一、技术背景与适用场景

在Linux系统管理中，忘记root或普通用户密码是常见问题。不同于Windows系统可通过安全模式重置密码，Linux系统需借助外部环境（如Live CD/USB）进行操作。本方案适用于所有主流Linux发行版（Ubuntu、CentOS、Debian等），尤其适合以下场景：

系统管理员遗失root密码
普通用户忘记账户密码且无sudo权限
系统锁定导致无法通过SSH或图形界面登录

二、密码重置核心原理

Linux系统密码存储于/etc/shadow文件，该文件仅允许root用户读取。当忘记密码时，需通过以下步骤绕过权限限制：

使用Live环境启动系统
挂载原系统根分区
通过chroot切换到原系统环境
使用passwd命令修改密码
卸载分区并重启系统

三、详细操作流程

3.1 准备Live启动介质

制作启动盘
下载任意Linux发行版ISO文件（推荐使用轻量级发行版如SystemRescueCd），使用dd命令或图形化工具（如某开源刻录工具）写入USB设备：
```
sudo dd if=linux.iso of=/dev/sdX bs=4M status=progress && sync
```
注：/dev/sdX需替换为实际USB设备名，可通过lsblk命令确认
设置BIOS启动顺序
重启计算机，在启动画面按下对应按键（通常为F2/F12/Del）进入BIOS设置，将USB设备设为第一启动项。

3.2 挂载原系统分区

识别分区结构
启动Live环境后，打开终端执行以下命令查看磁盘分区：

sudo fdisk -l

输出示例：

Device     Boot Start       End   Sectors  Size Id Type
/dev/sda1  *     2048    999423    997376  487M 83 Linux
/dev/sda2       999424 1953525759 1952526336  931G 8e Linux LVM

关键点：需确定根分区（通常为/dev/sda2）和/boot分区（如有）

创建挂载点并挂载

sudo mkdir /mnt/root
sudo mount /dev/sda2 /mnt/root  # 挂载根分区
sudo mount /dev/sda1 /mnt/root/boot  # 如有独立/boot分区

挂载虚拟文件系统
chroot环境需要访问原系统的/dev、/proc、/sys等虚拟文件系统：

sudo mount --bind /dev /mnt/root/dev
sudo mount --bind /proc /mnt/root/proc
sudo mount --bind /sys /mnt/root/sys

3.3 切换chroot环境并修改密码

进入chroot环境
```
sudo chroot /mnt/root /bin/bash
```
成功切换后，命令行提示符将变为root@hostname:/#形式。
修改用户密码
使用passwd命令修改目标用户密码：
```
passwd username  # 替换为实际用户名
```
系统会提示输入新密码并确认，密码复杂度需符合系统策略要求。
可选操作：解锁用户账户
若用户账户被锁定，可执行：
```
usermod -U username
```

3.4 清理与重启

退出chroot环境
```
exit
```

卸载分区

sudo umount /mnt/root/{dev,proc,sys,boot}  # 按实际挂载点调整
sudo umount /mnt/root

重启系统
```
sudo reboot
```
拔出USB设备后，系统将使用新密码启动。

四、安全注意事项

物理安全要求
该方法需直接访问物理机，远程服务器需通过IPMI/iLO等带外管理功能操作。
密码复杂度策略
修改密码时需遵守系统密码策略（如最小长度、特殊字符要求），可通过/etc/login.defs文件查看配置。
审计日志记录
密码修改操作会被记录在/var/log/auth.log（Ubuntu）或/var/log/secure（CentOS）中，管理员应定期审查。
LVM/RAID系统特殊处理
若系统使用LVM或软件RAID，需先激活卷组：
```
sudo vgscan
sudo vgchange -ay
```

五、常见问题解决方案

“chroot: failed to run command ‘/bin/bash’: No such file or directory”错误
原因：原系统与Live环境架构不同（如x86_64与ARM）。解决方案：使用相同架构的Live环境。
“passwd: Authentication token manipulation error”错误
原因：/etc/shadow文件权限异常或磁盘空间不足。解决方案：检查文件权限并清理磁盘空间。
忘记root密码且无其他管理员账户
需通过单用户模式启动，但现代Linux发行版默认禁用该功能，推荐使用Live环境方案。

六、进阶建议

密码管理最佳实践
- 使用密码管理器存储凭据
- 启用SSH密钥认证替代密码登录
- 定期轮换关键账户密码
系统恢复方案
建议提前配置自动备份/etc/shadow文件至安全存储位置，可通过cron任务实现：
```
0 3 * * * root cp /etc/shadow /backup/shadow-$(date +\%Y\%m\%d)
```
云环境特殊处理
对于云服务器，多数云服务商提供控制台密码重置功能，无需手动操作Live环境。但需注意：
- 修改后需同步更新所有相关服务配置
- 检查密钥对绑定情况

通过本方案，系统管理员可在10分钟内完成密码重置操作，同时确保系统安全性和数据完整性。建议将此流程文档化并纳入IT应急预案，提升团队响应效率。

Linux系统账户密码重置全攻略：从Live环境到安全实践