【学了就忘Linux启动引导与修复】— 4.grub加密

上篇文章说了，系统在开机的时候，有一个5秒的读秒时间，方便你进入到 grub 界面中。如下图：

此时我们按下Enter键，就可以进入到 grub 界面中。如下图：

在选择框的正下方可以看到有几行提示：

可以看到提示，按e键就能编辑 grub 配置文件中的启动选项内容。

按e键，如下图：

提示再按e键可直接修改内容。

而grub加密，就是在图2的状态时，需要先输入我们设定的密码，才能按e键编辑系统启动参数。也就是说给grub设置一个密码， 避免像上边那样直接进入grub，并编辑其中的系统启动参数。

[root@localhost ~ ] # grub-md5-crypt

Pas sword：

Retype pas sword：

生成MD5加密密码字符串

Y84LB1$8tMY2PibScmu0Cc8z8U351

一定在 timeout 属性之后，在 splashimage 属性之前，添加 password 选项，一定是这个顺序，放在其他位置不生效。如下：

重启系统后，我们发现进入到 grub 界面中，下面的提示，原来的e键变成了p键。

我们再按e键都是没有反应的，按p键就会让你输入密码，不输入密码你就不能编辑grub的配置文件。如下图：

输入后按Enter键，才进入到可编辑的 grub 界面中，e键提示又出来了。如下图：

当你在图4的时候，就算你不知道密码，直接按Enter键，系统是可以直接启动的。所以说grub加密是对grub配置文件的编译进行了加密，而不是对系统的启动进行加密。

如果我想启动CentOS系统时，既需要grub的整体加密，又需要系统启动时输入正确的grub加密密码，才能正常启动。那应该怎么做呢？

很简单，方法如下：在grub的 /boot/grub/grub.conf 配置文件中，在title字段中加入lock，代表锁死，如果不输入正确的grub密码，系统是不能启动的。如下图：

lock这个属性千万不要添加，如果添加了lock属性在grub的配置文件中，当你在图4的时候，直接按Enter键，是不能直接进入系统的，会报错，如下图：

提示错误32，按任意键继续，就又回来了。

在系统启动的时候，进入到grub启动引导，此时系统还没有启动完成，网卡是还没加载生效，所以远程终端是连接不上服务器的，这时候就只能拿键盘做本地输入。但现在我们的服务器一般都放在机房或者远端，你会十分的不方便。所以坚决不能用lock锁定grub的配置文件。

linux登录密码并不是grub加密的这么简单，你需要用单用户登录到命令行模式，然后清空密码文件才可以，具体命令我也忘了，登录到单用户实在grub下按e，编辑grub语句在，kernel那行加后一个-single后启动

（1）title前

首先能进入系统，修改/etc/grub.conf，在title前加“password XXXX”。再次启动就需要按p输入grub密码。

（2）title后

同理，修改grub.conf在title后加password ，这样启动时会输入密码，连续按三次e容易在grub菜单暴露密码。用grub-md5-crypt加密后会产生密文，复制加密字符串到grub.conf中root（hd0,0）下，写入“password --md5 密文”。

给grub加密码分两种

设置加密的密码（密文） 用grub命令生成密码的密文 ，输入密码之后就会生成该密码的密文

#grub-crypt --md5

Password:123

Retypepassword: 123

$1$K5VbYDgm$n./HW30DDkTt5rzAIOHBe/

grub.conf里面配置 加下面一行 就可以了，启动的时候进入grub菜单需要按p输入密码才能修改

password--md5 $1$47mDgrVd$ICuZyXfD0ooo/Jy0AMxFL0

不同的加密方式，$1头部都会不一样

设置未加密的密码（明文）

grub.conf里面配置 加下面一行

password=123456》

请参考《Linux就该这么学》入门教程。

---