物理安全是服务器安全的基石，但很多人忽略了一个致命细节：任何人只要能接触到你的服务器主机，插入显示器键盘，在启动时进入GRUB引导菜单，通过编辑内核启动参数，只需加上“single”或“init=/bin/bash”这几个字符，就能在几秒内获得root权限。这种操作不需要任何密码，完全绕过操作系统层面的所有安全防护。解决这个问题的直接方法，就是给GRUB设置密码，把这道门从“虚掩”变成“上锁”。
GRUB密码保护的工作原理GRUB引导加载程序在操作系统内核加载之前运行。正常情况下，任何人都可以在服务器启动时按“e”键编辑引导项，或按“c”键进入GRUB命令行模式。一旦进入编辑模式，攻击者可以修改内核参数，添加“single”进入单用户维护模式，或者用“init=/bin/bash”直接启动一个root shell。这两种方式都会绕过登录验证，直接获得root权限。设置GRUB密码后，任何试图编辑引导项或进入命令行模式的操作，都必须先输入正确的用户名和密码。这就从引导层面切断了未授权访问的路径。
生成加密密码哈希值GRUB支持明文密码和加密密码两种形式。明文密码直接写在配置文件中，任何有读取权限的人都能看到，这等于把密码写在门牌上。正确的做法是使用GRUB自带的工具生成PBKDF2加密哈希值。在已安装GRUB的Ubuntu系统中，执行以下命令：
grub-mkpasswd-pbkdf2
系统会提示你输入密码并确认，然后输出一段以“grub.pbkdf2.sha512”开头的哈希字符串。这段字符串看起来类似：
grub.pbkdf2.sha512.10000.8F3C7A8B9D0E1F2A3B4C5D6E7F8A9B0C1D2E3F4A5B6C7D8E9F0A1B2C3D4E5F6A7B8C9D0E1F2A3B4C5D6E7F8A9B0C1D2E3F4A5B6C7D8E9F0A1B2.ABCDEF1234567890ABCDEF1234567890ABCDEF1234567890ABCDEF1234567890
务必完整复制这整段哈希值，包括开头的“grub.pbkdf2”部分。这个哈希值包含了加密算法、迭代次数、盐值和哈希结果，即使有人拿到这个字符串，也无法反向推导出原始密码。
配置超级用户和密码Ubuntu系统中，GRUB的配置文件主要位于/etc/grub.d/目录下，最终生成的引导配置是/boot/grub/grub.cfg。直接编辑grub.cfg不是好习惯，因为每次运行update-grub命令都会覆盖这个文件。正确的做法是在/etc/grub.d/目录下创建一个自定义配置文件，或者修改/etc/default/grub文件。
推荐的方法是在/etc/grub.d/目录下创建一个优先级较高的自定义脚本。创建文件/etc/grub.d/01_password：
#!/bin/sh cat <这里的“admin”是超级用户名，可以自定义为任何你想要的用户名。后面那串哈希值替换成你刚才生成的实际哈希。保存文件后，赋予执行权限：
chmod +x /etc/grub.d/01_password针对特定引导项设置权限设置了超级用户后，默认情况下所有引导项都需要密码才能启动。这在某些场景下可能过于严格，比如你希望服务器重启后能自动启动默认内核，只在有人试图编辑引导项时才要求密码。GRUB支持对特定引导项设置不同的权限控制。
编辑/etc/grub.d/10_linux文件，找到生成引导项的部分，在menuentry行之前添加--unrestricted参数，可以让该引导项无需密码即可启动，但编辑仍需密码。更精细的控制可以在/etc/default/grub中添加全局变量：
GRUB_DEFAULT=0 GRUB_TIMEOUT_STYLE=hidden GRUB_TIMEOUT=5 GRUB_DISTRIBUTOR=`lsb_release -i -s 2> /dev/null || echo Debian` GRUB_CMDLINE_LINUX_DEFAULT="quiet splash" GRUB_CMDLINE_LINUX=""关键参数是GRUB_TIMEOUT_STYLE设置为hidden，配合GRUB_TIMEOUT设置一个较短的超时时间，比如3到5秒。这样服务器正常启动时不会显示GRUB菜单，只有按下Shift或Esc键才会显示。结合密码保护，即使有人按出了菜单，想编辑引导项也必须输入密码。
限制GRUB命令行访问GRUB命令行模式是一个极其强大的工具，可以加载模块、读取文件系统、甚至直接读取/etc/shadow文件的内容。设置超级用户密码后，命令行模式的访问也会受到保护。但还有一个细节需要注意：即使设置了密码，如果攻击者能物理接触到机器，仍然可以通过Live USB或拆卸硬盘的方式读取数据。GRUB密码保护的是通过GRUB引导流程的未授权访问，不替代磁盘加密。对于极高安全要求的场景，应该结合LUKS全盘加密使用。
验证命令行保护是否生效，可以在设置完成后重启服务器，在GRUB菜单出现时按“c”键尝试进入命令行。系统应该提示输入用户名和密码，输入正确的超级用户凭据后才能进入。
保护恢复模式和旧内核Ubuntu默认会保留多个内核版本，每个内核版本都有对应的恢复模式引导项。恢复模式本质上就是预设了特殊参数的引导项，进入后可以直接获得root shell。这些引导项同样需要密码保护。在/etc/grub.d/10_linux脚本中，恢复模式的引导项通常由GRUB_DISABLE_RECOVERY变量控制。在/etc/default/grub中添加：
GRUB_DISABLE_RECOVERY="true"这行配置会完全隐藏恢复模式引导项。如果你需要保留恢复模式用于紧急维护，就不要添加这行，而是依赖超级用户密码来保护所有引导项。权衡利弊，对于生产环境的服务器，建议禁用恢复模式，因为真正需要紧急维护时，你完全可以用其他方式恢复系统，而恢复模式留下的入口风险大于便利性。
更新配置并测试所有配置修改完成后，执行以下命令重新生成GRUB配置文件：
update-grub这个命令会读取/etc/default/grub和/etc/grub.d/目录下的所有脚本，重新生成/boot/grub/grub.cfg。生成完成后，可以用grep命令快速检查密码配置是否已写入：
grep -A2 "superusers" /boot/grub/grub.cfg应该能看到你设置的超级用户名和password_pbkdf2行。确认无误后，务必立即重启服务器进行实际测试。在启动过程中按Shift键调出GRUB菜单，尝试按“e”编辑引导项，系统应该弹出认证提示。输入错误密码确认被拒绝，输入正确密码确认可以编辑。这个测试环节不能跳过，因为一旦配置有误导致无法引导，后续修复会相当麻烦。
远程管理场景的注意事项对于托管在数据中心或云平台的服务器，物理访问通常由机房运维人员控制，但GRUB密码保护仍然有意义。首先，机房内部人员理论上可以接触到物理服务器，虽然有机房管理制度，但技术防护永远比制度防护更可靠。其次，某些云平台提供虚拟控制台功能，允许用户通过Web界面看到服务器的启动过程并发送键盘输入，这等同于物理访问。如果你的云服务商提供这种功能，GRUB密码保护就是必要的。
远程管理场景下有一个现实问题：如果服务器内核升级后出现问题需要回滚到旧内核，你需要通过GRUB菜单选择引导项。这时就需要远程控制台配合GRUB密码来完成操作。建议在设置密码的同时，保持GRUB_TIMEOUT不要设为0，给远程操作留出反应时间。3到5秒的超时时间既能满足安全需求，又不至于让远程操作变得不可能。
UEFI与BIOS固件层面的补充防护GRUB密码保护的是引导加载程序层面，但在它之前还有固件层面。对于使用UEFI固件的现代服务器，还应该设置UEFI固件密码，防止有人修改引导顺序或从外部介质引导。UEFI密码在服务器主板设置中配置，不同厂商的界面不同，但原理一致：进入固件设置界面，找到安全选项，设置管理员密码。设置后，任何试图进入固件设置或修改引导顺序的操作都需要输入密码。
同时，在UEFI设置中将硬盘设为第一引导设备，禁用USB引导和光驱引导，或者将它们排在硬盘之后。这样即使有人插入Live USB，服务器也不会自动从USB引导，除非进入固件设置修改引导顺序，而修改引导顺序又需要固件密码。GRUB密码和UEFI密码形成两层防护，覆盖了从固件到操作系统的完整引导链。
密码管理策略GRUB密码和UEFI密码是基础设施层面的凭据，使用频率低但重要性极高。这类密码容易被遗忘，而遗忘的后果很严重——你可能在紧急情况下无法进入恢复模式修复系统。建议将这些密码存储在安全的地方，比如公司级的密码管理系统中，或者至少记录在加密的离线存储介质里。密码本身应该足够复杂，但也要考虑在远程控制台输入时的可操作性，避免使用难以通过键盘输入的字符。
定期更换GRUB密码是好的安全实践，但更换频率不必像用户账户密码那样高。每次更换时，重新运行grub-mkpasswd-pbkdf2生成新的哈希值，更新/etc/grub.d/01_password文件，再次执行update-grub。更换过程本身很简单，关键是要在更换后立即测试，确保新密码有效。
常见错误排查设置GRUB密码后可能遇到的问题包括：配置文件语法错误导致GRUB无法解析、忘记密码无法编辑引导项、update-grub执行失败等。如果update-grub执行失败，检查/etc/grub.d/01_password文件的语法，确保cat命令和EOF之间的内容格式正确，没有多余的空格或换行。如果重启后GRUB直接进入救援模式，说明grub.cfg文件损坏，需要用Live介质引导后挂载硬盘分区，手动修复配置文件。
忘记密码的情况虽然棘手，但并非无解。只要还能物理接触服务器，就可以用Live USB引导，挂载硬盘的/boot分区和根分区，然后手动编辑或删除grub.cfg中的密码相关行，或者直接chroot进入系统重新运行grub-mkpasswd-pbkdf2生成新密码。这个过程需要一定的Linux操作经验，但至少说明GRUB密码保护确实起到了作用——它让未授权访问变得困难，而授权管理员仍有办法恢复。
综合来看，GRUB密码保护是服务器安全防线中投入产出比极高的一项措施。配置过程只需几分钟，却能有效阻断通过单用户模式入侵的路径。对于任何承载重要数据或服务的Ubuntu服务器，无论是物理机还是虚拟机，都应该启用这项保护。它不消耗系统资源，不影响正常使用体验，只在有人试图绕过正常引导流程时才发挥作用。这种默默守护的安全措施，恰恰是构建纵深防御体系不可或缺的一环。
