企业官网建设流程全解析

GRUB(Grand Unified Bootloader) 是 Linux 系统最常用的引导加载程序。它不仅负责加载内核，还提供了多系统切换、引导参数修改等功能。

一、 GRUB 的工作原理

由于 BIOS/UEFI 无法直接识别复杂的 Linux 文件系统（如 Ext4, LVM, XFS），GRUB 采用了分阶段引导的设计：

1. Stage 1 (MBR/EFI Part):驻留在硬盘主引导记录或 EFI 分区中。它的唯一任务是找到并加载 Stage 1.5 或 Stage 2。
2. Stage 1.5:包含文件系统驱动程序，使 GRUB 能够读取/boot/grub目录下的内容。
3. Stage 2:加载图形菜单、读取配置文件（grub.cfg），并根据指令将 Linux 内核（vmlinuz）和初始化内存盘（initrd）加载到内存中。

二、 为什么要给 GRUB 加密码？

默认情况下，任何人只要能物理接触到服务器，就可以在开机时通过按e键进入编辑模式，在内核行末尾添加init=/bin/bash或rd.break。这允许攻击者绕过root密码验证，直接获得最高权限的 Shell。

三、 GRUB 安全加固步骤（实战）

我们将实现：允许系统正常启动，但禁止未经授权编辑启动参数。

步骤 1：生成密码哈希值

不要使用明文密码。使用 GRUB 内置工具生成 PBKDF2 加密哈希：

grub-mkpasswd-pbkdf2

输入并确认你的密码，系统会输出一段以grub.pbkdf2.sha512...开头的长字符串。请完整复制这段字符串。

步骤 2：定义管理员用户

编辑自定义配置文件，不要直接修改grub.cfg，因为它是动态生成的。

nano/etc/grub.d/40_custom

在文件末尾添加以下内容：

setsuperusers="admin_user"password_pbkdf2 admin_user[刚才复制的哈希值]

步骤 3：解除正常启动的限制（可选但推荐）

默认情况下，设置superusers后，每次开机都要输密码。如果希望仅在编辑（按 e）时输密码，需要修改 10_linux 脚本：

# 在 --class gnu-linux 后添加 --unrestrictedsed-i's/--class gnu-linux/--class gnu-linux --unrestricted/g'/etc/grub.d/10_linux

步骤 4：更新配置生效

执行命令将修改后的逻辑同步到真正的引导文件：

update-grub

四、 验证与总结

五、 核心命令速查表

• 生成密码:grub-mkpasswd-pbkdf2
• 配置文件路径:/etc/grub.d/(脚本) 和/boot/grub/grub.cfg(最终配置)
• 应用更改:update-grub(Debian/Ubuntu) 或grub2-mkconfig -o /boot/grub2/grub.cfg(CentOS/RHEL)