Как сбросить пароль в Linux

Краткое введение

Если вы забыли пароль root или любого другого пользователя в Linux, есть два основных сценария: когда вы можете редактировать параметры загрузки через GRUB и когда вы этого сделать не можете. В этой статье даны пошаговые инструкции для обоих случаев, а также советы, когда метод не сработает, и рекомендации по безопасности.

Важно: эти методы требуют физического или консольного доступа к машине. На серверах в дата-центре без доступа к консоли или при включённом шифровании диска (LUKS) сброс может быть невозможен без дополнительных ключей.

Когда доступен GRUB

Если у вас есть доступ к меню GRUB и вы можете редактировать параметры загрузки, это самый быстрый способ получить корневой доступ.

Шаги:

Выделите запись GRUB для той установки Linux, пароль которой хотите сбросить.
Нажмите e для редактирования записи.
Найдите строку, начинающуюся с linux или kernel (это строка загрузки ядра). В её конце добавьте single или 1 для загрузки в однопользовательский режим.
Если система всё равно запрашивает пароль root — добавьте init=/bin/bash в конец строки ядра и загрузитесь.

GRUB: редактирование параметров загрузки для сброса пароля

Пример редактирования строки ядра в GRUB для сброса пароля

В некоторых дистрибутивах будет отдельный пункт «recovery mode» в меню GRUB. Вы можете выбрать его и затем опцию «root prompt» без ручного редактирования.

После загрузки вы можете оказаться в корневом шелле в режиме только для чтения. В этом случае сначала перемонтируйте корневую файловую систему в режим чтения-записи:

mount -o remount,rw /

Затем выполните команду смены пароля:

passwd <имя_пользователя>

Если нужно сменить root-пароль, используйте passwd root.

После успешной смены пароля выполните:

exec /sbin/init

или просто reboot.

Важно: если система использует SELinux, после изменения пароля иногда требуется принудительная релейбелизация контекстов (см. раздел о проблемах ниже).

Когда GRUB недоступен

Если GRUB защищён паролем или доступ к меню невозможен по другим причинам, используйте Live CD / Live USB.

Шаги (пример с Ubuntu Live):

Загрузитесь с Live CD/USB и выберите “Try Ubuntu without any changes to your computer”.

Экран выбора 'Try Ubuntu' при загрузке с Live CD

Откройте терминал.
Найдите раздел с установленной системой:

sudo fdisk -l

В выводе определите нужный раздел (например, /dev/sda1).

Вывод sudo fdisk -l с таблицей разделов

Создайте точку монтирования и смонтируйте раздел:

sudo mkdir -p /media/linx_part
sudo mount /dev/sda1 /media/linx_part

Монтаж раздела Linux в /media/linx_part

Чтобы chroot работал корректно, привяжите виртуальные файловые системы:

sudo mount --bind /dev /media/linx_part/dev
sudo mount --bind /proc /media/linx_part/proc
sudo mount --bind /sys /media/linx_part/sys
sudo mount --bind /run /media/linx_part/run || true

Выполните chroot в смонтированную систему:

sudo chroot /media/linx_part

Внутри chroot смените пароль:

passwd <имя_пользователя>

Команда passwd для изменения пароля в chroot

Выйдите из chroot, размонтируйте и перезагрузитесь:

exit
sudo umount /media/linx_part/{run,dev,proc,sys} || true
sudo umount /media/linx_part
sudo reboot

Что делать, если раздел зашифрован (LUKS)

Если корневой раздел зашифрован, сначала откройте LUKS-контейнер с помощью cryptsetup luksOpen и смонтируйте уже внутренний раздел. Без ключа/пароля LUKS сброс пароля ОС невозможен.

Частые проблемы и способы их решения

Проблема: «passwd: Authentication token manipulation error» — вероятнее всего файловая система примонтирована в режиме только для чтения. Решение: mount -o remount,rw /.
Проблема: после смены пароля вход по SSH/GUI не работает из‑за SELinux. Решение: создайте файл /.autorelabel в корневой файловой системе перед перезагрузкой или выполните relabel вручную.
Проблема: система с UEFI Secure Boot и защитой прошивки. Решение: потребуется доступ к UEFI/BIOS или отключение защиты прошивки; иногда невозможен без физического вмешательства.
Проблема: сервер без физического доступа и без консоли. Решение: обратитесь в панель управления хостинг-провайдера (Console/Recovery), где обычно доступен виртуальный ISO или консоль.

Проверка успешности (Критерии приёмки)

Удалось войти под учётной записью с новым паролем.
Команда sudo -l (для sudo-пользователя) работает как ожидалось.
Система корректно загружается после перезагрузки без ошибок SELinux (если применимо).

Контрольный список для администратора

Есть физический или консольный доступ к машине.
Определён, смонтирован и распознан корневой раздел.
Выполнена привязка /dev, /proc, /sys для chroot (при использовании Live CD).
После смены пароля выполнена перезагрузка и проверка доступа.
При необходимости — проверка и обновление политик безопасности (sudoers, SSH-ключи).

Альтернативные подходы

Если доступен отдельный rescue-образ на хостинг-панели — используйте его вместо Live CD.
Для виртуальных машин можно монтировать диск на другую VM и изменить файл /etc/shadow напрямую (требует осторожности).
В контролируемой инфраструктуре используйте централизованный механизм восстановления (CMDB/IDaaS).

Краткий словарь

GRUB — загрузчик, который показывает меню загрузки и позволяет редактировать параметры ядра.
chroot — изменение корневой директории процесса, используется для работы с установленной системой из Live-образа.
Live CD/USB — загрузочный носитель с Linux, позволяющий запустить систему без установки.
LUKS — стандарт шифрования блочных устройств в Linux.

Заключение

Сброс пароля в Linux при наличии доступа к GRUB или Live CD — обычно прямолинейная задача: загрузитесь в однопользовательский режим или выполните chroot, смените пароль и перезагрузите систему. Всегда учитывайте безопасность: используйте шифрование диска, защищайте GRUB паролем и контролируйте физический доступ к машинам.

Если у вас есть кейсы восстановления, отличающиеся от описанных, или вы столкнулись с нестандартной проблемой — опишите ситуацию в комментариях; это поможет расширить набор приёмов и обходов.