linux centos grub grub2 加密、清除

今天药忘吃喽~ 2021-08-26 17:22 815阅读 0赞

默认情况下,Linux系统GRUB菜单不需要任何密码就可以进行编辑并修改root密码，如若需要加强系统安全，可将GRUB加密！注：加密的方式有\*\*明文加密\*\*和\*\*MD5加密\*\*两种。

### 加密grub（基于CentOS6.x） ###

1.Linux系统中grub.conf 配置文件可为为GRUB菜单设置密码保护，在/boot/grub/grub.conf 或/etc/grub.conf文件中的title字段上面新增一行。  
A. password –md5 PASSWD（md5方式加密）  
B. password PASSWRD（明文密码加密）  
2.使用md5加密方式加密，md5加密口令的生成命令为grub-md5-crypt 如图：  
![这里写图片描述][70]  
3..复制第2步中红框处内的字符串，打开grub配置文件vim /boot/grub/grub.conf ，添加如下一行，如图：  
![这里写图片描述][70 1]  
4.添加完成后wq保存退出，重启系统reboot，此时再想编辑grub菜单，系统就会提示按p键，验证密码才可以进行编辑。  
![这里写图片描述][70 2]

### 加密grub2（基于CentOS7.x） ###

几乎能接触到物理机的人都能用上面的方法去修改 root 密码，安全性还是有点问题，我们可以通过 grub 菜单加密，进入 grub 时必须输入密码，这样就能避免上述情况发生。

1、 centos 7.0 和 7.1方法如下

1)、执行生成加密密码的命令"grub2-mkpasswd-pbkdf2",两次输入相同密码，PBKDF2 hash of your password is 之后的部分就是加密后的密码

[root@CentOS-04 ~]# grub2-mkpasswd-pbkdf2
    输入口令：
    Reenter password: PBKDF2 hash of your password is grub.pbkdf2.sha512.10000.497F246861691979B9B7A6E3758A865929ED27D121E913DB7CE825BA8051A6F12C8AFA6A1A497BA87AC2AEEF2FDDC293523114CAC53603B78B6BD790EEE802A7.3E1A2876C499CD9F12A8A634C7D4A18B84F8F0AF69BDB4D9C1E859A1861BB01EA5E34BBF65388CED8F4435C50051C61FBB460E489F1D1E4DA41A5B5984E43F1C

2)、编辑 /etc/grub.d/40\_custom 文件，添加内容如下，密码为上面加密之后的密码

set superusers = "root" password_pbkdf2 root grub.pbkdf2.sha512.10000.497F246861691979B9B7A6E3758A865929ED27D121E913DB7CE825BA8051A6F12C8AFA6A1A497BA87AC2AEEF2FDDC293523114CAC53603B78B6BD790EEE802A7.3E1A2876C499CD9F12A8A634C7D4A18B84F8F0AF69BDB4D9C1E859A1861BB01EA5E34BBF65388CED8F4435C50051C61FBB460E489F1D1E4DA41A5B5984E43F1C

文件内容如下

# cat /etc/grub.d/40_custom #!/bin/sh exec tail -n +3 $0
    # This file provides an easy way to add custom menu entries.  Simply type the
    # menu entries you want to add after this comment.  Be careful not to change
    # the 'exec tail' line above.
    set superusers = "root"
    password_pbkdf2 root  grub.pbkdf2.sha512.10000.497F246861691979B9B7A6E3758A865929ED27D121E913DB7CE825BA8051A6F12C8AFA6A1A497BA87AC2AEEF2FDDC293523114CAC53603B78B6BD790EEE802A7.3E1A2876C499CD9F12A8A634C7D4A18B84F8F0AF69BDB4D9C1E859A1861BB01EA5E34BBF65388CED8F4435C50051C61FBB460E489F1D1E4DA41A5B5984E43F1C

3)、然后执行命令"grub2-mkconfig -o /boot/grub2/grub.cfg"重新生成配置文件。

# grub2-mkconfig -o /boot/grub2/grub.cfg
    Generating grub configuration file ...
    Found linux image: /boot/vmlinuz-3.10.0-862.el7.x86_64
    Found initrd image: /boot/initramfs-3.10.0-862.el7.x86_64.img
    Found linux image: /boot/vmlinuz-0-rescue-5cd1608ab306482b8813c487489ccd84
    Found initrd image: /boot/initramfs-0-rescue-5cd1608ab306482b8813c487489ccd84.img done

4)、reboot 重启，进行验证

2、centos 7.2 + 方法如下

从7.2开始，上述用于保护Grub的方法不起作用。在7.2中引入了新的实用程序“ grub2-setpassword ”

1) 执行 grub2-setpassword 命令

# grub2-setpassword Enter password: Confirm password:

如果此时reboot重新启动系统后，并尝试修改引导条目，系统将要求提供凭据。相当于是系统加固，防止进入单用户模式。

2）如果想要启动进入grub时，有账号密码验证，则需要修改 /boot/grub2/grub.cfg 文件 搜索 --unrestricted 关键字 删除

reboot 重启验证，只有当输入正确的用户名和密码时，才能进入 grub 菜单或者修改引导条目。

![20190507111324716.png][]

注：输入密码时无回显，Linux 特征

### 清除grub加密 ###

★GRUB密码忘了怎么办——用光盘救援模式清除GRUB密码  
1，使用安装时的系统镜像，刻录成光盘或U盘启动，在安装界面选择 Rescue installed system 进入救援模式；  
2，根据提示选择语言和键盘；  
3，选择是否配置网卡，选择no；  
4，根据硬盘上的系统提示，表示已经找到并挂载在/mnt/sysimage下，选continue用读写模式加载；  
5，系统提示 chroot /mnt/sysimage 改变磁盘根目录；  
6，选择：shell那一行，输入chroot /mnt/sysimage  
7，然后vi /etc/grub.conf把添加的加密密码的那行删除，然后exit退出，reboot重启即可。  
注：系统重启后会有些提示什么的不用管它，待系统自动重启一次就可正常进入登录界面了。

### 修复grub（未经测试仅供参考） ###

★如果grub被破坏了导致系统无法启动该怎么办？  
1，使用安装时的系统镜像，刻录成光盘或U盘启动，在安装界面选择 Rescue installed system 进入救援模式；  
2，根据提示选择语言和键盘；  
3，选择是否配置网卡，选择no；  
4，根据硬盘上的系统提示已经找到并挂载在/mnt/sysimage下，选continue用读写模式加载；  
5，选择：shell那一行，输入chroot /mnt/sysimage改变磁盘根目录；  
6，fdisk -l /dev/sda 使用fdisk查看分区情况；  
7，grub-install /dev/sda 安装grub引导程序到磁盘/dev/sda的MBR扇区；  
8，exit，reboot重启。

[70]: /images/20210728/02481c78ee0649ee916f1a4e0272e681.png
[70 1]: /images/20210728/2f91a1f5123f4648b56682bb539f5cfb.png
[70 2]: /images/20210728/3ed1ad27f6a04ed08b4450800f631bab.png
[20190507111324716.png]: /images/20210728/873650d6fb924ed6bdf8f18e1db9f546.png