在Ubuntu系统中，如果你没有对GRUB引导程序设置密码保护，任何人只要能物理接触到你的机器，就可以在启动时按e键进入单用户模式（恢复模式），直接以root权限获得系统完全控制权，绕过所有用户密码和文件系统加密。解决这个问题的核心方案是：给GRUB设置密码保护，同时配合全盘加密（LUKS）和BIOS/UEFI安全启动，形成多层防护体系。下面我会从原理到实操，一步一步把这件事讲透。

为什么单用户模式是一个巨大的安全漏洞

Ubuntu默认安装时，GRUB引导菜单是完全开放的。任何人在开机时按住Shift键或者ESC键，就能看到GRUB菜单，然后选择"Advanced options for Ubuntu"进入恢复模式。在恢复模式下，系统会自动以root身份挂载文件系统并给你一个root shell。这意味着攻击者不需要知道任何密码，就能直接读取你的文件、修改系统配置、植入后门、甚至重置所有用户密码。对于服务器环境、存放敏感数据的工作站来说，这是一个致命的物理安全漏洞。

GRUB密码保护的具体配置方法

Ubuntu使用GRUB2作为引导程序，配置文件位于/etc/grub.d/目录下。设置GRUB密码需要两步：先生成加密密码哈希，再写入GRUB配置文件。

第一步，生成GRUB密码哈希。打开终端执行以下命令：

grub-mkpasswd-pbkdf2

系统会提示你输入密码并确认，然后输出一串类似grub.pbkdf2.sha512.10000.xxxxx的哈希值。把这串哈希值复制下来，这就是你的GRUB密码。

第二步，编辑GRUB自定义配置文件。创建或编辑/etc/grub.d/40_custom文件：

sudo nano /etc/grub.d/40_custom

在文件末尾添加以下内容（替换为你自己生成的哈希值）：

set superusers="root"
password_pbkdf2 root grub.pbkdf2.sha512.10000.你的哈希值在这里

保存退出后，执行以下命令更新GRUB配置：

sudo update-grub

这样设置后，当你在GRUB菜单中按e键试图编辑启动项时，系统会要求输入用户名root和你设置的密码。没有密码就无法修改任何启动参数，也无法进入单用户模式。

进一步限制：禁止所有人编辑GRUB菜单项

仅仅设置密码还不够，因为默认情况下GRUB菜单仍然可以被浏览。如果你想彻底禁止非授权用户进入任何启动选项，可以在/etc/default/grub中修改以下参数：

GRUB_TIMEOUT=0
GRUB_TIMEOUT_STYLE=hidden
GRUB_HIDDEN_TIMEOUT=0

这会让GRUB菜单完全隐藏，开机直接进入默认系统。只有在启动时按住Shift键才会显示菜单，而显示菜单后又需要密码才能编辑。双重门槛大幅提高了攻击难度。

全盘加密（LUKS）是第二道防线

GRUB密码保护解决的是"引导阶段"的安全问题，但如果攻击者拆下硬盘挂载到另一台机器上呢？这就需要全盘加密来兜底。Ubuntu安装时可以选择"加密Ubuntu安装"，系统会使用LUKS（Linux Unified Key Setup）对整个磁盘进行加密。每次开机时，在GRUB加载内核之前，系统会要求输入磁盘解密密码。

LUKS加密使用AES-256等强加密算法，即使硬盘被物理取走，没有密码也无法读取任何数据。需要注意的是，如果你在安装系统时没有选择加密，后续补救可以使用以下工具：

sudo apt install cryptsetup
sudo cryptsetup luksFormat /dev/sdX

但后续加密操作比较复杂，涉及数据迁移和重新分区，建议在全新安装时就开启全盘加密。

BIOS和UEFI层面的安全加固

操作系统层面的防护再好，如果BIOS/UEFI固件没有设置密码，攻击者仍然可以通过修改启动顺序从U盘启动，绕过你的GRUB密码。因此必须在BIOS/UEFI中做以下设置：

1. 设置BIOS管理员密码，防止他人进入BIOS设置界面；

2. 禁用USB启动和网络启动（PXE Boot），只允许从硬盘启动；

3. 开启Secure Boot（安全启动），确保只有经过签名的引导程序才能运行；

4. 如果主板支持，开启TPM（可信平台模块）并配合LUKS使用，实现自动密封（sealing）功能，让磁盘加密密钥绑定到特定硬件状态。

GRUB配置文件本身也需要保护

很多人忽略了一个细节：GRUB的配置文件/boot/grub/grub.cfg是明文生成的，而且普通用户也能读取。虽然我们在/etc/grub.d/40_custom中设置了密码，但如果攻击者能以root身份登录系统，仍然可以修改这些文件。所以必须确保：

sudo chmod 700 /boot/grub/grub.cfg
sudo chown root:root /boot/grub/grub.cfg

同时，/etc/grub.d/目录下的脚本文件也应该限制权限：

sudo chmod 700 /etc/grub.d/40_custom
sudo chown root:root /etc/grub.d/40_custom

这样即使有人获得了普通用户权限，也无法篡改GRUB配置。

单用户模式入侵的其他变体和应对

除了传统的恢复模式，还有几种绕过方式需要注意。第一种是通过init参数：在GRUB编辑界面添加init=/bin/bash到内核启动参数，可以直接进入bash shell。GRUB密码保护可以阻止这种操作。第二种是通过systemd的紧急模式：如果initramfs损坏，systemd会自动进入紧急模式并给出root shell。这种情况需要确保initramfs的完整性，可以通过设置/boot分区为只读或者使用签名验证来防护。第三种是通过kexec直接加载新内核，这种高级攻击需要内核级别的防护，普通用户遇到的概率极低。

服务器环境的特殊建议

如果你的Ubuntu是作为服务器部署在数据中心或机房，物理安全通常由机柜锁和门禁来保障，但仍然不能掉以轻心。建议在服务器上实施以下策略：将GRUB密码设置为高强度随机密码（至少16位，包含大小写字母、数字和特殊字符），并将密码记录在离线的密码管理器中。同时开启远程管理卡（如IPMI/iDRAC/iLO）的安全认证，防止攻击者通过带外管理接口重启服务器进入单用户模式。对于云服务器，确保云平台的控制台访问有严格的多因素认证。

验证配置是否生效

配置完成后重启系统进行验证。重启时观察GRUB菜单是否正常隐藏，尝试按Shift键显示菜单后，选择某个启动项按e键，系统应该弹出用户名和密码输入提示。如果没有弹出，说明配置有误，需要重新检查/etc/grub.d/40_custom文件的内容和权限。另外可以用以下命令检查GRUB配置中是否包含密码设置：

grep -i password /boot/grub/grub.cfg

如果输出中包含password_pbkdf2字样，说明密码哈希已经正确写入配置文件。

总结：多层防御才是正道

GRUB密码保护是防止单用户模式入侵的第一道也是最关键的一道防线，但它不能单独依赖。真正安全的方案是GRUB密码加全盘LUKS加密加BIOS安全设置加文件权限控制的组合拳。任何单一防护都可能被绕过，只有层层叠加才能让攻击者的成本高到不值得尝试。对于个人用户，做好GRUB密码和全盘加密就足够了；对于企业和服务器环境，必须把物理安全、固件安全、系统安全全部纳入考量。安全不是一个功能，而是一个持续的过程。