必须用rd.break或init=/bin/bash之一：rhel系（centos/rocky等）优先rd.break，需mount -o remount,rw /sysroot→chroot /sysroot→passwd root→touch /.autorelabel；ubuntu/debian等用init=/bin/bash，改ro为rw后直接mount -o remount,rw /→passwd root→exec /sbin/init。

必须有物理或控制台访问权限，远程 SSH 无法操作；重置成功与否，关键取决于你用的是 rd.break 还是 init=/bin/bash —— 两者挂载行为、SELinux 处理、命令路径完全不同，混用必失败。

确认你的发行版和启动方式再选参数

现代 RHEL 系列（CentOS 7/8、Rocky、Alma、Fedora、openEuler）默认使用 dracut + systemd，应优先用 rd.break；Ubuntu、Debian、Kali、Arch 等通用性更强的系统，init=/bin/bash 更稳。

• rd.break：内核参数行末尾加，同时删掉 ro，换成 rw rd.break；进入后根文件系统在 /sysroot 下，只读，需先 mount -o remount,rw /sysroot 再 chroot /sysroot
• init=/bin/bash：在 linux16 或 linux 行末尾加，同时把 ro 改成 rw；进入后直接就是真实根目录，/ 已可写，无需 chroot
• 别在 Ubuntu 的 ro quiet splash $vt_handoff 后只加 init=/bin/bash 而不改 ro → 会卡在只读挂载，passwd 报错 Authentication token manipulation error

挂载和密码修改必须按顺序执行

顺序错一步，passwd 就写不进 /etc/shadow。尤其注意 chroot 前后环境差异：

linux-sysadmin

Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...

下载

• 用 rd.break 时：mount -o remount,rw /sysroot → chroot /sysroot → passwd root（或仅 passwd）
• 用 init=/bin/bash 时：mount -o remount,rw / → passwd root（不能漏 root，否则改的是当前 shell 用户，不是 root）
• 输入密码时屏幕无任何回显，是正常行为；若输完直接报错，大概率是挂载没成功，用 mount | grep -E "(sysroot|/)$" 确认是否含 rw

SELinux 开启时必须 touch /.autorelabel

CentOS/Rocky/Fedora 默认启用 SELinux，重置密码后不打标签，下次启动可能卡在 SELinux relabel 阶段，或直接进 emergency mode。

• 无论你用哪种方法，只要系统原本开启 SELinux（getenforce 返回 Enforcing），就必须执行 touch /.autorelabel
• 这个文件必须建在真实根目录下：rd.break 下要在 chroot /sysroot 后执行；init=/bin/bash 下直接在 / 下执行
• 别写成 touch /autorelabel 或 touch .autorelabel —— 少了 / 或点号，无效

重启命令别用 reboot -f 或 shutdown

在救援 shell 里强行断电或用 reboot -f 会跳过 SELinux relabel，导致下次启动失败。

• rd.break 流程：执行 exit 两次（一次出 chroot，一次出 initramfs），系统自动继续启动并触发 /.autorelabel
• init=/bin/bash 流程：执行 exec /sbin/init（推荐）或 exec /sbin/reboot；reboot -f 会绕过 systemd，不读 /.autorelabel
• 看到 Relabeling filesystems... 字样滚动，说明 relabel 正在进行，此时等待 2–5 分钟，别强制关机