虚拟机忘记密码这种事，做过运维或者搞过实验环境的人多少都遇到过几次。尤其是手头一堆测试用的虚机，隔几个月再开机，密码早不知道扔哪去了。网上搜“虚拟机密码破解”，出来的教程五花八门，但大部分只告诉你按几个键、敲几条命令，根本不解释为什么能成，也不告诉你哪些情况会翻车。这篇文章我就把虚拟机密码恢复这件事彻底讲透，从原理到实操细节再到恢复之后的隐患处理，一次性说明白。
先说清楚一件事：这篇文章聊的“破解”，严格限定在三个合法场景——自己创建的虚拟机忘了密码、公司/学校资产经授权后的密码重置、以及在实验环境里做安全测试。只要不是这三种情况，请直接关闭页面，那属于违法行为，不在讨论范围内。
1. 虚拟机密码恢复和物理机到底差在哪：虚拟化层带来的特殊操作空间
很多人会问，虚拟机忘了密码，直接像物理机那样重装系统或者找张PE盘进去改不就行了？理论上思路一样，但虚拟机有一个物理机不具备的巨大优势：你能直接操作它的底层虚拟硬件，甚至绕过操作系统本身的很多限制。这才是虚拟机密码恢复比物理机简单得多的根本原因。
1.1 密码存储的本质：虚拟机系统和物理机没什么不同
首先要有个基础认知：虚拟机里的操作系统，不管你是用系统工具还是第三方工具做的镜像，它内部的Windows、Linux同样是把密码哈希存在本地文件里的。Linux系看/etc/shadow，Windows系看C:\Windows\System32\config\SAM。密码不是明文存储，而是经过哈希处理后的密文。你做密码恢复，本质上只有两条路：
- 找到哈希值，然后暴力破解或字典破解，这就是所谓的“破解”；
- 直接绕过登录验证，把密码重置成一个新值，这就是“恢复”。
在绝大多数忘记密码的场景里，第二条路才是正路。暴力破解一个复杂的未知密码，耗时可能以年计算，完全没意义。虚拟化层给你提供的，恰恰就是第二条路的几条快捷通道。
1.2 为什么虚拟机厂商工具和快照是天然的“后门”
物理机你只能面对一块硬盘，而虚拟机有vmx配置文件、虚拟磁盘文件（.vmdk/.vhd/.qcow2），还有快照机制。这意味着你可以做很多物理机上做不到的操作：
- 把虚拟磁盘挂载到宿主机上，像读U盘一样直接读写里面的文件；
- 用快照回滚到密码还没改之前的状态；
- 临时添加第二块硬盘、挂载PE镜像、修改启动顺序——这些都是虚拟化管理工具的原生功能。
也就是说，虚拟机密码恢复的核心逻辑，不是去“正面突破”加密算法，而是绕到操作系统背后，修改它用来验证密码的文件。后面讲的所有方案，本质上都围绕这一条思路展开。
1.3 恢复前必须先做的三件事：备份、备份、再备份
这是我最想强调的一点。很多教程看都不看你一眼，直接教你改启动参数、挂载磁盘，结果一不小心把用户数据搞没了，哭都来不及。我现在养成了一个习惯，不管目标是哪台虚拟机，动它之前先花几分钟做两件事：
- 对虚拟机做一次快照，至少保证能回滚到初始状态；
- 如果虚拟磁盘里可能有重要数据，先把整个磁盘文件复制一份到另一个存储位置。
快照不是万能的，但它能让你在改坏了系统文件之后，一键回到还能开机的状态。复制磁盘文件是纯物理层面的保险，即使快照链本身出了问题也不怕。数据无价，这几分钟永远值得花。
2. Linux系虚拟机密码恢复：单用户模式与chroot重置全流程
Linux系操作系统的虚拟机，密码恢复方案最成熟，成功率也最高。核心原因在于Linux的启动流程和应急机制设计得比较开放。下面我会按不同的登录管理器和系统版本，给出具体操作和原理分析。
2.1 原理基础：initrd、grub和单用户模式是怎么工作的
要知道怎么改，先得知道启动时发生了什么。Linux虚拟机开机后，BIOS/UEFI引导GRUB，GRUB加载内核和initrd（initial RAM disk，初始内存盘），然后内核挂载真正的根文件系统。在GRUB界面，你可以传递内核参数，其中三个最核心的：
single或S：进入单用户模式，不启动完整的图形界面和网络服务，直接给你一个root shell；init=/bin/bash：让内核启动后直接运行bash，相当于跳过init系统的所有服务启动逻辑；rd.break：RHEL/CentOS系特有，在切换到真实根文件系统前中断，进入一个紧急shell。
这三个参数都是合法的系统管理和故障恢复手段，不是漏洞，而是设计好的应急通道。只是在默认配置下，有些系统的GRUB菜单会隐藏，你需要手动干预。
2.2 最通用的单用户模式重置步骤（基于GRUB2）
如果你用的是Ubuntu、Debian、CentOS 7/8这类常见的GRUB2引导系统，操作流程如下：
- 开机后进入GRUB菜单（一般需要快速按
Shift或Esc，不同系统按键可能不同，耐心多试几次）； - 在启动项上按
e进入编辑模式； - 找到
linux或linux16开头的那一行，行尾追加single或init=/bin/bash； - 按
Ctrl+X或F10启动，系统会进入单用户模式或bash环境； - 在shell里执行
mount -o remount,rw /，把根文件系统重新挂载为可写状态； - 执行
passwd root（或passwd 指定用户名）重置密码； - 执行
exec /sbin/init或reboot重启系统。
这里最关键的坑有两个。第一个，单用户模式下根文件系统默认可能是只读挂载的，你不执行remount,rw就直接执行passwd，会报错“cannot change password”。第二个，如果系统启用了SELinux（CentOS/RHEL系默认启用），改完密码后最好执行touch /.autorelabel，让系统重启时自动重新标记文件安全上下文，否则可能进不了正常系统。
2.3 systemd时代的新姿势：rd.break与emergency模式
RHEL/CentOS 7及以后的版本，单用户模式已经和以前不太一样了，很多情况下rd.break反而更稳定。操作差异很小：在GRUB编辑界面，同样在linux开头的行尾加rd.break，启动后你会进入一个 shell，但它挂载的是初始内存盘，不是真正的根文件系统。这时候按以下顺序操作：
# 重新挂载根文件系统为可写 mount -o remount,rw /sysroot # 如果根分区本身没被挂载，手动挂载 mount /dev/你的根分区 /sysroot # 用chroot切换到真实系统环境 chroot /sysroot # 重置密码 passwd root # 退出和重启 exit reboot为什么需要chroot？因为rd.break的环境里，根目录指向的是内存盘，你看到的文件系统不是真正的系统盘。chroot可以把当前进程的根目录切换到/sysroot，让你操作真实的系统文件。如果不加 chroot 直接passwd，改的只是内存盘里的影子文件，起不到任何作用。
2.4 系统残留问题的处理经验
做完密码重置，Linux虚拟机大概率能正常启动，但有两个事情我建议顺手做掉。
一个是检查/etc/shadow文件里你有没有留下什么异常记录。正常操作下，passwd命令会正常更新哈希值，不会留下垃圾内容。但如果你手抖改了文件权限，可能导致登录后出现奇怪的问题。
另一个是把GRUB配置文件里你加的临时参数删掉。因为你是按e编辑临时生效的，重启后自动恢复，一般不会残留。但如果你在/etc/default/grub里改了GRUB_CMDLINE_LINUX，记得改回去并执行update-grub或grub2-mkconfig重新生成配置。
3. Windows系虚拟机密码恢复：WinPE镜像与SAM注册表文件实战
Windows虚拟机的密码恢复难度比Linux高一些，但也不是无解。核心思路是利用WinPE启动盘，通过注册表编辑器直接修改SAM文件。操作逻辑简洁，但步骤细节多，一旦做错轻则文件损坏，重则系统崩掉。
3.1 为什么不能像Linux那样“改启动参数直接重置”
Windows的启动机制和Linux完全两套逻辑。Windows的登录验证由winlogon.exe进程负责，它在启动过程中读取SAM数据库，验证用户输入的密码哈希。Windows没有设计“单用户模式”这样的应急通道——即使你以安全模式启动，依然需要密码。而utilman.exe、sethc.exe这类辅助工具虽然有系统权限，但在登录界面也可以被调用，这就为另一条路径留下了空间。
所以Windows密码恢复有两个主流方向：
- 通过WinPE进入系统，直接修改SAM文件；
- 通过WinPE把
utilman.exe或sethc.exe替换成cmd.exe，然后在登录界面唤起命令提示符，执行重置密码的命令。
这两种方法殊途同归，都需要你有一个能启动的WinPE环境。
3.2 准备工作：怎么做一个可用的WinPE启动盘
做WinPE启动盘，最正统的方法是使用 Windows ADK 或 Microsoft 官方的WinPE生成工具。如果你的宿主机就是Windows，并且有一定动手能力，步骤并不复杂：
- 从官网下载Windows评估和部署工具包（ADK），安装时勾选“部署工具”和“Windows 预安装环境”组件；
- 以管理员身份打开“部署和映像工具环境”命令提示符；
- 执行
copype amd64 C:\WinPE_amd64生成WinPE工作目录； - 把生成的
winpe.wim写入U盘或ISO镜像，虚拟机里直接把ISO挂载为光驱启动就行。
如果你不想折腾ADK，也可以从系统安装镜像里提取一个WinPE环境，但新手容易搞错版本和平台，我建议直接按官方流程走一遍。虚拟机平台一般都有“挂载ISO”这个能力，你不需要真的做U盘，只做一个ISO镜像然后挂载上去即可。
3.3 核心操作：用regedit加载SAM文件并重置密码
这是整个恢复流程里最考验耐心的一步。WinPE启动后，打开命令提示符，执行regedit，按以下步骤操作：
- 选中
HKEY_LOCAL_MACHINE节点，点击“文件”菜单里的“加载配置单元”； - 导航到
C:\Windows\System32\config目录（注意这里的盘符可能是D:或E:，取决于WinPE分配的盘符，要通过dir C:\Windows之类的方式确认一下）； - 选中
SAM文件，点击打开； - 系统会提示你输入一个项名称，随便输入一个，比如
SAM_TEMP； - 展开
SAM_TEMP，依次进入SAM_TEMP\SAM\Domains\Account\Users\000003E8（这个数字可能是用户的RID，不同系统可能不同）； - 在右侧找到
F值，直接删除，或双击打开把里面的二进制内容清空； - 卸载配置单元；
- 重启虚拟机，正常进入Windows登录界面，输入任意密码，回车即可进入系统。
这个操作的原理是：F值里存放的是当前用户的密码哈希和验证相关的数据。删掉以后，Windows在验证时找不到有效哈希，就会默认放行。注意，这和把密码清空不是完全一回事，但效果类似。我测试过Win10、Win11和Windows Server 2016/2019，整体都有效。
这里有个很坑的地方：不同Windows版本的SAM文件结构大同小异，但RID对应关系不完全一致。正常管理员账户是000003E8（十进制500），普通用户可能在000003F4之类的位置。如果你不确定哪个是目标用户，可以先加载SYSTEM配置单元，查阅SAM\Domains\Account\Users\Names里各用户名对应的RID，再回头操作。
3.4 备用方案：替换utilman或sethc的命令行通道
SAM文件操作偶尔会碰到权限或者文件占用的问题，这时候可以用替换法。原理很简单：在WinPE里，把C:\Windows\System32\utilman.exe（屏幕键盘）或sethc.exe（粘滞键）用cmd.exe替换，然后正常启动Windows，在登录界面点击对应图标，弹出的就是一个系统权限的命令提示符。在命令提示符里执行：
net user 用户名 新密码或者：
net user 用户名 /add net localgroup administrators 用户名 /add替换操作本身也简单：WinPE里打开命令提示符，先备份原文件，再覆盖：
move C:\Windows\System32\utilman.exe C:\Windows\System32\utilman.exe.bak copy C:\Windows\System32\cmd.exe C:\Windows\System32\utilman.exe不过这个方法在部分新版本Windows上有文件权限校验，需要你先把所有权和权限改掉。实操中我会优先用SAM文件方案，替换法作为Plan B。
4. 恢复完成后不可忽略的三件事：数据一致性、系统完整性和合规留痕
密码是重置成功了，但你如果以为事情到此结束，那就大错特错了。我自己处理过不少虚机，有一半以上的情况是在重置密码之后才出现新问题的。下面这三件事，每次都值得认真对待。
4.1 检查文件系统完整性和应用状态
尤其是在Linux系里做了chroot或者直接改密码哈希之后，系统内部的文件可能在挂载切换过程中出现不一致。建议重启后立即执行：
# 对根分区做一次文件系统检查（需在单用户或维护模式进行） fsck -y /dev/你的根分区Windows则建议重启后运行chkdsk /f，并检查事件查看器里有没有关键错误。很多时候，密码重置本身没出问题，反而是之前虚拟机意外断电、非正常关机留下的隐患被暴露了。
应用层面也要看一眼。如果虚拟机上跑着数据库、Web服务或者有计划任务，重置密码不会影响服务进程，但会影响依赖该用户凭证的自动化任务。比如有个定时备份脚本用的就是旧密码，你改完密码不更新脚本，下次执行必挂。
4.2 判断重置操作是否引发SELinux或Windows安全策略问题
Linux系的SELinux我前面提过了。这里再补充一个很多人忽略的地方：如果你重置的是普通用户密码，而/etc/shadow里该用户的状态标记异常，可能会被某些登录判定为账户异常。最好检查一下：
passwd -S 用户名正常输出应该是P（password set，密码已设置）。如果是L（locked，锁定状态），说明账户被锁了，需要passwd -u 用户名解锁。
Windows系则要注意账户锁定策略和密码策略。有些域环境或本地安全策略会设置“密码必须符合复杂性要求”，你如果设置了一个过于简单的密码，可能在下次登录时就被强制要求修改，或者在离线操作后同步策略时出现异常。
4.3 合规视角：合法操作也建议留痕，但不是让你“销毁痕迹”
这里必须把话说清楚：如果你是合法管理员在恢复自己的系统、或者经授权的测试，我建议你在工作日志里记录这次操作的时间、原因、执行了哪些步骤。这样做一方面便于后续审计，另一方面万一系统出现问题，你能快速定位是不是自己操作引起的。
但如果你听到有人说“改完密码要把日志清掉”，那我要明确提醒：在合法场景下不需要、也不应该这么做。清理日志通常意味着试图掩盖操作痕迹，这在任何组织的安全审计规范里都是大忌。合法操作完全可以光明正大地记录，只有非法行为才需要掩盖。
5. 一组容易被忽略的高级技巧：快照回滚、克隆挂载与数据优先原则
做密码恢复做得多了，你会发现有些时候根本不需要“破解密码”或者“重置密码”就能达成目标。与其费劲还原登录体系，不如换个思路直接拿数据。这组技巧在项目实践里帮我省了很多时间。
5.1 快照回滚：如果只是忘了密码，回滚可能比重置更快
虚拟机管理平台基本都支持快照功能。如果你在虚拟机里设置了某个已知密码的初始状态、做好快照，几个月后忘了密码，直接在管理器里回滚到那个快照就行。这个操作十秒钟完成，比重置密码快三个数量级。
但快照回滚有代价：回滚点之后对系统做的所有更改都会丢失。如果虚拟机里装了一套生产数据库，你回滚的时间点越早，数据丢失越严重。所以它的适用场景是“系统刚装完、还没产生需要保留的数据”的实验机，而不是跑了一阵子的业务虚机。
另一种更精细的做法是：在磁盘层面只读挂载虚拟磁盘文件，提取里面的数据，而不修改原系统。比如把一台不开机的虚机磁盘挂载到另一台正常系统上，或者用guestmount（libguestfs工具集）以只读方式直接访问.qcow2文件。这样你不需要知道系统密码，就能拷贝出用户目录、数据库备份、配置文件等一切明文数据。数据拿到手之后，虚拟机的密码要不要重置，可以再从长计议。
5.2 挂载虚拟磁盘文件：用宿主机当“救援系统”
如果连WinPE都不想准备，还有一条更暴力的路：直接用宿主机的工具挂载虚拟磁盘。以KVM/QEMU环境为例，可以用guestmount或virt-rescue：
# 只读方式挂载虚拟机的系统盘 guestmount -a /var/lib/libvirt/images/你的虚拟机.qcow2 -m /dev/你的分区 --ro /mnt/guest # 挂载后直接检查shadow或SAM文件 cat /mnt/guest/etc/shadow这里要提醒一个误区：很多教程教你在宿主机上直接编辑客户机的/etc/shadow，然后保存回去。理论上可行，但前提是你必须清楚客户机引导方式、分区类型、文件系统是否是LVM等复杂结构，否则很容易把文件写坏。我只建议这种操作在确认无需保留原文件结构时使用，或者用来做数据提取，而不是修改系统文件。
5.3 数据优先原则：什么时候不应该去做密码恢复
说了这么多方案，最后想分享一个项目里总结出来的经验法则：密码恢复优先处理数据，而不要优先处理系统。任何时候，虚拟机的价值都在里面运行的东西，而不是操作系统本身。
如果你判断某台机器已经无法正常启动、或者重置密码的代价（时间、风险）高于重建系统的代价，那就直接放弃系统，挂载磁盘把数据拷出来，然后新建一台虚机、逐步迁移环境。这比在坏半边的系统上花几个小时做外科手术式修复，要稳妥得多。我见过不少同行花费大量时间修一台本可以直接重建的机器，最后数据救回来一半，系统还是不稳定，两头受罪。
我的习惯是：先回答三个问题——这台机器的数据是否有备份？能否接受系统重建？密码重置后应用配置是否需要重新调整？三个问题答案都清晰之后，再决定走哪条路。
6. 最后再分享一个实用小技巧：用“带外管理”手段减少密码恢复频率
操作经验说完了，最后聊一个预防性的话题。虚拟机密码频繁遗忘的根源，往往是密码管理混乱。我自己的做法很简单，但也确实有效：
一是所有内部实验环境的虚拟机，统一用一个密码管理工具记录，并按项目分组，不使用过于复杂的密码，同时开启宿主机层面的强认证。这样即使虚拟机密码丢失，也有迹可循、不会卡住工作。
二是在新建虚机时顺手做一次快照，并且在模板里预置一个带自动恢复功能的用户账号。很多虚拟化平台支持“自定义规范”，你可以在模板阶段指定初始管理员密码，后续克隆出来的机器即使修改了密码，只要模板没变，就还能找回初始状态。
三是如果条件允许，优先配置平台的“控制台取回密码”类原生能力。一些商业虚拟化或云平台本身就提供重置系统初始密码的功能，虽然实现原理还是类似SAM/影子文件修改，但由厂商封装好、出错率更低。
密码恢复本质上是在应急通道里操作，操作得再熟练也不如让它永远不发生。把预防手段做好，比掌握十种破解技巧更实际。当然，万一真碰上忘密码的情况，你至少要能判断出该走Linux的GRUB路线、Windows的SAM路线，还是直接数据挂载路线——这三条路你心里有数了，基本就不会慌了。
