Ubuntu系统设置GRUB密码防止单用户模式重置获取root权限

在Ubuntu这类Linux发行版中，GRUB引导加载程序不仅是系统启动的入口，更是一个潜在的安全缺口。默认情况下，任何人只要能物理接触到主机或通过带外管理卡进入启动界面，只需在GRUB菜单中编辑内核启动参数，添加"init=/bin/bash"或进入恢复模式，就能在几秒钟内绕过所有认证直接拿到root权限。这不是漏洞，而是设计特性，但对于生产环境或存有敏感数据的服务器来说，这种便利性就是灾难。设置GRUB密码，就是堵上这个缺口最直接有效的手段。

要真正理解为什么必须设置GRUB密码，先得明白攻击者是如何利用单用户模式的。在系统启动到GRUB菜单时，按下"e"键可以编辑当前菜单项的启动参数。找到以"linux"开头的那一行，在末尾加上"init=/bin/bash"，然后按"Ctrl+X"启动，系统就会跳过/sbin/init进程，直接启动一个bash shell，并且这个shell拥有root权限。另一种方式是选择恢复模式菜单项，进入后选择进入root shell，同样无需密码就能获得完整的root权限。整个过程不需要任何工具，只需要键盘和十几秒时间。对于任何有物理访问权限的人来说，这台机器上的数据已经没有任何秘密可言。

GRUB密码不能以明文形式存储，必须使用经过加密的哈希值。Ubuntu系统内置了"grub-mkpasswd-pbkdf2"工具，专门用于生成PBKDF2格式的密码哈希。在终端中执行以下命令：

grub-mkpasswd-pbkdf2

系统会提示输入密码并确认，然后输出一串以"grub.pbkdf2.sha512"开头的长字符串。这个字符串就是加密后的密码哈希值，需要完整复制下来，后续配置中会用到。建议密码长度至少12位，包含大小写字母、数字和特殊字符。这个密码是保护系统启动安全的最后一道防线，强度不能太低。如果系统上没有这个命令，先执行"apt install grub2-common"安装相关工具包。

拿到密码哈希后，需要将其写入GRUB的主配置文件。使用编辑器打开"/etc/grub.d/00_header"文件：

sudo vim /etc/grub.d/00_header

在文件末尾添加以下内容：

cat << EOF
set superusers="admin"
password_pbkdf2 admin grub.pbkdf2.sha512.10000.xxxxxxxxxxxxxxxxxxxx
EOF

这里的"admin"是超级用户名，可以自定义为任何你想要的用户名。"password_pbkdf2"后面的长字符串就是上一步生成的哈希值，需要完整粘贴进来。"superusers"变量定义了哪些用户拥有编辑启动项和进入GRUB命令行的权限。如果只设置一个超级用户，所有需要认证的操作都必须使用这个用户名和密码。

上面的配置设置了全局超级用户，但如果你希望普通启动项无需密码也能正常启动，只对恢复模式和编辑功能进行保护，可以进一步细化配置。编辑"/etc/grub.d/10_linux"文件，找到"menuentry"相关的行。默认情况下，所有自动生成的菜单项都会继承全局的认证要求。要实现选择性保护，需要在"/etc/grub.d/00_header"中做更精细的设置：

set superusers="admin"
password_pbkdf2 admin grub.pbkdf2.sha512.10000.xxxxxxxxxxxxxxxxxxxx
export superusers

set unrestricted_menu=""
for i in /boot/grub/grub.cfg; do
  if [ -e $i ]; then
    set unrestricted_menu="$unrestricted_menu $i"
  fi
done

然后在"/etc/grub.d/10_linux"中，为每个需要限制的菜单项添加"--users"参数。不过对于大多数场景，更简单的做法是直接让所有启动项都需要密码，或者只保护恢复模式。Ubuntu的恢复模式菜单项由"/etc/grub.d/10_linux"生成，可以通过在该文件中找到"recovery"相关的部分，添加"--users admin"参数来单独限制恢复模式的访问。

除了直接编辑GRUB脚本文件，还有一种更简洁的方法，尤其适合只需要简单密码保护的场景。直接在"/etc/default/grub"文件中添加以下行：

GRUB_TIMEOUT=5
GRUB_PASSWORD=grub.pbkdf2.sha512.10000.xxxxxxxxxxxxxxxxxxxx

这种方式的缺点是只能设置密码，不能自定义超级用户名，且对菜单项的访问控制粒度较粗。对于需要更精细控制的场景，还是推荐使用前面编辑"00_header"文件的方法。两种方式可以共存，但要注意避免配置冲突。

无论使用哪种配置方式，修改完成后都必须重新生成GRUB主配置文件才能生效。执行以下命令：

sudo update-grub

这个命令会读取"/etc/default/grub"和"/etc/grub.d/"目录下的所有脚本，重新生成"/boot/grub/grub.cfg"文件。执行过程中如果出现语法错误，命令会报错并指出问题所在，此时需要回头检查配置文件是否正确。更新成功后，可以检查生成的"grub.cfg"文件中是否包含了密码相关的配置：

sudo grep -A 5 "password_pbkdf2" /boot/grub/grub.cfg

如果能看到刚才设置的超级用户名和密码哈希值，说明配置已经正确写入。

配置完成后不要直接重启，先在当前系统中模拟验证。虽然无法完全模拟启动过程，但可以检查GRUB配置文件的结构是否正确。确认无误后重启系统，在GRUB菜单出现时进行测试：按"e"键尝试编辑启动项，系统应该会提示输入用户名和密码。输入正确的超级用户名和密码后才能进入编辑界面。同样，尝试进入恢复模式或直接进入GRUB命令行，都应该被要求认证。如果任何一步能够跳过认证直接进入，说明配置有遗漏，需要重新检查。

在启用了UEFI安全启动的系统中，GRUB的配置可能会受到额外限制。安全启动要求引导加载程序经过签名，修改GRUB配置通常不会影响安全启动状态，因为配置文件本身不在签名验证范围内。但如果你需要从GRUB命令行执行某些操作，安全启动可能会阻止加载未签名的内核模块。这不是GRUB密码保护本身的问题，而是安全启动机制的正常行为。如果你的系统使用安全启动且一切运行正常，设置GRUB密码不会破坏这个状态。如果遇到启动问题，可以暂时禁用安全启动进行排查，但生产环境中建议保持安全启动开启，并确保所有内核和模块都已正确签名。

GRUB密码保护的是操作系统层面的启动参数篡改，但攻击者如果能够进入BIOS或UEFI设置，仍然可以通过修改启动顺序、从外部介质启动等方式绕过整个GRUB。因此，对于安全要求较高的环境，还应该设置BIOS/UEFI的管理员密码，并禁用从USB、光驱等外部设备的启动选项。同时启用硬盘加密如LUKS可以进一步防止攻击者直接读取磁盘数据。GRUB密码、BIOS密码和磁盘加密三者结合，才能构成相对完整的物理安全防护体系。单独依赖其中任何一项都存在被绕过的可能。

设置密码后最怕的就是自己忘记密码。GRUB密码遗忘后，无法通过常规方式进入系统，但并非无解。需要使用Ubuntu安装盘或Live USB启动，进入试用环境后挂载原系统的根分区，然后chroot进入原系统环境，修改或删除GRUB密码配置后重新运行"update-grub"。具体步骤：用Live系统启动后，挂载原系统分区到"/mnt"，如果"/boot"有独立分区也需要挂载，然后执行"chroot /mnt"进入原系统，编辑"/et/grub.d/00_header"或"/et/default/grub"移除密码相关配置，运行"update-grub"后退出重启。这个过程本身也说明了物理访问的强大能力，因此保护物理访问权限才是根本。

在批量部署服务器的场景中，手动逐台设置GRUB密码效率低下且容易出错。可以通过配置管理工具如Ansible、Puppet或SaltStack来实现自动化。以Ansible为例，可以编写playbook自动生成密码哈希并写入配置文件，然后调用"update-grub"。密码哈希的生成可以在控制节点上完成，然后将哈希值作为变量传递给目标主机。对于不同服务器使用不同密码的需求，可以通过inventory变量或外部密码管理系统来实现。自动化脚本中要注意密码哈希字符串中的特殊字符转义问题，避免在传输过程中被错误解析。

对于云服务器和虚拟机，物理访问的概念变成了通过云控制台或虚拟化管理界面访问。主流云服务商提供的控制台通常允许用户直接看到启动过程并发送键盘输入，这意味着GRUB菜单同样可以被操作。在云环境中设置GRUB密码同样重要，但需要注意的是，如果忘记密码，云环境下的恢复过程会比物理机更复杂，可能需要挂载救援系统或联系云服务商支持。虚拟机环境如KVM、VMware中，管理平台通常提供虚拟控制台访问，GRUB密码保护同样适用。容器环境由于共享宿主机内核，不存在独立的GRUB启动过程，因此不适用本文讨论的方法。

在许多安全标准和合规框架中，如PCI DSS、等保、ISO 27001等，都要求对系统启动过程进行保护，防止未授权的修改。设置GRUB密码是满足这些要求的具体技术措施之一。在进行安全审计时，审计人员通常会检查GRUB配置文件是否设置了密码保护，以及密码强度是否满足策略要求。因此，除了设置密码本身，还应保留配置变更记录，将GRUB密码管理纳入整体的配置管理和变更管理流程中。定期检查密码哈希是否仍然有效，以及是否有未授权的配置修改，也是安全运维的一部分。