在CentOS系统中，GRUB引导密码和单用户模式保护是服务器安全的关键环节。如果未设置密码，攻击者或未经授权人员可以直接通过GRUB菜单修改内核参数、进入单用户模式或恢复模式，从而获得root权限并完全控制系统。本文将详细讲解如何为GRUB 2设置密码以锁定引导选项，以及如何有效保护单用户模式，防止系统被恶意重置或入侵。
GRUB 2引导密码的核心作用与风险场景
GRUB是大多数Linux系统的默认引导加载程序。在系统启动时，按下特定键（如Shift或Esc）即可进入GRUB菜单。该菜单允许用户选择不同的内核版本、进入救援模式或直接编辑启动参数。如果没有密码保护，任何人都可以在启动时添加“init=/bin/bash”或“single”等参数，直接进入无需密码的root shell。这在物理服务器或云主机环境中尤为危险，可能导致数据泄露、服务中断或系统被植入后门。因此，为GRUB设置密码不是可选项，而是生产环境中的基本安全要求。
为GRUB 2生成加密密码的具体步骤
首先，你需要生成一个经过加密的密码。CentOS通常使用grub2-mkpasswd-pbkdf2工具来创建PBKDF2加密的密码哈希。打开终端并以root身份执行以下命令，然后按提示输入你想要设置的密码：
grub2-mkpasswd-pbkdf2
命令执行后，系统会输出类似“grub.pbkdf2.sha512.10000.长串字符”的哈希值。请完整复制这个哈希字符串，它将在后续配置中使用。确保使用强密码，包含大小写字母、数字和特殊符号，以增强安全性。
配置GRUB 2密码的两种模式：全局保护与菜单项保护
GRUB 2的密码配置支持两种模式：全局保护和对特定菜单项的保护。全局保护要求在任何GRUB菜单操作前都必须输入密码，这最为严格，但每次维护都需要输入密码可能略显繁琐。而对特定菜单项的保护则允许无密码启动默认项，但编辑菜单或进入高级选项时需要密码，这更灵活。你可以根据实际安全需求选择。配置文件通常位于/etc/grub.d/目录下，或直接编辑/etc/grub.d/40_custom文件。
实施全局密码保护：编辑GRUB自定义配置文件
要设置全局密码，请编辑/etc/grub.d/40_custom文件。在文件末尾添加以下内容，将“你的加密哈希字符串”替换为之前生成的完整哈希：
set superusers="root" password_pbkdf2 root 你的加密哈希字符串
保存文件后，必须重新生成GRUB的主配置文件。对于使用BIOS的传统系统，运行“grub2-mkconfig -o /boot/grub2/grub.cfg”。对于UEFI系统，则通常运行“grub2-mkconfig -o /boot/efi/EFI/centos/grub.cfg”。请根据你的系统引导方式选择正确的命令。完成后，重启系统，在GRUB菜单界面尝试编辑启动参数，系统会提示输入用户名（root）和密码。
针对特定菜单项设置密码：精细化访问控制
如果希望允许无密码正常启动，但保护菜单编辑功能，可以配置更精细的规则。在/etc/grub.d/40_custom中，除了设置superusers和密码，还可以添加“--unrestricted”参数到正常启动项，而对“menuentry”中包含“recovery”或“single”的项不添加此参数。这样，选择恢复模式或单用户模式时就需要验证密码。这需要在GRUB配置文件模板中进行更深入的定制，通常涉及修改/etc/grub.d/10_linux或30_os-prober等脚本，建议在修改前备份原文件。
单用户模式的本质风险与防护误区
单用户模式是Linux的一个特殊运行状态，它直接以root权限启动到最小系统环境，通常用于系统修复。正因如此，它也成为安全短板。许多管理员误以为设置了GRUB密码就万无一失，但实际上，如果攻击者能接触到物理控制台或虚拟主机控制台，仍可能通过其他方式触发单用户模式。例如，某些旧版本或配置不当的系统，可能允许从initramfs调试shell绕过。因此，防护必须多层次进行。
加固单用户模式：禁用与控制台访问
除了GRUB密码，你还可以通过修改systemd配置或inittab文件（取决于系统初始化方式）来增加单用户模式的访问难度。对于使用systemd的CentOS 7及更高版本，可以检查并修改/etc/systemd/system.conf文件，确保“RescueMode”和“EmergencyMode”的相关设置受到控制。更重要的是，限制物理和虚拟控制台的访问。可以通过配置/etc/securetty文件，只允许特定的安全tty设备进行root登录。例如，只保留tty1，移除ttyS0（串行控制台）和ttyUSB0等，这能有效防止通过串口或特定虚拟控制台进入单用户模式。
使用Bootloader锁（BIOS/UEFI密码）作为物理层防护
GRUB密码保护的是操作系统引导层，但攻击者仍可能从更底层的BIOS或UEFI设置中更改引导顺序，从光盘或USB设备启动，从而绕过所有操作系统级防护。因此，对于物理服务器或你有管理权限的云主机，务必设置BIOS或UEFI固件密码。这将阻止未经授权更改启动设备。同时，在服务器机柜或数据中心实施物理访问控制，与软件措施形成互补。
安全审计与监控：检测引导参数更改
设置防护措施后，定期审计至关重要。你可以使用“grub2-editenv list”命令检查当前GRUB环境变量。此外，配置日志系统（如rsyslog或journald）来监控/var/log/messages和/var/log/boot.log，关注与GRUB、启动或单用户模式相关的日志条目。结合入侵检测系统（如AIDE或Tripwire），定期检查GRUB配置文件（/boot/grub2/grub.cfg等）的完整性，确保它们未被篡改。
恢复密码的正当流程与应急方案
万一忘记GRUB密码，你仍需要通过物理或虚拟控制台，使用CentOS安装光盘或救援模式进行恢复。启动到救援环境后，挂载原系统的根分区，然后chroot进入原系统，重新编辑GRUB配置文件或移除密码设置。这个过程本身强调了物理安全的重要性：能执行此操作的人，本质上已拥有对机器的完全物理控制权。因此，企业应建立严格的流程，确保只有授权管理员才能在监督下进行此类操作。
总结：构建纵深防御体系
保护CentOS的引导过程和单用户模式，绝不能依赖单一措施。有效的策略是构建一个纵深防御体系：最外层是物理安全和BIOS/UEFI密码；中间层是GRUB引导密码，并精细控制菜单项访问；最内层是系统配置加固，如securetty和systemd配置。同时，配合定期的安全审计与监控。只有这样，才能确保你的服务器从按下电源键的那一刻起，就处于一个受控的安全状态，有效抵御未经授权的访问和恶意操作，为业务稳定运行打下坚实的基础。
