理的机器密码忘了密钥丢了或者前任运维离职时没交接密码。这篇文章我就把这些年处理过的密码恢复场景、背后的原理、该避开的坑一次性讲清楚。老规矩先立个规矩未经授权对他人系统尝试绕过认证在任何国家、任何场景下都是违法行为。本文所有内容仅面向本人拥有或获明确书面授权维护的系统用于应急恢复、数据抢救和系统接管请勿用于任何非法用途。1. 先搞清楚核心概念为什么Linux密码不能破解只能绕过很多刚入行的朋友一上来就问能不能把/etc/shadow里的哈希反解出来答案是不能至少在数学意义上做不到。理解这一点是理解后面所有恢复操作的基础。1.1 /etc/shadow里存的不是密码而是密码的指纹Linux系统密码存放在/etc/shadow文件中每一行对应一个用户冒号分隔字段典型的root行长这样root:$6$9pF9mQ2n$4xK...省略...aB7:19000:0:99999:7:::这些字段从左到右依次是用户名、密码哈希、最后一次修改密码日期从1970-01-01算起的天数、最短修改间隔、最长有效天数、过期前警告天数、宽限期、失效日期、保留字段。重点是第二个字段。$6$表示哈希算法是SHA-512$6$后面的字符串是盐salt盐之后才是真正的哈希摘要。不同发行版用的算法可能不同$1$是MD5$5$是SHA-256$6$是SHA-512较新的发行版里还能看到$y$那是yescrypt。整个字段只告诉你这个密码经过加盐哈希计算后是这么一串值但它绝不会告诉你原文是什么。哈希函数是单向的从原文算摘要很容易从摘要反推原文在计算上不可行。所以市面上说的破解本质不是反推而是猜——把字典、常见密码、规则变形后的候选字符串依次计算哈希和shadow里的值比对命中就算破解成功。这就像你丢了钥匙不是把锁芯反向解出钥匙形状而是一把一把试试对了才算开。1.2 加盐机制让破解成本成倍上升shadow哈希里的盐作用是在计算哈希之前掺入一段随机数据。没有盐的时候两个用户密码相同哈希值就完全一样攻击者可以预先把海量常见密码算好一张大表彩虹表拿来直接比对。加了盐之后同一密码在不同盐下产生的哈希完全不同预计算表直接失效攻击者只能针对拿到的那一条哈希单独跑字典、跑暴力时间成本和算力成本都大幅上升。这也是为什么我每次处理密码恢复时从不考虑对付shadow哈希单条SHA-512加盐哈希即使GPU算力很强跑纯数字8位密码也可能要好几个小时甚至更久如果是随机生成的强密码那基本等于无解。而直接走系统自身的恢复通道也就是绕过认证、临时提权到root然后直接重置密码可能只需要几分钟。这个思路一定要摆正面向恢复目标永远先找系统给你留的合法后门别跟哈希死磕。2. 忘记密码的三种常见恢复路径从简单到复杂重置Linux密码的原理说白了就是用另一种方式进入一个能修改/shadow的root环境。生产环境常用的有三条路按改动大小排序。2.1 单用户模式最轻量但需要能访问到内核启动项这是最常用的方式适合物理机、虚拟机以及有控制台或带外管理如IPMI、iLO、iDRC这类的机器。步骤如下重启系统在GRUB启动菜单出现时选中要启动的内核那一行按e进入编辑模式。找到以linux开头的那一行通常是linux /vmlinuz-... root/dev/mapper/...在行尾加上systemd.unitrescue.target如果是旧版sysvinit系统则改为在行尾输入single或s。按CtrlX或F10启动系统会进入单用户维护模式直接拿到root shell有些发行版会要求输入root密码如果root密码都忘了这条路就受阻需要改用下面两招。拿到root shell后执行passwd root按提示输入两次新密码然后重启或输入exit继续正常引导。这里最容易被忽略的坑如果系统启用了SELinux直接改密码没问题但如果在救援环境下做了其他文件操作比如手动挂载、修改了配置文件重启后可能因为SELinux安全上下文错乱导致系统起不来。后面第3章我会专门讲这个坑。为什么这条路径能生效因为rescue.target是systemd定义的一个特殊运行目标系统只启动最基本的依赖不启动完整的多用户服务也不要求所有用户正常登录。内核在initramfs阶段把根文件系统挂载好之后systemd会执行rescue.target下的单元最终给维护者一个root shell。这是系统设计者故意留下的维护通道不是漏洞也不是后门。2.2 通过rd.break打破initramfs流程适合root有密码锁死的情况如果单用户模式要求输入root密码而你又不知道可以改用破坏dracut生成的initramfs流程在根文件系统真正切换之前先拿到一个shell。方法同样在GRUB编辑页找到linux开头那一行在行尾追加rd.break启动之后内核会先解压initramfs执行到挂载真正的根文件系统之前停下来给你一个shell提示符。此时根文件系统已经挂载在/sysroot下但还处于只读状态。重新挂载为可写并切换到该环境mount -o remount,rw /sysroot chroot /sysrootchroot进去之后就是完整的根文件系统环境此时执行passwd root修改完成后如果系统启用了SELinux还要创建一个重标记文件让系统启动时自动修复安全上下文touch /.autorelabel然后退出chroot重启exit rebootrd.break比rescue.target更底层因为它干预的是initramfs阶段所以即使系统本身的systemd配置出了问题这条路径往往还能用。但它也有前提initramfs本身没有被密码保护或加密而且根文件系统没有被LUKS全盘加密。2.3 使用安装介质/救援模式最保险也最耗时当服务器有LUKS全盘加密、或者引导过程损坏、或者前两条路都不通时最可靠的方法是使用安装光盘或U盘启动进入救援模式Rescue Mode。以某主流发行版为例用安装介质启动选择Troubleshooting里的Rescue a system。按提示选择语言、键盘布局然后选择1) Continue挂载现有系统到/mnt/sysimage。如果没有自动挂载成功手动执行mkdir -p /mnt/sysimage mount /dev/你的根分区 /mnt/sysimageLVM卷的话先要激活逻辑卷LUKS加密的话要先cryptsetup luksOpen解密。chroot进入系统重置密码chroot /mnt/sysimage passwd root同样别忘了SELinux重标记问题修改后如果做了额外操作建议退出chroot前执行touch /mnt/sysimage/.autorelabel救援模式的优点是稳妥、不依赖原系统内核和systemd缺点是慢而且必须物理接触或至少有远程虚拟光驱能力。我遇到过很多远程机房机器网络不通、带外管理又没配置好这时候只能联系机房代操作原本十分钟的事拖成半天。3. 必须提前想清楚的三件事不然密码改完系统也可能起不来这几条全是真实生产环境踩过的坑。改密码本身动作不大但上下文环境稍微不对代价就是业务系统额外宕机几小时。3.1 SELinux安全上下文最容易忽略的雷RHEL系、CentOS、Fedora、Rocky、Alma这些发行版默认开启SELinux。SELinux会给每个文件打上安全上下文标签比如system_u:object_r:shadow_t:s0。如果系统正常工作/etc/shadow的标签是正确的。问题出在救援模式下文件系统可能是以非标准方式挂载的或者你在chroot环境里对文件做了修改、复制、移动新生成的文件可能没有正确的上下文标签。更麻烦的是如果你在救援环境里手动挂载了额外分区、创建了文件这些对象的标签一旦错乱重启后SELinux可能拒绝服务启动甚至拒绝登录进程访问关键文件表现就是系统能开机但卡在某个服务上或者登录时各种权限拒绝。所以我的习惯是只要在救援或单用户模式里改过东西一律创建.autorelabel重启一次。代价是重启时系统会花额外时间重刷文件上下文但对生产系统来说多等几分钟远比起不来好得多。3.2 LUKS全盘加密密码忘了系统恢复通道也可能被锁越来越现代的服务器用了LUKS全盘加密。这种情况下即使你用rd.break或救援模式在解密根分区之前拿到shell也没有意义因为真正的数据还是加密状态。你必须先输入LUKS密码或插入keyfile完成解密才能挂载根目录。所以处理密码恢复之前先确认这台机器有没有LUKS。如果LUKS密码也忘了那基本等于数据只能走备份恢复路线这时候再谈重置密码已经没有意义。判断方法很简单看GRUB阶段有没有等待输入密码的提示或者看/etc/crypttab和/boot下的加密配置。做任何操作之前先问客户一句这台机器有没有加密能省掉后面一堆无用功。3.3 远程管理的可达性先确认你永远有一条看得见的路密码重置经常需要重启系统。如果你的服务器只有SSH没有带外管理BMC/IPMI/iLO等贸然在SSH里执行reboot一旦重启后系统进不了正常模式你连插手的机会都没有只能请求机房协助。这是运维里最难受的场景之一。所以我在操作前一定要确认要么有物理/虚拟控制台要么有带外管理要么机房能调度人。实在只有SSH的话我的做法是先在计划任务里挂一条到点自动恢复GRUB默认启动的保险或者干脆先做好完整备份、确定操作时间窗再动手。4. 认证之后的收尾工作密码策略与访问审计一次做完密码重置成功只是第一步。如果这台机器之前就是因为密码管理混乱才出问题的那么只改个密码等于把问题原样留给了明天。我会在每次重置后顺手做几件事。4.1 检查并调整密码策略查看当前用户的密码策略chage -l rootchage能显示密码最短使用期限、最长有效天数、过期警告等。如果显示Password expires: never说明没设过期策略对生产环境来说风险较高。建议按公司安全规范设置例如chage -M 90 -m 7 -W 7 root意思是密码最长90天必须改一次最短7天内不能改防止立刻又改回去过期前7天开始警告。如果这台机器要长期维护我会顺手把密码策略写入/etc/login.defs里对应的PASS_MAX_DAYS、PASS_MIN_DAYS、PASS_WARN_AGE参数。4.2 检查shadow文件里的哈希是否真的更新改完密码、退出前我习惯检查一下/etc/shadow里root那一行的日期和哈希字段确实变了。日期字段变成了今天对应的天数哈希字段和修改前完全不同。这能确认密码确实生效而不是因为缓存或网络认证走了别的通道。如果系统配置了LDAP或AD域认证情况就复杂了——root密码可能不在本机的shadow文件里而在目录服务端。这时要修改的是对应目录服务里的账号或者至少确认本机有本地root的替代登录方式。处理这种环境时我会先检查/etc/nsswitch.conf里passwd那一行的顺序确认是files优先还是sss/ldap优先再决定在哪里改密码。4.3 记录修改动作更新交接文档密码改完我会记下本次操作的时间、修改原因、操作人匿名记录并更新文档。密码这种信息最怕的不是复杂而是只有一个人知道。服务器可以明文记录密码放在受控的密码管理工具里或者用团队共享的密钥库但绝不能只存在某一个人的脑子里。5. 反方向想问题怎么防御别人尝试破解你的Linux说完自己的恢复再站在防守角度聊几句。因为Linux密码破解这个话题真正的风险往往不是你自己忘了密码而是别人在尝试猜你的密码。5.1 先看系统有没有被尝试攻击的痕迹如果怀疑系统被暴力试密码优先查这几个位置# 查看认证日志里的失败尝试 grep Failed password /var/log/auth.log # 查看最近失败的登录尝试 lastb # 查看当前登录会话 lastCentOS/RHEL系的日志在/var/log/secureDebian/Ubuntu系在/var/log/auth.log。如果日志里出现同一IP大量Failed password记录说明有人在扫你的SSH端口并试图暴力登录。5.2 用系统自带机制做账户锁定不需要第一时间上第三方工具系统自带的能力就能做基础防护。pam_faillock是PAM框架里的失败锁定模块配置后在指定时间内、连续失败N次会锁定账户。限制SSH密码尝试次数我常用的方式是编辑/etc/ssh/sshd_configMaxAuthTries 4意思是每个连接最多允许4次认证尝试超过就断开连接。这是第一层闸门。配合fail2ban可以做到某IP连续失败N次后防火墙层直接丢包比单纯断开连接更能有效阻断扫描脚本。5.3 更彻底的思路禁用密码登录只留密钥对于对外暴露的服务器我强烈建议直接禁用SSH密码认证只允许公钥认证。操作方法# 编辑 /etc/ssh/sshd_config PasswordAuthentication no PubkeyAuthentication yes改完后systemctl restart sshd。从此以后密码暴力破解对你那台机器基本失效因为服务端根本不接受密码认证。代价是你要管理好密钥特别是私钥丢了就得走带外控制台恢复了。5.4 口令强度不能只靠人自觉就算启用了密码登录口令强度也必须有强制约束。很多发行版自带pam_pwquality或pam_cracklib可以要求新密码必须满足长度、包含大小写和特殊字符等规则。比如在/etc/pam.d/system-auth或/etc/pam.d/passwd里配置password requisite pam_pwquality.so retry3 minlen12这段的意思是设置密码时如果不符合复杂度规则给3次重试机会密码最短长度12位。我在实际项目里的体会是与其让人人自觉设置强密码不如直接在PAM层强制效果立竿见影。5.5 审计和告警要及时如果你管理多台服务器建议把auth日志集中收集起来做到异常登录1分钟内告警。我自己惯用的做法是用rsyslog把/var/log/secure转发到集中日志服务器配合关键词规则出现Failed password、authentication failure等关键字时立刻触发告警。这样即使有攻击也不是等几天后复盘才发现。6. 多年攒下的几条实战心得最后把这些年处理Linux密码应急时攒下的经验按重要性列一下每条都是真金白银换来的。第一动手之前先确认加密状态。每次接到密码忘了的求助第一句话永远是先问系统有没有LUKS加密然后是有没有带外管理这两条不确认宁可不开始操作。曾经有位同事在虚拟机上做练习忘了密码直接进单用户模式就改了因为他没有加密。但到了生产环境如果根分区是LUKS同样操作就会卡在解密提示符上。第二SELinux的坎过去了就过去了过不去就是起不来。我在某台测试机上验证过一套操作救援模式chroot改完密码后顺手写了点东西到home目录然后没做.autorelabel重启后系统直接进不了登录界面报的全是SELinux上下文拒绝。从那以后凡是救援模式里动过文件一律先touch /.autorelabel再重启宁等多刷两分钟标签也绝不赌运气。第三远程操作要给自己留后路。如果是生产环境的重启操作我坚持一个原则没有控制台不做重启。SSH窗口永远是一条可以断掉的路一旦操作失败你连看都看不到现场只能干着急。有条件就先配置好带外管理没条件就协调机房。这不是保守这是对自己负责。第四不要迷信哈希破解。不少朋友天天琢磨怎么解shadow哈希我见过最佳案例是对一个随机密码咕咚跑了一周也没跑出来。真正高效的做法是走系统设计者留下的合法维护通道几分钟就完成恢复。把时间花在密码策略、日志审计、密钥管理上划算得多。第五合规永远是底线。这套方法只适用于自己拥有或获授权维护的系统。未经授权去动别人的系统无论如何解释都是越界行为。干这一行技术能力再强也要先分清能不能做、该不该做。如果你正在处理一台密码遗忘的Linux服务器按第2章的路线一步步来大部分问题十分钟内都能解决。如果走到一半卡住了多半是加密、SELinux或远程通道这三个环节没检查到位。回头再看看第3章通常能找到原因。 
长河君 · 2026/10/14 4:24:57 · 阅读 1.2k Linux密码忘了？三种恢复方法及避坑指南
凌晨两点的电话永远是运维人最不想接的那种。某天一位客户说服务器root密码忘了业务系统全停着数据都在盘里但就是进不去系统。这种场景在Linux运维里太常见了常见到几乎每个干过几年运维的人都会遇到几次。很多人一听到Linux密码破解就想到攻击、渗透、黑客但其实在真实的生产环境里比攻击更常见的是合法恢复——你自己管理的机器密码忘了密钥丢了或者前任运维离职时没交接密码。这篇文章我就把这些年处理过的密码恢复场景、背后的原理、该避开的坑一次性讲清楚。老规矩先立个规矩未经授权对他人系统尝试绕过认证在任何国家、任何场景下都是违法行为。本文所有内容仅面向本人拥有或获明确书面授权维护的系统用于应急恢复、数据抢救和系统接管请勿用于任何非法用途。1. 先搞清楚核心概念为什么Linux密码不能破解只能绕过很多刚入行的朋友一上来就问能不能把/etc/shadow里的哈希反解出来答案是不能至少在数学意义上做不到。理解这一点是理解后面所有恢复操作的基础。1.1 /etc/shadow里存的不是密码而是密码的指纹Linux系统密码存放在/etc/shadow文件中每一行对应一个用户冒号分隔字段典型的root行长这样root:$6$9pF9mQ2n$4xK...省略...aB7:19000:0:99999:7:::这些字段从左到右依次是用户名、密码哈希、最后一次修改密码日期从1970-01-01算起的天数、最短修改间隔、最长有效天数、过期前警告天数、宽限期、失效日期、保留字段。重点是第二个字段。$6$表示哈希算法是SHA-512$6$后面的字符串是盐salt盐之后才是真正的哈希摘要。不同发行版用的算法可能不同$1$是MD5$5$是SHA-256$6$是SHA-512较新的发行版里还能看到$y$那是yescrypt。整个字段只告诉你这个密码经过加盐哈希计算后是这么一串值但它绝不会告诉你原文是什么。哈希函数是单向的从原文算摘要很容易从摘要反推原文在计算上不可行。所以市面上说的破解本质不是反推而是猜——把字典、常见密码、规则变形后的候选字符串依次计算哈希和shadow里的值比对命中就算破解成功。这就像你丢了钥匙不是把锁芯反向解出钥匙形状而是一把一把试试对了才算开。1.2 加盐机制让破解成本成倍上升shadow哈希里的盐作用是在计算哈希之前掺入一段随机数据。没有盐的时候两个用户密码相同哈希值就完全一样攻击者可以预先把海量常见密码算好一张大表彩虹表拿来直接比对。加了盐之后同一密码在不同盐下产生的哈希完全不同预计算表直接失效攻击者只能针对拿到的那一条哈希单独跑字典、跑暴力时间成本和算力成本都大幅上升。这也是为什么我每次处理密码恢复时从不考虑对付shadow哈希单条SHA-512加盐哈希即使GPU算力很强跑纯数字8位密码也可能要好几个小时甚至更久如果是随机生成的强密码那基本等于无解。而直接走系统自身的恢复通道也就是绕过认证、临时提权到root然后直接重置密码可能只需要几分钟。这个思路一定要摆正面向恢复目标永远先找系统给你留的合法后门别跟哈希死磕。2. 忘记密码的三种常见恢复路径从简单到复杂重置Linux密码的原理说白了就是用另一种方式进入一个能修改/shadow的root环境。生产环境常用的有三条路按改动大小排序。2.1 单用户模式最轻量但需要能访问到内核启动项这是最常用的方式适合物理机、虚拟机以及有控制台或带外管理如IPMI、iLO、iDRC这类的机器。步骤如下重启系统在GRUB启动菜单出现时选中要启动的内核那一行按e进入编辑模式。找到以linux开头的那一行通常是linux /vmlinuz-... root/dev/mapper/...在行尾加上systemd.unitrescue.target如果是旧版sysvinit系统则改为在行尾输入single或s。按CtrlX或F10启动系统会进入单用户维护模式直接拿到root shell有些发行版会要求输入root密码如果root密码都忘了这条路就受阻需要改用下面两招。拿到root shell后执行passwd root按提示输入两次新密码然后重启或输入exit继续正常引导。这里最容易被忽略的坑如果系统启用了SELinux直接改密码没问题但如果在救援环境下做了其他文件操作比如手动挂载、修改了配置文件重启后可能因为SELinux安全上下文错乱导致系统起不来。后面第3章我会专门讲这个坑。为什么这条路径能生效因为rescue.target是systemd定义的一个特殊运行目标系统只启动最基本的依赖不启动完整的多用户服务也不要求所有用户正常登录。内核在initramfs阶段把根文件系统挂载好之后systemd会执行rescue.target下的单元最终给维护者一个root shell。这是系统设计者故意留下的维护通道不是漏洞也不是后门。2.2 通过rd.break打破initramfs流程适合root有密码锁死的情况如果单用户模式要求输入root密码而你又不知道可以改用破坏dracut生成的initramfs流程在根文件系统真正切换之前先拿到一个shell。方法同样在GRUB编辑页找到linux开头那一行在行尾追加rd.break启动之后内核会先解压initramfs执行到挂载真正的根文件系统之前停下来给你一个shell提示符。此时根文件系统已经挂载在/sysroot下但还处于只读状态。重新挂载为可写并切换到该环境mount -o remount,rw /sysroot chroot /sysrootchroot进去之后就是完整的根文件系统环境此时执行passwd root修改完成后如果系统启用了SELinux还要创建一个重标记文件让系统启动时自动修复安全上下文touch /.autorelabel然后退出chroot重启exit rebootrd.break比rescue.target更底层因为它干预的是initramfs阶段所以即使系统本身的systemd配置出了问题这条路径往往还能用。但它也有前提initramfs本身没有被密码保护或加密而且根文件系统没有被LUKS全盘加密。2.3 使用安装介质/救援模式最保险也最耗时当服务器有LUKS全盘加密、或者引导过程损坏、或者前两条路都不通时最可靠的方法是使用安装光盘或U盘启动进入救援模式Rescue Mode。以某主流发行版为例用安装介质启动选择Troubleshooting里的Rescue a system。按提示选择语言、键盘布局然后选择1) Continue挂载现有系统到/mnt/sysimage。如果没有自动挂载成功手动执行mkdir -p /mnt/sysimage mount /dev/你的根分区 /mnt/sysimageLVM卷的话先要激活逻辑卷LUKS加密的话要先cryptsetup luksOpen解密。chroot进入系统重置密码chroot /mnt/sysimage passwd root同样别忘了SELinux重标记问题修改后如果做了额外操作建议退出chroot前执行touch /mnt/sysimage/.autorelabel救援模式的优点是稳妥、不依赖原系统内核和systemd缺点是慢而且必须物理接触或至少有远程虚拟光驱能力。我遇到过很多远程机房机器网络不通、带外管理又没配置好这时候只能联系机房代操作原本十分钟的事拖成半天。3. 必须提前想清楚的三件事不然密码改完系统也可能起不来这几条全是真实生产环境踩过的坑。改密码本身动作不大但上下文环境稍微不对代价就是业务系统额外宕机几小时。3.1 SELinux安全上下文最容易忽略的雷RHEL系、CentOS、Fedora、Rocky、Alma这些发行版默认开启SELinux。SELinux会给每个文件打上安全上下文标签比如system_u:object_r:shadow_t:s0。如果系统正常工作/etc/shadow的标签是正确的。问题出在救援模式下文件系统可能是以非标准方式挂载的或者你在chroot环境里对文件做了修改、复制、移动新生成的文件可能没有正确的上下文标签。更麻烦的是如果你在救援环境里手动挂载了额外分区、创建了文件这些对象的标签一旦错乱重启后SELinux可能拒绝服务启动甚至拒绝登录进程访问关键文件表现就是系统能开机但卡在某个服务上或者登录时各种权限拒绝。所以我的习惯是只要在救援或单用户模式里改过东西一律创建.autorelabel重启一次。代价是重启时系统会花额外时间重刷文件上下文但对生产系统来说多等几分钟远比起不来好得多。3.2 LUKS全盘加密密码忘了系统恢复通道也可能被锁越来越现代的服务器用了LUKS全盘加密。这种情况下即使你用rd.break或救援模式在解密根分区之前拿到shell也没有意义因为真正的数据还是加密状态。你必须先输入LUKS密码或插入keyfile完成解密才能挂载根目录。所以处理密码恢复之前先确认这台机器有没有LUKS。如果LUKS密码也忘了那基本等于数据只能走备份恢复路线这时候再谈重置密码已经没有意义。判断方法很简单看GRUB阶段有没有等待输入密码的提示或者看/etc/crypttab和/boot下的加密配置。做任何操作之前先问客户一句这台机器有没有加密能省掉后面一堆无用功。3.3 远程管理的可达性先确认你永远有一条看得见的路密码重置经常需要重启系统。如果你的服务器只有SSH没有带外管理BMC/IPMI/iLO等贸然在SSH里执行reboot一旦重启后系统进不了正常模式你连插手的机会都没有只能请求机房协助。这是运维里最难受的场景之一。所以我在操作前一定要确认要么有物理/虚拟控制台要么有带外管理要么机房能调度人。实在只有SSH的话我的做法是先在计划任务里挂一条到点自动恢复GRUB默认启动的保险或者干脆先做好完整备份、确定操作时间窗再动手。4. 认证之后的收尾工作密码策略与访问审计一次做完密码重置成功只是第一步。如果这台机器之前就是因为密码管理混乱才出问题的那么只改个密码等于把问题原样留给了明天。我会在每次重置后顺手做几件事。4.1 检查并调整密码策略查看当前用户的密码策略chage -l rootchage能显示密码最短使用期限、最长有效天数、过期警告等。如果显示Password expires: never说明没设过期策略对生产环境来说风险较高。建议按公司安全规范设置例如chage -M 90 -m 7 -W 7 root意思是密码最长90天必须改一次最短7天内不能改防止立刻又改回去过期前7天开始警告。如果这台机器要长期维护我会顺手把密码策略写入/etc/login.defs里对应的PASS_MAX_DAYS、PASS_MIN_DAYS、PASS_WARN_AGE参数。4.2 检查shadow文件里的哈希是否真的更新改完密码、退出前我习惯检查一下/etc/shadow里root那一行的日期和哈希字段确实变了。日期字段变成了今天对应的天数哈希字段和修改前完全不同。这能确认密码确实生效而不是因为缓存或网络认证走了别的通道。如果系统配置了LDAP或AD域认证情况就复杂了——root密码可能不在本机的shadow文件里而在目录服务端。这时要修改的是对应目录服务里的账号或者至少确认本机有本地root的替代登录方式。处理这种环境时我会先检查/etc/nsswitch.conf里passwd那一行的顺序确认是files优先还是sss/ldap优先再决定在哪里改密码。4.3 记录修改动作更新交接文档密码改完我会记下本次操作的时间、修改原因、操作人匿名记录并更新文档。密码这种信息最怕的不是复杂而是只有一个人知道。服务器可以明文记录密码放在受控的密码管理工具里或者用团队共享的密钥库但绝不能只存在某一个人的脑子里。5. 反方向想问题怎么防御别人尝试破解你的Linux说完自己的恢复再站在防守角度聊几句。因为Linux密码破解这个话题真正的风险往往不是你自己忘了密码而是别人在尝试猜你的密码。5.1 先看系统有没有被尝试攻击的痕迹如果怀疑系统被暴力试密码优先查这几个位置# 查看认证日志里的失败尝试 grep Failed password /var/log/auth.log # 查看最近失败的登录尝试 lastb # 查看当前登录会话 lastCentOS/RHEL系的日志在/var/log/secureDebian/Ubuntu系在/var/log/auth.log。如果日志里出现同一IP大量Failed password记录说明有人在扫你的SSH端口并试图暴力登录。5.2 用系统自带机制做账户锁定不需要第一时间上第三方工具系统自带的能力就能做基础防护。pam_faillock是PAM框架里的失败锁定模块配置后在指定时间内、连续失败N次会锁定账户。限制SSH密码尝试次数我常用的方式是编辑/etc/ssh/sshd_configMaxAuthTries 4意思是每个连接最多允许4次认证尝试超过就断开连接。这是第一层闸门。配合fail2ban可以做到某IP连续失败N次后防火墙层直接丢包比单纯断开连接更能有效阻断扫描脚本。5.3 更彻底的思路禁用密码登录只留密钥对于对外暴露的服务器我强烈建议直接禁用SSH密码认证只允许公钥认证。操作方法# 编辑 /etc/ssh/sshd_config PasswordAuthentication no PubkeyAuthentication yes改完后systemctl restart sshd。从此以后密码暴力破解对你那台机器基本失效因为服务端根本不接受密码认证。代价是你要管理好密钥特别是私钥丢了就得走带外控制台恢复了。5.4 口令强度不能只靠人自觉就算启用了密码登录口令强度也必须有强制约束。很多发行版自带pam_pwquality或pam_cracklib可以要求新密码必须满足长度、包含大小写和特殊字符等规则。比如在/etc/pam.d/system-auth或/etc/pam.d/passwd里配置password requisite pam_pwquality.so retry3 minlen12这段的意思是设置密码时如果不符合复杂度规则给3次重试机会密码最短长度12位。我在实际项目里的体会是与其让人人自觉设置强密码不如直接在PAM层强制效果立竿见影。5.5 审计和告警要及时如果你管理多台服务器建议把auth日志集中收集起来做到异常登录1分钟内告警。我自己惯用的做法是用rsyslog把/var/log/secure转发到集中日志服务器配合关键词规则出现Failed password、authentication failure等关键字时立刻触发告警。这样即使有攻击也不是等几天后复盘才发现。6. 多年攒下的几条实战心得最后把这些年处理Linux密码应急时攒下的经验按重要性列一下每条都是真金白银换来的。第一动手之前先确认加密状态。每次接到密码忘了的求助第一句话永远是先问系统有没有LUKS加密然后是有没有带外管理这两条不确认宁可不开始操作。曾经有位同事在虚拟机上做练习忘了密码直接进单用户模式就改了因为他没有加密。但到了生产环境如果根分区是LUKS同样操作就会卡在解密提示符上。第二SELinux的坎过去了就过去了过不去就是起不来。我在某台测试机上验证过一套操作救援模式chroot改完密码后顺手写了点东西到home目录然后没做.autorelabel重启后系统直接进不了登录界面报的全是SELinux上下文拒绝。从那以后凡是救援模式里动过文件一律先touch /.autorelabel再重启宁等多刷两分钟标签也绝不赌运气。第三远程操作要给自己留后路。如果是生产环境的重启操作我坚持一个原则没有控制台不做重启。SSH窗口永远是一条可以断掉的路一旦操作失败你连看都看不到现场只能干着急。有条件就先配置好带外管理没条件就协调机房。这不是保守这是对自己负责。第四不要迷信哈希破解。不少朋友天天琢磨怎么解shadow哈希我见过最佳案例是对一个随机密码咕咚跑了一周也没跑出来。真正高效的做法是走系统设计者留下的合法维护通道几分钟就完成恢复。把时间花在密码策略、日志审计、密钥管理上划算得多。第五合规永远是底线。这套方法只适用于自己拥有或获授权维护的系统。未经授权去动别人的系统无论如何解释都是越界行为。干这一行技术能力再强也要先分清能不能做、该不该做。如果你正在处理一台密码遗忘的Linux服务器按第2章的路线一步步来大部分问题十分钟内都能解决。如果走到一半卡住了多半是加密、SELinux或远程通道这三个环节没检查到位。回头再看看第3章通常能找到原因。