当你的CentOS服务器启动时，如果有人能物理接触它或通过某些虚拟控制台访问，他们可以轻松进入单用户模式——这是一个无需密码的root shell，相当于把服务器管理员的钥匙直接交给了入侵者。要堵住这个致命的安全漏洞，最有效的方法之一就是为GRUB引导加载器设置密码。具体操作是编辑/etc/grub.d/40_custom文件，使用grub2-mkpasswd-pbkdf2命令生成PBKDF2加密的密码哈希，然后将认证配置集成到GRUB主配置中，最后通过grub2-mkconfig -o /boot/grub2/grub.cfg命令重新生成配置文件并重启系统。这个过程会在GRUB菜单界面添加一层密码保护，任何试图编辑启动参数或进入高级选项（包括单用户模式）的操作都必须先通过密码验证。
为什么单用户模式是CentOS服务器的重大安全隐患？
单用户模式本质上是Linux系统的一个维护状态，它默认以root权限启动一个最小的Shell环境，且不要求任何身份验证。设计初衷是为了系统修复，比如忘记root密码时重置，或文件系统损坏时恢复。但在生产环境中，这成了一个巨大的后门。攻击者只需在服务器启动时，在GRUB菜单界面按下‘e’键编辑启动参数，在linux16行末尾添加single或init=/bin/bash等参数，就能绕过所有安全措施，直接获得完整的系统控制权。这意味着即使你的SSH密钥再复杂、防火墙规则再严密，物理或虚拟控制台的暴露都会让一切形同虚设。特别是对于托管在数据中心或云平台的虚拟机，控制台访问往往可通过管理面板获得，风险更高。
GRUB 2密码保护的工作原理与加密选择
GRUB 2作为现代CentOS系统的默认引导加载器，提供了灵活的密码保护机制。其核心原理是在GRUB的配置文件中嵌入用户凭据（用户名和加密的密码），并指定哪些菜单项或操作需要认证。当用户尝试执行受保护的操作时，GRUB会弹出一个简单的用户名/密码输入框。加密方面，GRUB 2推荐使用PBKDF2（基于密码的密钥派生函数2）算法，这是一种抗暴力破解的强哈希方法，它会对密码进行加盐并多次迭代，生成一个安全的哈希值。与旧版GRUB使用的简单MD5或SHA哈希相比，PBKDF2能有效抵御彩虹表攻击。在配置时，密码哈希是通过系统工具动态生成的，确保不会在配置文件中出现明文密码。
分步详解：为CentOS 7/8配置GRUB引导密码
以下是配置GRUB密码的完整操作流程，请确保你拥有root权限。
第一步：生成PBKDF2加密的密码哈希。打开终端，执行命令：
grub2-mkpasswd-pbkdf2
按提示输入你想要设置的密码，系统会输出类似“grub.pbkdf2.sha512.10000.长串字符”的哈希值。请完整复制这个长字符串。
第二步：编辑GRUB自定义配置文件。使用文本编辑器（如vi或nano）打开文件：
vi /etc/grub.d/40_custom
在文件末尾添加以下内容（将"[hash]"替换为你刚刚复制的整个哈希字符串）：
set superusers="admin" password_pbkdf2 admin grub.pbkdf2.sha512.10000.[hash]
这里，"superusers"定义了超级用户名为“admin”，你可以自定义。"password_pbkdf2"行将用户名与哈希密码绑定。
第三步：设置需要密码保护的操作。默认情况下，设置了超级用户后，所有高级菜单操作都会被锁定。但为了更精细的控制，你可以修改/etc/grub.d/10_linux文件，在每一个菜单项的定义中插入--users ""来允许所有用户启动，或者--unrestricted来允许无密码启动标准选项，但编辑时仍需密码。更常见的做法是，在/etc/grub.d/40_custom中添加针对特定菜单项的保护规则。
第四步：生成新的GRUB配置文件。运行以下命令，将新的配置写入主配置文件：
grub2-mkconfig -o /boot/grub2/grub.cfg
对于使用UEFI引导的系统，路径可能为/boot/efi/EFI/centos/grub.cfg，请根据实际情况调整。
第五步：重启系统以验证配置。执行reboot，当GRUB菜单出现时，尝试按下‘e’键编辑启动参数。此时应该会弹出用户名和密码提示框，只有正确输入“admin”和对应的密码后才能继续。
高级配置与故障排除指南
配置完成后，你可能需要处理一些进阶场景。首先，多用户管理：你可以定义多个用户并分配不同权限。例如，在40_custom中设置多个"password_pbkdf2"行，并在特定菜单项使用"--users user1,user2"来指定哪些用户可以启动该选项。其次，备份与恢复：务必在修改前备份原始配置文件（/boot/grub2/grub.cfg和/etc/grub.d/目录）。如果忘记密码，你需要通过Live CD或救援模式挂载系统分区，然后删除或修改配置文件中的密码行。第三，与内核参数修改的整合：确保密码保护不仅覆盖菜单编辑，也覆盖进入恢复模式等所有特权功能。最后，常见故障：如果重启后密码不生效，检查命令是否执行成功，哈希值是否复制完整，以及配置文件路径是否正确。使用grub2-editenv list可以查看GRUB环境变量。
GRUB密码安全策略的最佳实践
仅仅设置密码还不够，必须将其纳入整体安全策略。第一，密码强度：GRUB密码应与root密码同样强壮，使用长且复杂的短语，并定期更换。第二，物理安全结合：GRUB密码保护的是软件入口，服务器机房或数据中心机柜的物理门禁同样重要。第三，全盘加密（LUKS）的互补：对于极高安全要求，应结合全盘加密。这样即使攻击者移走硬盘，也无法读取数据；而GRUB密码则防止了通过修改启动参数绕过磁盘加密密码提示。第四，文档与交接：将GRUB密码密封保存在安全的密码管理器中，并确保在团队交接时不会遗漏。第五，定期审计：在每次系统重要更新或维护后，重启并测试GRUB密码功能是否正常。
超越GRUB密码：构建纵深防御体系
GRUB密码是服务器安全链条中关键但非唯一的一环。一个健壮的纵深防御体系应包括：BIOS/UEFI固件密码：在GRUB之前再加一道锁，防止从外部设备启动。这是防御GRUB被绕过的有效手段。操作系统级别的加固：使用SELinux（CentOS默认启用）强制访问控制，定期通过OpenSCAP等工具进行安全基线扫描，并最小化安装服务。监控与审计：配置auditd审计规则，监控对/boot/和/etc/grub.d/目录的访问，以及所有重启事件。结合像AIDE这样的文件完整性检查工具，监控关键系统文件的变化。网络隔离：确保管理网络与业务网络分离，限制对服务器IPMI或虚拟控制台的访问来源IP。记住，安全是一个多层次的过程，GRUB密码锁住了单用户模式这扇明显的后门，但真正的安全来自于对所有潜在入口的持续关注和加固。
