统信 UOS 20 Pro 密码锁定救援全记录

约 2552 字大约 9 分钟

UOSLinux密码救援排障

2026-05-14

1. 背景

系统版本：统信 UOS 20 Pro（推测为 1031 或更早版本，内核 5.10 左右）
故障现象：用户登录时密码多次输入错误，触发账户锁定机制，界面提示"密码错误次数过多，请等待 x 分钟后再试"。
已有条件：系统没有其他可用的管理员账户，无法进入桌面；手上没有 UOS 安装 U 盘，只能通过本机 GRUB 进行救援。

2. 最终成功的完整操作步骤

以下步骤在 UOS 20 Pro 上验证通过，前提是你能进入 initramfs 环境。

2.1 进入 initramfs Shell

开机，在 GRUB 启动菜单出现时快速按下 E 键。
找到以 linux 开头的行，做以下修改：
- 确保行内有 rw（若是 ro 则改为 rw）。
- 删除 quiet splash 等干扰参数。
- 在行尾添加一个空格，然后写入 break=premount。
按 Ctrl + X 或 F10 启动。
等待内核输出停止，出现提示符：

(initramfs)

2.2 挂载系统根分区

查看分区列表（可选）：

blkid

找到 TYPE="ext4" 且容量最大的分区，例如 /dev/nvme0n1p3。

创建挂载点并挂载：

mkdir -p /root
mount -t ext4 /dev/nvme0n1p3 /root

注意：NVMe 设备名一定带有 p（如 nvme0n1p3），如果挂载失败可尝试不带 -t ext4 或逐个测试分区。

验证挂载：

ls /root

看到 home、etc、usr 等目录即成功。

2.3 挂载虚拟文件系统并 chroot

mount --bind /dev  /root/dev
mount --bind /proc /root/proc
mount --bind /sys  /root/sys
chroot /root /bin/bash

2.4 重置用户密码

passwd 你的用户名

用户名可通过 ls /home 查看。

2.5 退出并重启

exit
reboot -f

2.6 等待冷却结束，正常登录

重启后回到登录界面，等待界面提示的剩余冷却时间走完（例如 x 分钟），然后使用新密码登录即可。

关于「修改系统时间绕过冷却」的补充说明：网上有不少教程提到在 chroot 中执行 date -s 将系统时间跳到未来来绕过冷却期。理论上锁定基于时间戳比较，时间跳跃确实可以让系统认为冷却已过。但实际操作中该方法不一定生效（可能与硬件时钟同步、NTP 服务等有关），仅作为参考选项。如果尝试，登录后记得立即恢复正确时间。

3. 尝试过但失败的方法及原因分析

以下记录了在找到上述方案前，逐一尝试但均未成功的各种途径。如果你时间紧迫，可直接跳至第 4 节的对照表查阅。

3.1 GRUB 调试 Shell（`systemd.debug_shell=1`）

操作：开机按 E 进入 GRUB 编辑界面，在 linux 行末尾添加 systemd.debug_shell=1，按 Ctrl+X 启动。进入登录界面后按 Ctrl+Alt+F9。
现象：F9 终端完全黑屏，只有一个下划线 _ 光标闪烁，无法输入任何命令。
原因：系统的显示管理器（lightdm）或其他服务将日志输出也定向到了 F9 终端，与调试 Shell 界面发生冲突，导致终端被"遮挡"或无法正常交互。

3.2 添加 `systemd.show_status=0` 抑制输出

操作：在 linux 行添加参数 systemd.debug_shell=1 systemd.show_status=0。
现象：仍然黑屏，Ctrl+Alt+F9 下依旧是 _ 无命令提示。
原因：该参数在部分 UOS 版本中并不能完全解决终端显示冲突，或调试 Shell 本身在此版本已被限制。

3.3 单用户模式（`init=/bin/bash`）

操作：修改 linux 行，将 ro 改为 rw，删除 quiet splash，并在行尾添加 init=/bin/bash。
现象：启动后短暂出现命令行界面，但数秒后自动跳转回图形登录界面，短暂时间内若来不及输入命令即被打断。
原因：即使指定 init=/bin/bash，systemd 的部分服务（尤其是 display-manager）仍会在后台启动，一旦它们启动完成就会接管控制台，将用户"踢"回登录界面。

3.4 `break=premount` 进入 initramfs 重置密码（半成功）

操作：linux 行改为 rw break=premount，启动后进入 (initramfs) 环境，挂载根分区，chroot 入系统，执行 passwd 用户名。
现象：
- 挂载分区时多次提示"没有那个文件或目录"，导致挂载失败。
- 后经排查，正确分区为 /dev/nvme0n1p3，但需要加上 -t ext4 参数才能成功挂载。
- 密码重置成功，但重启后仍然提示等待 x 分钟。
原因：
1. 挂载失败是因为 NVMe 分区名称为 nvme0n1p3，容易漏掉字母 p，写成 nvme0n13；另外部分 initramfs 环境不会自动识别文件系统类型，需显式指定 -t ext4。
2. 密码重置只修改了密码哈希值，而账户锁定信息（失败计数、冷却时间）是独立存储的，重置密码并不会清除锁定记录。

3.5 使用 `pam_tally2` 或 `faillock` 清除锁定记录

操作：在 chroot 中执行 pam_tally2 --user 用户名 --reset 或 faillock --user 用户名 --reset。
现象：pam_tally2 提示"清除成功"，但重启后仍需等待 x 分钟。
原因：
- 该 UOS 版本实际使用的 PAM 锁定模块是 pam_faillock，而非 pam_tally2。pam_tally2 清除的是旧格式的记录，不影响当前生效的锁定状态。
- 而直接执行 faillock 时，如果该命令未安装或不在 PATH 中，会提示 command not found。

3.6 直接删除 `/var` 下的持久化锁定文件

操作：在 initramfs 挂载根分区后，执行 rm -f /root/var/log/tallylog 和 rm -rf /root/var/log/faillock 等。
现象：/root/var 目录下根本没有任何内容，文件不存在。
原因：
- 可能 /var 是一个独立的分区，在 initramfs 阶段尚未挂载，因此根分区的 /var 只是一个空目录。
- 或者该系统将锁定记录存放于 /run 目录（内存文件系统），重启后本应自动清除，但本次由于故障后连续尝试，可能仍被缓冲。

3.7 注释 PAM 配置文件中的锁定模块

操作：备份 /etc/pam.d/common-auth 和 /etc/pam.d/system-auth，然后用 sed 或 grep -vE 删除包含 faillock 或 tally 的行。
现象：
- 使用 sed -i '/faillock\|tally/s/^/#/' /root/etc/pam.d/common-auth 时报错 sed: unmatched ''，命令执行失败。
- 改用 grep -vE 'faillock|tally' ... > 后文件修改成功，但重启后依然要求等待 x 分钟。
原因：
- sed 报错是因为命令字符串中的特殊字符（如 \、.）在 Shell 中被错误解析，或者是复制时引入了不配对的引号。
- 修改配置文件后仍然锁定，是因为该 PAM 文件中根本就没有 faillock 或 tally 的配置行——锁定机制可能通过其他模块实现（如 pam_tally2.so 或 pam_faillock.so 被 include 在其他文件里，或者通过 pam_faillock 的 preauth 方式在 common-auth 之外配置），因此注释完整文件无效。

3.8 修改系统时间到未来（未验证，仅供参考）

操作：在 chroot 环境中使用 date -s "明天日期" 将系统时间改到 24 小时之后，并尝试用 hwclock -w 同步到硬件时钟，然后重启。
现象：未实际验证。网上有不少教程推荐此方法，但实际操作中可能受硬件时钟同步、NTP 服务等因素影响，不一定生效。
理论依据：锁定计时依赖于系统当前时间与锁定记录中存储的时间戳的比较。如果时间跳跃成功生效，系统会认为冷却已过，从而立即解锁。

本次实际解决方式是等冷却时间自然结束——重置密码后耐心等待界面提示的 x 分钟走完即可。修改时间只是备选思路，供遇到类似问题时参考。

4. 错误排查经验总结

问题现象	可能原因	解决办法
`Ctrl+Alt+F9` 黑屏仅见 `_`	显示管理器抢占终端输出	改用 `break=premount` 方案或 LiveCD
单用户模式命令行闪退	systemd 服务自动启动	使用 `break=premount` 在更早阶段中断启动
挂载分区提示"没有那个文件或目录"	设备名写错（遗漏 `p`）或未指定文件系统类型	核对 `blkid` 输出，正确命名如 `nvme0n1p3`，需要时加 `-t ext4`
`pam_tally2 --reset` 提示成功但仍锁定	系统实际使用 `pam_faillock`，二者记录独立	使用 `faillock --reset`，或直接等待冷却结束
`faillock` 命令不存在	initramfs 环境中未包含该工具	chroot 后重试，若仍无效则等待冷却结束
删除 `/var` 下锁定文件无效（目录为空）	`/var` 可能为独立分区未挂载，或记录存放于 `/run`	直接注释 PAM 模块或等待冷却结束
`sed` 注释命令报错 `unmatched ''`	Shell 特殊字符解析问题，或复制带入不可见字符	改用 `grep -vE` 过滤重定向，或手动编辑
注释 PAM 配置后依旧锁定	锁定模块可能在其他文件中被 `include`，或配置不在 `common-auth` 中	不需深究 PAM 结构，重置密码后等待冷却结束即可
尝试修改时间绕过冷却	理论上基于时间戳比较可绕过的方案，实际操作不一定生效	耐心等待冷却结束即可，修改时间仅作备选参考

5. 预防措施

登录系统后，建议关闭或放宽输错密码锁定策略，以免将来再次被锁。

# 查看当前锁定配置
sudo grep -r "deny" /etc/pam.d/

# 关闭锁定（将 deny 值改为 0）
sudo sed -i 's/deny=5/deny=0/' /etc/pam.d/common-auth

如果 PAM 配置分散在多个文件，可酌情修改，或直接注释掉 pam_faillock.so / pam_tally2.so 行。

6. 结语

本次故障的解决核心在于：通过 break=premount 进入 initramfs 环境，挂载系统分区后 chroot 重置密码，然后耐心等待冷却时间结束即可正常登录。

面对多层防护机制时，最直接的方式往往比绕弯路更可靠。同时，熟悉系统启动流程（GRUB → initramfs → systemd）对于日常排障至关重要。