如何使用LiveCD重置Linux用户密码？

Question

如何使用LiveCD重置Linux用户密码时，遇到“/etc/shadow权限拒绝”错误？ 在使用LiveCD挂载原系统根分区后，尝试修改/etc/shadow以重置用户密码时，常出现“Permission denied”错误。即使已挂载文件系统为可读写（rw），因原系统的SELinux上下文或文件属性（如immutable标志）未正确保留，可能导致无法写入。此外，若未以root权限操作或挂载路径错误，也会引发此问题。需确认使用sudo执行命令、正确挂载分区，并在必要时临时关闭SELinux或使用chattr命令清除特殊属性，方可成功重置密码。

Answer 1

如何使用LiveCD重置Linux用户密码时遇到“/etc/shadow权限拒绝”错误？

1. 问题背景与常见现象

在系统管理员无法登录目标Linux主机（如忘记root密码）时，使用LiveCD进行密码重置是标准操作之一。通常流程为：从LiveCD启动 → 挂载原系统的根分区 → chroot进入原系统环境 → 使用passwd命令修改用户密码。

然而，在执行过程中常出现如下错误：

vim /etc/shadow
    Permission denied

即使已确认文件系统以读写模式挂载（rw），仍无法写入/etc/shadow，导致密码重置失败。

2. 常见原因分析

• 未以真正的root身份运行命令（缺少sudo或su）
• 目标分区未正确挂载或挂载点路径错误
• 文件系统存在只读属性（如immutable标志）
• SELinux上下文不匹配，阻止写操作
• 挂载时未启用设备节点支持（noexec、nodev等选项限制）
• LVM或加密卷未正确激活和解密
• 文件系统损坏或处于只读恢复状态

3. 解决方案分步详解

1. 确认当前权限级别：确保在LiveCD环境中以root身份操作。

   sudo su -

2. 识别并挂载原系统根分区：

   fdisk -l
               mount /dev/sda2 /mnt

   注意替换/dev/sda2为实际的根分区设备。
3. 检查挂载选项是否包含rw：

   mount | grep /mnt

   若显示ro，则重新挂载：

   mount -o remount,rw /dev/sda2 /mnt

4. 处理SELinux上下文问题： 在某些发行版（如RHEL/CentOS/Fedora）中，SELinux会阻止跨环境写入敏感文件。临时禁用：

   echo 0 > /sys/fs/selinux/enforce

   或者更安全地，在chroot前挂载SELinux伪文件系统：

   mount -t selinuxfs none /mnt/sys/fs/selinux

5. 清除文件特殊属性： 检查/etc/shadow是否有immutable属性：

   lsattr /mnt/etc/shadow

   若输出含'i'标志，则清除：

   chattr -i /mnt/etc/shadow

6. 使用chroot进入原系统环境：

   for i in /dev /dev/pts /proc /sys /run; do mount -B $i /mnt$i; done
               chroot /mnt

   此步骤可避免直接编辑shadow文件带来的风险。
7. 执行密码重置：

   passwd username

   系统将提示输入新密码并更新/etc/shadow。

4. 高级场景与注意事项

场景	解决方案
LVM逻辑卷未激活	vgscan && vgchange -ay
LUKS加密卷	cryptsetup open /dev/sda3 crypt_root，然后挂载/dev/mapper/crypt_root
UEFI + GPT分区结构	需额外挂载EFI系统分区（FAT32）及/boot（若独立）
Docker或容器影响	确保宿主机文件系统未被容器守护进程锁定
ext4日志异常	使用e2fsck -f /dev/sda2修复文件系统
NFS或网络存储	LiveCD环境下无法访问远程存储，需本地化处理
AppArmor干扰	Ubuntu系需考虑AppArmor策略：aa-disable /usr/sbin/chroot
systemd服务依赖	chroot后建议运行systemctl daemon-reexec初始化
多内核版本共存	确认initramfs中包含必要驱动模块
审计日志需求	记录所有操作用于合规性审查

5. 自动化诊断流程图

graph TD
    A[启动LiveCD] --> B{是否获取root权限?}
    B -- 否 --> C[执行 sudo su -]
    B -- 是 --> D[列出磁盘分区 fdisk -l]
    D --> E[挂载根分区到/mnt]
    E --> F{挂载成功且为rw?}
    F -- 否 --> G[remount,rw 或检查LVM/LUKS]
    F -- 是 --> H[检查 /etc/shadow 属性]
    H --> I{存在immutable标志?}
    I -- 是 --> J[chattr -i /mnt/etc/shadow]
    I -- 否 --> K[检查SELinux状态]
    K --> L{SELinux启用?}
    L -- 是 --> M[临时禁用或挂载selinuxfs]
    L -- 否 --> N[准备chroot环境]
    N --> O[挂载 /proc /sys /dev 等]
    O --> P[chroot /mnt]
    P --> Q[执行 passwd 用户名]
    Q --> R[退出chroot, 重启系统]
    

6. 安全与最佳实践建议

尽管LiveCD提供强大的系统维护能力，但其也带来安全风险。物理访问即等同于系统控制权，因此应：

• 在BIOS/UEFI中禁用外部设备启动（如USB、CD-ROM）
• 对敏感系统启用全盘加密（LUKS）
• 定期备份/etc/passwd、/etc/shadow、/etc/group
• 使用强密码策略和PAM模块增强认证安全性
• 审计lastlog和auth.log追踪异常登录尝试
• 部署TPM+Secure Boot防止未经授权的系统修改
• 在虚拟化环境中限制ISO挂载权限
• 对运维人员实施最小权限原则和操作审批流程