在Linux系统中，root用户具有最高权限，其账户安全直接关系到整个系统的稳定性和数据安全。因此，大多数Linux发行版（如CentOS、Ubuntu等）都提供了密码输错锁定策略，以防止暴力破解攻击。但在一些情况下，root用户遭遇过多的密码输入错误后可能被锁定，尤其当旧密码验证失败时，需要正确的处理方法。
本文将详细介绍Linux系统密码输入错误的锁定策略，并逐层剖析在旧密码失效的情况下如何恢复系统访问，从而帮助管理员在提升安全的同时更高效地解决问题。
1. Linux系统密码锁定策略简介
Linux 使用 PAM（Pluggable Authentication Modules，可插拔认证模块）框架来定义认证策略。典型的场景中，系统会设置对账户的登录尝试限制，当密码输入错误超过指定次数时，用户账户可能会临时或永久锁定。
1.1 PAM 模块的相关配置
管理密码锁定策略的核心文件是 /etc/pam.d/common-auth（Debian/Ubuntu系统）或 /etc/pam.d/system-auth（CentOS/RHEL系统）。PAM 提供了 pam_tally2 和 pam_faillock 两种常用模块来记录登录失败次数并锁定用户。
1.2 常见锁定策略配置
以下是典型的锁定策略配置示例：
auth required pam_faillock.so preauth audit silent deny=5 unlock_time=900
auth [success=1 default=bad] pam_unix.so
auth [default=die] pam_faillock.so authfail audit deny=5 unlock_time=900
account required pam_faillock.so
参数解释：
- **deny=5：**允许的最大密码输入错误次数。
- **unlock_time=900：**账户锁定后解锁所需时间（秒）。
- **audit：**记录失败的日志信息。
- **silent：**隐藏具体错误原因。
1.3 查询失败记录
可以通过以下命令检查用户失败的登录尝试计数：
pam_tally2 --user=root
或者在使用 pam_faillock 时，通过以下命令查看失败记录：
faillock --user=root
2. 密码锁定后如何处理
当root用户遭遇密码输错被锁定后，管理员需要采取以下方法解锁账户。
2.1 使用 pam_tally2 解锁
如果系统使用的是 pam_tally2 模块，可以通过以下命令解锁 root 用户：
pam_tally2 --user=root --reset
此命令会重置 root 用户的登录计数，从而解除锁定。
2.2 使用 faillock 解锁
如果采用的是 pam_faillock 模块，可以使用以下命令解除锁定：
faillock --user=root --reset
2.3 登录单用户模式
如果以上方法无效或未生效，可以通过以下步骤进入单用户模式强制修改 root 用户密码：
mount -o remount,rw /
passwd
exec /sbin/init
- 步骤 1： 重启系统后，在 GRUB 菜单界面按下
e键。 - 步骤 2： 找到
linux开头的行，在行尾加入init=/bin/bash。 - 步骤 3： 按下
Ctrl+x或F10启动系统，进入单用户模式。 - **步骤 4：**重新挂载文件系统为可写模式：
- **步骤 5：**重置 root 密码：
- **步骤 6：**重新启动系统：
2.4 编辑配置文件禁用锁定策略
在多次发生账户锁定问题时，可以暂时禁用 PAM 锁定策略，修改文件 /etc/pam.d/system-auth 或 /etc/security/faillock.conf，注释掉相关配置。
3. 旧密码失效的解决办法
在密码更新或策略调整后，有时旧密码可能无法生效，导致对账户的访问受限。以下是应对办法：
3.1 检查密码更新记录
可以检查 /var/log/secure 或 /var/log/auth.log 中的日志，确认密码是否已经更新并成功应用：
cat /var/log/secure | grep passwd
3.2 使用紧急密码恢复模式
通过单用户模式重置密码（参考2.3中的步骤），输入新密码后确保其符合密码策略（如包含数字、大写字母和特殊字符的组合）。
3.3 检查策略冲突
某些强制策略会导致旧密码失效，例如密码记忆限制（remember 参数）会阻止复用旧密码。修改 /etc/security/pwquality.conf 中的配置：
remember=0
3.4 重启登录管理服务
部分修改需重启相关服务生效：
sudo systemctl restart sshd
总结
在 Linux 系统中，密码输错锁定策略是保护 root 用户账户安全的重要手段。通过 PAM 模块，如 pam_tally2 和 pam_faillock，可以有效防止暴力破解和多次错误输入。但当系统管理员遇到旧密码失效或用户账户被锁定时，需采取适当的方法进行处理。
本文详细介绍了密码锁定策略的原理，并提供了解锁方案、单用户模式操作方法以及旧密码失效的应对之道。通过实践本文的建议，您可以更好地管理 Linux 系统的账户安全，同时在必要时快速恢复系统的正常访问。