آموزش ریست پسورد فراموش‌شده root در CentOS 7

مقدمه

کاربر root بالاترین سطح دسترسی را در سیستم‌عامل‌های لینوکسی مانند CentOS دارد. اگر رمز عبور root را فراموش کنید و کاربر دیگری با دسترسی sudo نیز در اختیار نداشته باشید، امکان تغییر معمولی پسورد وجود نخواهد داشت.

در CentOS 7 می‌توان با استفاده از GRUB 2 فرآیند Boot را موقتاً متوقف کرد، فایل‌سیستم اصلی را با دسترسی Write در اختیار گرفت و سپس رمز عبور root را تغییر داد.

در این مقاله، نحوه ریست کردن پسورد فراموش‌شده root در CentOS 7 را به‌صورت مرحله‌به‌مرحله بررسی می‌کنیم.

نکته: CentOS Linux 7 از تاریخ 30 ژوئن 2024 به پایان عمر یا EOL رسیده و دیگر به‌روزرسانی امنیتی عادی دریافت نمی‌کند. برای سرورهای Production بهتر است برنامه مهاجرت به سیستم‌عامل پشتیبانی‌شده‌ای مانند AlmaLinux، Rocky Linux یا نسخه مناسب RHEL داشته باشید.

پیش‌نیازها

برای انجام این عملیات به موارد زیر نیاز دارید:

• دسترسی به Console سرور
• امکان Restart یا Reboot سرور
• دسترسی به منوی GRUB
• دسترسی فیزیکی، KVM، VNC یا Console پنل VPS
• سیستم‌عامل CentOS 7

این روش از طریق SSH قابل انجام نیست، زیرا برای تغییر پارامترهای Boot باید قبل از بالا آمدن سیستم‌عامل به Console دسترسی داشته باشید.

اگر هنوز یک کاربر sudo دارید

اگر پسورد root را فراموش کرده‌اید اما همچنان کاربری با دسترسی sudo دارید، نیازی به استفاده از GRUB نیست.

دستور زیر را اجرا کنید:

sudo passwd root

پسورد جدید را دو بار وارد کنید.

نمونه:

New password:
Retype new password:
passwd: all authentication tokens updated successfully.

در این حالت عملیات تمام شده است.

روش ریست پسورد root با GRUB

اگر هیچ حساب دیگری با دسترسی Administrator ندارید، باید از GRUB استفاده کنید.

مراحل اصلی عبارت‌اند از:

Reboot Server
      ↓
GRUB Menu
      ↓
Edit Boot Parameters
      ↓
rd.break
      ↓
Remount /sysroot
      ↓
chroot
      ↓
passwd root
      ↓
SELinux Relabel
      ↓
Reboot

مرحله اول؛ باز کردن Console سرور

ابتدا وارد Console سرور شوید.

در VPS معمولاً گزینه‌ای با یکی از نام‌های زیر وجود دارد:

Console
VNC Console
KVM Console
Web Console
Serial Console

استفاده از Console ضروری است، زیرا در طول عملیات شبکه و SSH در دسترس نخواهند بود.

مرحله دوم؛ Restart کردن CentOS

سرور را Restart کنید.

اگر هنوز به Shell دسترسی دارید:

reboot

یا:

systemctl reboot

اگر دسترسی ندارید، از گزینه Restart یا Reboot در پنل VPS استفاده کنید.

مرحله سوم؛ ورود به GRUB

هنگام Boot شدن سرور صفحه GRUB 2 نمایش داده می‌شود.

معمولاً گزینه‌ای مشابه زیر خواهید دید:

CentOS Linux (3.10.0-1160.el7.x86_64) 7 (Core)

روی Kernel موردنظر قرار بگیرید و کلید:

e

را فشار دهید.

این کلید وارد بخش ویرایش Boot Parameters می‌شود. Red Hat نیز همین روش را برای Reset Password از طریق rd.break در RHEL 7 مستند کرده است.

اگر صفحه GRUB خیلی سریع رد می‌شود

در بعضی VPSها صفحه GRUB فقط برای چند ثانیه نمایش داده می‌شود.

در این حالت:

1. سرور را دوباره Restart کنید.
2. بلافاصله Console را فعال نگه دارید.
3. هنگام مشاهده GRUB کلید e را فشار دهید.

ممکن است نیاز باشد چند بار این کار را تکرار کنید.

مرحله چهارم؛ پیدا کردن خط linux16

پس از فشردن e چند خط مربوط به Boot مشاهده می‌کنید.

خطی را پیدا کنید که با:

linux16

شروع می‌شود.

برای مثال:

linux16 /vmlinuz-3.10.0-1160.el7.x86_64 root=/dev/mapper/centos-root ro ...

در سیستم‌های UEFI ممکن است به‌جای آن:

linuxefi

نمایش داده شود.

مرحله پنجم؛ اضافه کردن rd.break

به انتهای خط linux16 بروید.

پارامترهای:

rhgb quiet

را می‌توانید حذف کنید تا پیام‌های Boot قابل مشاهده باشند.

سپس در انتهای همان خط اضافه کنید:

rd.break enforcing=0

بنابراین انتهای خط می‌تواند مشابه زیر باشد:

... rd.break enforcing=0

پارامتر rd.break باعث می‌شود فرآیند Boot قبل از انتقال کنترل از initramfs به سیستم اصلی متوقف شود. enforcing=0 نیز SELinux را موقتاً در حالت غیر Enforcing قرار می‌دهد.

مرحله ششم؛ Boot با تنظیمات جدید

بعد از اعمال تغییرات کلیدهای زیر را فشار دهید:

Ctrl + X

سیستم با پارامترهای موقت جدید Boot خواهد شد.

بعد از چند لحظه باید Prompt مشابه زیر مشاهده کنید:

switch_root:/#

بررسی فایل‌سیستم Root

در این مرحله Root File System اصلی CentOS معمولاً در مسیر:

/sysroot

Mount شده است.

اما به‌صورت پیش‌فرض:

Read Only

است.

یعنی هنوز نمی‌توانید Password را تغییر دهید.

مرحله هفتم؛ Mount کردن فایل‌سیستم به‌صورت Read/Write

دستور زیر را اجرا کنید:

mount -o remount,rw /sysroot

این دستور فایل‌سیستم اصلی را با دسترسی نوشتن مجدد Mount می‌کند.

این مرحله ضروری است؛ زیرا passwd باید بتواند فایل‌هایی مانند /etc/shadow را تغییر دهد.

ورود به محیط اصلی CentOS

اکنون باید Root Environment را از محیط Initramfs به سیستم اصلی تغییر دهیم.

دستور:

chroot /sysroot

بعد از اجرای دستور Prompt معمولاً به شکل زیر تغییر می‌کند:

sh-4.2#

حالا دستورات شما در محیط فایل‌سیستم اصلی CentOS اجرا می‌شوند.

مرحله هشتم؛ تغییر پسورد root

برای تغییر Password کاربر root دستور زیر را اجرا کنید:

passwd root

یا به‌سادگی:

passwd

پسورد جدید را وارد کنید:

New password:

سپس دوباره آن را وارد کنید:

Retype new password:

در صورت موفق بودن عملیات پیام مشابه زیر نمایش داده می‌شود:

passwd: all authentication tokens updated successfully.

انتخاب پسورد مناسب

برای حساب root بهتر است از Password قوی استفاده کنید.

پسورد مناسب باید ترکیبی از موارد زیر باشد:

• حروف بزرگ
• حروف کوچک
• اعداد
• کاراکترهای خاص
• طول کافی

از Passwordهای ساده مانند:

123456
password
admin123
root123

استفاده نکنید.

بررسی تغییر پسورد

اطلاعات Password کاربران Linux در فایل:

/etc/shadow

ذخیره می‌شود.

برای مشاهده رکورد root:

grep '^root:' /etc/shadow

نمونه:

root:$6$xxxxxxxxxxxx:...

نباید Hash پسورد را تغییر یا ویرایش دستی کنید.

مرحله نهم؛ مدیریت SELinux

بعد از تغییر /etc/shadow باید مسئله SELinux را در نظر بگیریم.

دو روش اصلی وجود دارد.

روش اول؛ اجرای SELinux Relabel کامل

روش ساده و مطمئن این است که دستور زیر را اجرا کنید:

touch /.autorelabel

وجود این فایل باعث می‌شود CentOS در Boot بعدی Security Context فایل‌ها را دوباره بررسی و اصلاح کند.

Red Hat این روش را برای Reset Password مستند کرده است.

نکته: SELinux Relabel روی سرورهایی با حجم بالای اطلاعات ممکن است زمان‌بر باشد.

چرا /.autorelabel مهم است؟

دستور passwd فایل:

/etc/shadow

را تغییر می‌دهد.

هنگامی که Password در محیط chroot و Rescue تغییر می‌کند، ممکن است SELinux Context فایل با وضعیت مورد انتظار مطابقت نداشته باشد.

دستور:

touch /.autorelabel

باعث می‌شود در Boot بعدی فایل‌سیستم Relabel شود.

روش دوم؛ استفاده از enforcing=0 بدون Relabel کامل

اگر هنگام ویرایش GRUB از:

enforcing=0

استفاده کرده‌اید، طبق مستندات RHEL 7 می‌توان از Relabel کامل صرف‌نظر کرد و بعد از Boot شدن سیستم Context فایل /etc/shadow را اصلاح کرد.

در این حالت بعد از ورود به سیستم اجرا کنید:

restorecon /etc/shadow

سپس SELinux را دوباره Enforcing کنید:

setenforce 1

و بررسی کنید:

getenforce

خروجی باید:

Enforcing

باشد.

با این حال برای یک راهنمای عمومی و کم‌ریسک‌تر، استفاده از:

touch /.autorelabel

روش ساده‌تری است.

مرحله دهم؛ Mount کردن Root به‌صورت Read Only

قبل از خروج می‌توانید Root File System را دوباره Read Only کنید:

mount -o remount,ro /

این مرحله در روند رسمی RHEL 7 نیز ذکر شده است.

خروج از chroot

اکنون اجرا کنید:

exit

با این دستور از محیط:

chroot

خارج می‌شوید.

Prompt دوباره می‌تواند مشابه زیر باشد:

switch_root:/#

ادامه Boot

دوباره اجرا کنید:

exit

سیستم فرآیند Boot را ادامه می‌دهد.

اگر:

touch /.autorelabel

را اجرا کرده باشید، SELinux شروع به Relabel کردن فایل‌ها می‌کند.

این عملیات بسته به حجم Disk ممکن است مدتی طول بکشد.

پس از پایان Relabel ممکن است سیستم به‌صورت خودکار Restart شود.

ورود با پسورد جدید

پس از بالا آمدن CentOS می‌توانید از Console یا SSH وارد شوید.

برای مثال:

ssh root@SERVER_IP

پسورد جدید را وارد کنید.

بررسی کاربر فعلی

بعد از Login:

whoami

خروجی باید:

root

باشد.

بررسی SELinux

وضعیت SELinux را بررسی کنید:

getenforce

در یک سیستم با SELinux فعال معمولاً باید:

Enforcing

نمایش داده شود.

همچنین:

sestatus

را اجرا کنید.

نمونه:

SELinux status:                 enabled
Current mode:                   enforcing

روش مورد استفاده در مرجع TransIP

مرجع TransIP نیز برای CentOS 7 از ویرایش GRUB استفاده می‌کند.

در برخی نصب‌ها پیشنهاد شده است Boot Parameter به:

rw no_timer_check rd.break enforcing=0

تغییر کند.

در نصب‌های قدیمی‌تر نیز روش:

init=/bin/bash

ذکر شده است. سپس Root File System با:

mount -o remount,rw /

قابل نوشتن شده و Password با:

passwd root

تغییر می‌کند. در نهایت نیز:

touch /.autorelabel

برای SELinux استفاده می‌شود.

در این مقاله روش rd.break را به‌عنوان روش اصلی در نظر گرفتیم، زیرا مستقیماً در مستندات RHEL 7 نیز توضیح داده شده است.

روش جایگزین با init=/bin/bash

در برخی CentOS 7های قدیمی می‌توانید در GRUB مقدار:

rhgb quiet

را با:

init=/bin/bash

جایگزین کنید.

سپس:

Ctrl + X

را فشار دهید.

پس از ورود به Bash:

mount -o remount,rw /

سپس:

passwd root

و:

touch /.autorelabel

در نهایت:

exec /sbin/init

این همان روشی است که در راهنمای TransIP نیز برای برخی نصب‌های CentOS 7 توضیح داده شده است.

تفاوت روش rd.break و init=/bin/bash

دستورات اصلی ریست پسورد

اگر از روش rd.break استفاده کنید، مهم‌ترین دستورات عبارت‌اند از:

mount -o remount,rw /sysroot

chroot /sysroot

passwd root

touch /.autorelabel

mount -o remount,ro /

exit

exit

خطاهای رایج

Authentication token manipulation error

اگر هنگام اجرای:

passwd root

با خطای:

Authentication token manipulation error

مواجه شدید، معمولاً Root File System هنوز Read Only است. Red Hat نیز این خطا را در همین شرایط ذکر می‌کند.

اجرا کنید:

mount -o remount,rw /sysroot

سپس:

chroot /sysroot

و دوباره:

passwd root

را اجرا کنید.

passwd: Permission denied

فایل‌سیستم را بررسی کنید.

ممکن است هنوز Read Only باشد.

اجرا کنید:

mount | grep sysroot

باید گزینه:

rw

را مشاهده کنید.

دستور passwd وجود ندارد

احتمالاً هنوز وارد محیط اصلی سیستم نشده‌اید.

اجرا کنید:

chroot /sysroot

سپس:

passwd root

را دوباره امتحان کنید.

صفحه GRUB نمایش داده نمی‌شود

در VPSها Boot بسیار سریع انجام می‌شود.

سرور را Restart کنید و Console را باز نگه دارید.

کلید:

e

را هنگام ظاهر شدن GRUB فشار دهید.

GRUB پسورد می‌خواهد

ممکن است GRUB Password Protection روی سرور فعال شده باشد.

در این شرایط برای ویرایش Boot Parameters باید Credential مربوط به GRUB را داشته باشید یا از Rescue Environment ارائه‌شده توسط دیتاسنتر استفاده کنید.

بعد از تغییر پسورد Login انجام نمی‌شود

ابتدا SELinux را بررسی کنید.

اگر /.autorelabel ایجاد نشده است، ممکن است Context مربوط به /etc/shadow نیاز به اصلاح داشته باشد.

در Rescue Environment می‌توانید فرآیند را دوباره انجام داده و:

touch /.autorelabel

را اجرا کنید.

سرور هنگام Boot مدت زیادی متوقف شده است

اگر:

touch /.autorelabel

را اجرا کرده‌اید، احتمالاً SELinux در حال Relabel کردن فایل‌سیستم است.

در Diskهای بزرگ این فرآیند ممکن است زمان‌بر باشد.

سرور را در میانه عملیات Force Reboot نکنید.

SSH با root کار نمی‌کند ولی Console کار می‌کند

اگر با Password جدید از Console می‌توانید وارد شوید اما SSH اجازه ورود نمی‌دهد، تنظیمات SSH را بررسی کنید:

grep PermitRootLogin /etc/ssh/sshd_config

ممکن است Root Login از طریق SSH غیرفعال شده باشد.

همچنین بررسی کنید:

grep PasswordAuthentication /etc/ssh/sshd_config

این موضوع جدا از Reset Password است.

بهترین روش‌ها

• قبل از شروع از Console سرور مطمئن شوید.
• در صورت امکان Snapshot یا Backup از VPS تهیه کنید.
• فقط Boot Parameter مربوط به همان Boot را تغییر دهید.
• از تغییر قسمت‌های نامرتبط GRUB خودداری کنید.
• Root File System را قبل از اجرای passwd قابل نوشتن کنید.
• وضعیت SELinux را پس از تغییر Password در نظر بگیرید.
• بعد از Boot وضعیت getenforce را بررسی کنید.
• از Password قوی برای root استفاده کنید.
• در سرورهای Production استفاده مستقیم از root را محدود کنید.
• برای مدیریت روزمره از یک User دارای sudo استفاده کنید.
• CentOS 7 را به دلیل پایان پشتیبانی به سیستم‌عامل جدیدتر مهاجرت دهید.

اشتباهات رایج

• تلاش برای انجام عملیات از طریق SSH
• نداشتن دسترسی Console قبل از Restart
• تغییر Boot Parameter اشتباه
• فراموش کردن mount -o remount,rw
• فراموش کردن chroot /sysroot
• فراموش کردن SELinux Relabel
• Force Reboot هنگام اجرای Relabel
• انتخاب Password ضعیف برای root
• تغییر دستی /etc/shadow
• تصور اینکه Password جدید باعث فعال شدن Root Login در SSH می‌شود
• ادامه استفاده از CentOS 7 در سرویس Production بدون برنامه مهاجرت

چک‌لیست

پس از مطالعه این مقاله باید بتوانید:

• از طریق Console به CentOS 7 دسترسی پیدا کنید.
• وارد GRUB شوید.
• Boot Parameter را ویرایش کنید.
• سیستم را با rd.break اجرا کنید.
• Root File System را به‌صورت Read/Write Mount کنید.
• وارد محیط chroot شوید.
• Password کاربر root را تغییر دهید.
• SELinux Relabel را انجام دهید.
• سیستم را به حالت عادی Boot کنید.
• با Password جدید وارد root شوید.
• خطاهای رایج Reset Password را عیب‌یابی کنید.

مطالعات بیشتر و منابع رسمی

برای مطالعه بیشتر می‌توانید از منابع زیر استفاده کنید:

• TransIP – Resetting your root password in CentOS 7
• Red Hat Enterprise Linux 7 – Changing and Resetting the Root Password
• CentOS Project – CentOS Linux Lifecycle

جمع‌بندی

اگر Password کاربر root در CentOS 7 فراموش شده باشد و هیچ User دیگری با دسترسی sudo در اختیار نداشته باشید، می‌توان از طریق GRUB 2 رمز عبور را بازیابی کرد.

روش اصلی شامل اضافه کردن:

rd.break

به Boot Parameters، Mount کردن /sysroot با دسترسی Write، ورود به محیط اصلی با:

chroot /sysroot

و تغییر Password با:

passwd root

است.

پس از تغییر Password، نباید SELinux را فراموش کرد. استفاده از:

touch /.autorelabel

باعث می‌شود Security Contextهای فایل‌سیستم در Boot بعدی اصلاح شوند.

در نهایت مسیر کلی عملیات به شکل زیر است:

GRUB
  ↓
rd.break
  ↓
mount -o remount,rw /sysroot
  ↓
chroot /sysroot
  ↓
passwd root
  ↓
touch /.autorelabel
  ↓
exit
  ↓
Reboot

پس از Boot شدن سیستم می‌توانید با Password جدید وارد حساب root شوید.

با توجه به اینکه CentOS Linux 7 از 30 ژوئن 2024 به پایان عمر رسیده است، پس از بازیابی دسترسی بهتر است مهاجرت سرور به یک توزیع پشتیبانی‌شده را نیز در برنامه نگهداری سرور قرار دهید.