CentOS系统中忘记grub引导密码是常见的系统管理问题，尤其是在多用户环境或安全加固后。如果你无法进入grub菜单或无法修改启动项，可以按照以下步骤直接恢复或重置grub密码。核心方法是通过进入单用户模式或使用救援模式绕过身份验证，然后重新设置grub密码或直接编辑grub配置文件。
一、进入单用户模式重置grub密码
首先重启CentOS系统，在grub引导菜单出现时，快速按下键盘上的'e'键进入编辑模式。在出现的配置界面中，找到以"linux16"或"linux"开头的行，这行包含了内核启动参数。在该行末尾添加"init=/bin/bash"或直接修改"ro"为"rw init=/sysroot/bin/sh"，这能让你以root权限进入bash shell而不需要密码。修改完成后，按Ctrl+X或F10启动系统，你会直接进入一个无需密码的root shell环境。
二、在单用户模式下修改grub配置
进入单用户模式后，你需要重新挂载文件系统为可写状态。执行命令"mount -o remount,rw /"来重新挂载根目录。然后使用"chroot /sysroot"切换到原始系统环境（如果使用救援模式则需要此步骤）。接着，使用grub2-mkpasswd-pbkdf2命令生成新的grub密码哈希值。在终端输入该命令后，按提示输入你想要设置的新密码，系统会生成一个加密的密码字符串。
grub2-mkpasswd-pbkdf2 输入密码： 重复密码： PBKDF2 hash of your password is grub.pbkdf2.sha512.10000.长字符串
复制生成的完整哈希字符串（以grub.pbkdf2.sha512开头），然后编辑grub配置文件。使用vi或nano编辑器打开/etc/grub.d/00_header文件，在文件末尾添加以下内容：
cat << EOF set superusers="root" password_pbkdf2 root grub.pbkdf2.sha512.10000.刚才复制的哈希字符串 EOF
保存文件后，需要重新生成grub.cfg配置文件。执行命令"grub2-mkconfig -o /boot/grub2/grub.cfg"来应用新的密码设置。最后重启系统，测试新的grub密码是否生效。
三、使用救援模式恢复grub密码
如果单用户模式无法进入，可以使用CentOS安装光盘或USB启动盘进入救援模式。从安装介质启动后，选择"Troubleshooting"选项，然后进入"Rescue a CentOS system"。系统会提示你挂载现有的CentOS安装，选择"Continue"并执行"chroot /mnt/sysimage"切换到原系统环境。此时你可以像在正常系统中一样操作，按照上述步骤重新生成grub密码并更新配置文件。
四、彻底移除grub密码的方法
在某些情况下，你可能希望完全移除grub密码保护。这可以通过直接编辑grub配置文件实现。首先按照上述方法进入单用户模式或救援模式，然后编辑/etc/grub.d/00_header文件，删除或注释掉所有包含"password_pbkdf2"和"set superusers"的行。保存文件后，执行"grub2-mkconfig -o /boot/grub2/grub.cfg"重新生成引导配置。重启后grub菜单将不再需要密码。但请注意，这会降低系统安全性，特别是在可物理访问服务器的环境中。
五、grub密码安全最佳实践
从安全角度考虑，建议使用强密码并定期更换。grub密码应至少包含12个字符，混合大小写字母、数字和特殊符号。避免使用常见词汇或容易猜到的密码。在生成密码哈希时，可以使用更复杂的算法，虽然grub2默认使用PBKDF2 with SHA-512，但可以通过调整迭代次数增加安全性（尽管需要修改源码重新编译grub）。另外，建议将grub配置文件权限设置为600，防止非授权读取：
chmod 600 /etc/grub.d/* chmod 600 /boot/grub2/grub.cfg
对于生产服务器，除了设置grub密码外，还应考虑BIOS/UEFI密码、全盘加密和物理安全措施，形成多层次的安全防护体系。
六、常见问题与故障排除
如果在恢复过程中遇到"Authentication failure"错误，可能是密码哈希格式不正确。确保复制完整的PBKDF2哈希字符串，包括"grub.pbkdf2.sha512.10000."前缀。如果grub菜单无法显示，可能是配置文件生成错误，可以尝试从备份恢复或重新安装grub2包。执行"yum reinstall grub2-common grub2-pc"可以重新安装grub组件，然后重新配置。
另一个常见问题是系统使用UEFI启动而非传统BIOS，这时grub配置文件路径可能不同。UEFI系统通常将配置文件存放在/boot/efi/EFI/centos/目录下。在更新配置时需要使用正确的路径："grub2-mkconfig -o /boot/efi/EFI/centos/grub.cfg"。确认系统启动方式可以使用命令"ls /sys/firmware/efi"，如果目录存在则为UEFI启动。
七、自动化密码管理方案
对于需要管理多台CentOS服务器的环境，可以编写脚本自动化grub密码设置和更新。创建一个包含密码生成和配置更新的脚本，通过Ansible、SaltStack等配置管理工具批量部署。但务必确保密码存储和传输的安全性，建议使用加密的保管库存储密码哈希。以下是一个基本的自动化脚本示例：
#!/bin/bash
# 自动设置grub密码脚本
NEW_PASSWORD=$1
GRUB_HASH=$(echo -e "$NEW_PASSWORD\n$NEW_PASSWORD" | grub2-mkpasswd-pbkdf2 | grep 'grub.pbkdf2' | awk '{print $7}')
echo "set superusers=\"root\"" >> /etc/grub.d/00_header
echo "password_pbkdf2 root $GRUB_HASH" >> /etc/grub.d/00_header
grub2-mkconfig -o /boot/grub2/grub.cfg
echo "Grub密码已更新"使用此脚本需要谨慎，建议在测试环境验证后再在生产环境部署。同时，应定期审计grub配置，确保安全策略得到正确实施。
八、与其他安全措施的集成
grub密码恢复后，应考虑整体系统安全加固。检查SELinux状态是否启用，确保没有因密码恢复操作导致安全上下文错误。执行"sestatus"查看SELinux状态，如果发现问题可以使用"fixfiles -F restore"修复。同时更新系统所有软件包，修补已知漏洞："yum update -y"。最后，建议配置审计日志，监控对grub配置文件的修改尝试，可以使用auditd工具添加监控规则：
auditctl -w /etc/grub.d/00_header -p wa -k grub_config auditctl -w /boot/grub2/grub.cfg -p wa -k grub_config
这些日志可以帮助追踪未经授权的配置更改，为安全事件调查提供依据。通过综合运用这些方法，你不仅能成功恢复grub密码，还能构建更健壮的系统安全体系。
