开头直接进入场景：我遇到过太多次这样的求助——“虚拟机密码忘了怎么办”。在这个问题上，搜索框里的热门词同样是“虚拟机怎么安装”“vmware虚拟机安装教程”这类入门操作，密码恢复反而成了没人系统讲过的东西。整篇文章聊的是干净、可落地的密码恢复与重置方案，覆盖Linux和Windows虚拟机、VMware与VirtualBox等主流平台，并结合实操中容易翻车的细节做避坑说明。适用对象是运维、测试、安全方向的同行，以及自己搭了虚拟机但很久没动、想找回入口的新手。
1. 先搞清楚你要处理的到底是哪一类“密码问题”
很多人一上来就问“虚拟机密码破解”，可等我把排查思路走一遍，发现至少一半的情况压根不是系统密码的锅。虚拟机环境的密码问题我按实际经验分成四类，先对号入座再动手，能省大量时间。
第一类是操作系统登录密码丢失，这是最常见也最容易被解决的，Linux的root密码、Windows的本地账户密码、域账户密码，都属于这一类。第二类是虚拟化平台自身的访问密码，比如vCenter管理账密、ESXi主机root密码，这套密码往往锁的是管理面，丢了之后处理路径完全不同。第三类是虚拟机内文件或磁盘加密产生的密码，例如Linux的LUKS分区加密、Windows的BitLocker，这类问题绕开密码的可能性极低，基本只能靠密钥或备份兜底。第四类是BIOS/固件级密码，虚拟机里表现为开机输入密码才能引导，这个一般重置CMOS的做法在虚拟环境里不适用，更多的做法是删除虚拟机配置文件里的特定字段。
判断方式很简单：你在什么环节被卡住。VMware的Power On界面让你输密码，多半是固件层；系统启动到登录界面输密码，是操作系统层；连接ESXi主机或vCenter网页时输密码，那是平台层。这几类问题的解法几乎没有交集，别把它们混为一谈。
在动手之前，必须反复确认一件事：这台虚拟机的归属权和使用授权是否清晰。生产环境一定要走工单、走审批；个人实验环境处理自己的机器毫无问题；如果是别人交付给你运维或测试的虚拟机，最好先和原负责人确认密码丢失的原因，避免后续说不清。这个边界不是客套，而是干这行最基本的自我保护。
我建议第一件事是把虚拟机文件完整备份出来，尤其是.vmx、.vmdk、.vdi这些核心文件，备份之后再做任何操作都心安。密码恢复操作会导致系统文件被修改，一旦中途失败，手里有备份就能随时回滚，这个习惯救过我太多次了。
2. Linux虚拟机：单用户模式与救援模式的完整操作链路
Linux虚拟机的密码恢复在原理上很简单：Linux系统的密码校验是在init进程拉起登录服务后才介入的，也就是说，只要我们能在用户登录之前拿到一个root权限的Shell，就绕过了正常的密码验证流程。虚拟机本身就是文件集合，这让“提前介入”比物理机更容易实现。
2.1 通过GRUB单用户模式重置root密码
这是基于GRUB引导的老牌做法，面向上世纪就存在的经典流程，但至今仍然有效。步骤看起来简单，实际操作中有很多细节会卡人。
第一步，启动虚拟机，在GRUB菜单界面出现时立刻按下键盘的e键（不是回车，是e，代表edit）。如果你发现界面一闪而过，根本来不及按键，可以在虚拟机配置里把开机启动时的“引导延迟”调大。VMware Workstation的虚拟机设置里，在“选项”标签的“高级”中有一个“调试”相关的“引导延迟”，单位是毫秒，调到5000甚至10000都行。VirtualBox的图形界面没有直接暴露这个参数，需要用命令行VBoxManage modifyvm "虚拟机名" --biossystemtimeoffset或直接修改BIOS开机的延迟设置。这一步经常被忽略，导致很多人卡在“根本进不去GRUB”。
第二步，在GRUB编辑界面里，找到以linux或linuxefi开头的那一行，它实际是内核启动参数。用方向键把光标移动到这一行末尾，在结尾加上一个空格，然后输入。注意是单独一个单词，不需要等号，也不需要引号。这是告诉内核：在完成正常的多用户启动流程之前，先进入单用户模式，这个模式下init会直接给你一个root Shell。
第三步，按下Ctrl+X或F10引导系统。系统会进入一个root Shell，正常输入passwd命令，设置你想要的新密码。然后输入exec /sbin/init或直接输入reboot重启虚拟机，用刚才设置的新密码登录即可。
我在实际执行中遇到的坑是SELinux或AppArmor。有些发行版（尤其是RHEL、CentOS、Fedora系列）在单用户模式下重置密码后，SELinux上下文可能会因强制模式出问题，重启后密码明明是对的却提示认证失败。解决方法是重置SELinux上下文，在单用户Shell里执行touch /.autorelabel，让系统下次启动时自动重新标记文件，之后重启等它跑完标记流程，密码就能正常用了。
2.2 替代方案：通过救援介质或init=/bin/bash
如果你的虚拟机GRUB坏了，或者引导方式比较特殊，还有一种不依赖GRUB的方案：在GRUB编辑界面，同样找到linux那一行，把末尾改成init=/bin/bash，同时建议把rhgb quiet也删掉（这两个参数会让启动过程静默，不便于观察输出），然后引导。这种方式会直接跳过init，由内核拉起bash作为第一个进程，同样能获得root Shell。
这个方案下，由于根文件系统可能还是只读挂载的，直接执行passwd会报错。正确顺序是先检查挂载状态，执行mount -o remount,rw /，让根分区可写，然后passwd root修改密码，修改完成后执行exec /sbin/init重启。需要注意的是，以init=/bin/bash进入的环境网络服务都不会启动，这一点无需担心，我们只需要本地的文件系统操作能力。
2.3 谁说能进系统谁就不用重装
还有一类场景比较隐蔽：虚拟机能够正常启动，进入登录界面，但你想登录的那个用户密码忘了，而另一个普通用户密码还记得。这种情况下，你不需要任何单用户模式操作，直接以普通用户身份登录系统，然后用sudo -i或sudo passwd 目标用户来重置密码。前提是普通用户有sudo权限。
对于容器化的环境或云镜像，还有一种常见的情况：初始密码根本不是“忘了”，而是压根不知道。很多官方云镜像默认禁用了root密码登录，只允许密钥登录，这时候直接在VMware里挂载ISO镜像装一个cloud-init的辅助工具，或者在OpenStack环境里通过metadata注入新密码，比折腾单用户模式要快得多。
如果以上方法都不可行，最后的保底方案是把虚拟机的磁盘挂载到另一台能正常启动的Linux虚拟机或物理机上。VMware的vmdk可以在另一个Linux系统里用vmware-mount或直接在虚拟机设置里添加已有磁盘，然后chroot进去（如果环境足够完整）或直接编辑/etc/shadow文件来清空密码。这一步的操作复杂度偏高，新手容易把磁盘文件弄坏，所以我只在前面方案全部失败时才推荐。
3. Windows虚拟机：利用安装介质与离线修改工具重置密码
Windows虚拟机的密码恢复逻辑和Linux完全不同。Windows的用户密码哈希存储在SAM文件中，这个文件在系统运行过程中会被锁定，不能直接在线编辑，而且系统自身的密码重置机制（比如密码重置盘）需要在忘记密码之前提前创建，事后基本没有救。所以思路往往是：借助外部工具离线修改SAM，或者利用系统自带组件的替换手法。
3.1 最实用的组件替换法：utilman.exe与cmd.exe互换
这个方法在网上流传很广，它利用的是Windows在登录界面按Win+U可以触发轻松使用工具（utilman.exe）这一机制。原理是：在系统安装介质启动的修复环境下，把utilman.exe替换成cmd.exe，然后回到登录界面按快捷键，弹出的就是命令提示符窗口，在这个窗口里可以修改密码、启用管理员账户等。
具体来说，用Windows安装U盘或ISO镜像启动虚拟机，进入安装界面后按下Shift+F10，这会在安装环境里打开一个命令行窗口。此时需要确定系统分区盘符，通常C盘就是主分区，但有时因为隐藏分区存在，盘符可能被占用，你可以用diskpart、list volume来确认。假设系统在C盘，那么执行以下命令：
move C:\Windows\System32\utilman.exe C:\Windows\System32\utilman.exe.bak copy C:\Windows\System32\cmd.exe C:\Windows\System32\utilman.exe完成后重启虚拟机，正常进入Windows登录界面，点击右下角的“轻松使用”图标，弹出的就是命令提示符。在里面执行net user 用户名 新密码就能直接重置账户密码。如果连管理员账户名都不确定，可以先执行net user查看所有账户列表，再执行net user Administrator 123456之类的命令来设置。
使用这个方案有一个重要的前提：目标系统必须是NTFS文件系统、且没有启用BitLocker加密。如果启用了BitLocker，安装环境根本读不动系统分区，会出现无法访问的提示。另外，这个操作也会触发Windows Defender的可信平台模块校验，部分系统在组件被替换后会在下次启动时做完整性检查，所以操作后最好顺手把utilman.exe还原回去，避免留下系统文件被篡改的隐患。
3.2 离线修改SAM：chntpw与NTPWEdit
如果不想动系统文件结构，还有一类专用工具能直接读写SAM数据库。代表性的有chntpw（命令行）和NTPWEdit（图形界面）。这两个工具在很多PE启动盘里都内置了，操作逻辑是：从PE环境引导虚拟机，启动工具，选择C:\Windows\System32\config\SAM这个路径，然后列出账户，选中目标账户后选择“清空密码”或“设置为指定密码”。
chntpw在Linux下还可以通过命令行操作，把Windows虚拟机的磁盘挂载到Linux主机上，然后运行chntpw -u 用户名 /挂载点/Windows/System32/config/SAM，之后按提示输入1（清空密码）或2（设置新密码），最后q保存退出。这样就不需要Windows安装介质了，只要你手里有一台Linux机器。
我用NTPWEdit的体会是，它不需要目标系统有PE环境，只要能从ISO引导启动到微型系统就行。最小化的操作步骤是：虚拟机添加一个PE的ISO设备并设为第一启动项，进入PE后直接运行工具，选择SAM路径，界面会列出每个账户，右键就能改密码。整个过程五分钟内能完成，成功率很高，前提同样是系统盘不能被BitLocker加密。
3.3 域控虚拟机注意：本地SAM与域账户的差别
如果你的Windows虚拟机是域控，或者加入了域环境，情况会有些不同。本地账户（Local Account）修改SAM即可；域账户（Domain Account）的密码存储在AD数据库（NTDS.dit）中，SAM文件里没有它的哈希。对域控的虚拟机，重置域管理员密码需要进入目录还原模式（DSRM），或者直接在恢复模式下用ntdsutil工具重置。这一步门槛明显更高，一般的组策略和本地安全策略也会带来干扰。遇到这种情况，我的建议是不要试图绕过，直接走正规的域管理员密码重置流程。
4. VMware与VirtualBox的环境差异：选项、配置文件和那些容易翻车的按钮
虚拟机密码重置看起来是系统层面的操作，但实际执行中，宿主机虚拟化软件本身的配置会影响整个流程能否走通。不同平台对引导方式、硬件模拟、固件类型的默认设置不同，翻车点也不一样。
4.1 BIOS引导与EFI引导的选择
单用户模式也好、PE启动也好，能不能顺利进入，很大程度上取决于虚拟机的固件类型。BIOS（传统Legacy）和EFI在GRUB界面上按键略有差异，EFI模式下有些发行版在菜单里的默认行为也不同。
VMware Workstation创建虚拟机时默认固件是EFI，这会导致某些旧版Linux发行版在GRUB界面即使按下e键，也无法按预期找到linux那一行，因为内核加载方式是linuxefi。这时候你要判断：看到的是linux还是linuxefi，如果是linuxefi，就在同一行加参数，写法与linux一致。VirtualBox的默认固件通常是BIOS，相对简单。
Windows虚拟机恰好相反，如果你在VMware里选择了EFI引导，组件替换法的Shift+F10可能不在“安装程序”而是在“Windows恢复环境”里触发，界面和按键节奏略有不同，但核心路径一致。
4.2 ESXi与Workstation的密码处理差别
还有一个容易混淆的点：VMware Workstation上正常重置虚拟机系统密码，和vSphere/ESXi上面对一台生产虚拟机，操作入口完全不同。在ESXi中，你无法直接给虚拟机编辑GRUB时按下e键，因为终端没有接显示器——虽然可以用“控制台”界面打开，但延迟和按键响应并不友好。
更稳妥的做法是在ESXi里先把虚拟机挂载到另一个救援虚拟机，或者把vmdk文件复制下来在Workstation里操作。此外，ESXi主机的root密码丢失是另一个维度的问题，可以通过DCUI（直接控制台用户界面）或者在引导时按Shift+R进入恢复模式，但ESXi的密码恢复需要针对版本的特定流程，操作不当会导致主机配置重置，建议在变更窗口内操作并提前备份主机配置。
4.3 VirtualBox的快照与克隆功能是天然的后悔药
VirtualBox有个和VMware不太一样的地方：快照机制更直观也更适合做实验。在重置密码前，先给虚拟机打一个快照。操作路径是：选中虚拟机，点击“生成备份”或“快照”图标，命名一个简易标识。如果重置过程中出现问题，恢复快照就等于回到操作前状态，比备份整个磁盘快很多。
但快照不是万能的，它保存的是虚拟机的运行状态和磁盘变更，不包含宿主机上独立的配置。如果你修改的是虚拟机配置文件（比如.vbox文件），快照无法覆盖这部分变更。另外，VBoxManage有专门的命令行来控制分辨率、声卡、网络等，但密码重置场景基本用不到，记住一点：需要在命令行修改启动项时，可以用VBoxManage modifyvm "虚拟机名" --firmware efi来切换固件类型，或者在启动时按住Shift键让VirtualBox显示内置的引导菜单。
4.4 虚拟化层加密的影响面
我现在用的虚拟化环境里，越来越多的安全基线要求开启虚拟机磁盘加密。VMware的“加密虚拟机”功能在ESXi里默认可用，Workstation Pro也支持，VirtualBox则用自定义口令对vdi文件加密。一旦启用了这种加密，前面所有“挂载磁盘修改文件”的方案基本全部失效，因为你无法从外部直接读取磁盘内容，甚至连启动到救援模式都会因为密钥缺失而被卡在引导界面。
所以处理密码问题前先确认一个信息：这台虚拟机的磁盘是不是加密状态。如果加密了，优先找加密密钥或恢复密钥，不要浪费时间在单用户模式或离线修改上，这条路走不通。
5. 离线哈希提取与字典破解：合法授权的安全测试场景
真正的“密码破解”在业内场景中通常指从一个授权获取的哈希值反向推断出明文密码，常用于安全审计、红队评估和账号安全隐患排查。这里有一个边界要再三强调：只有在你拥有明确授权，并且是面向自己管辖的系统做合规安全测试时，才能使用这类方法。没有任何授权地对他人系统做密码离线破解，属于明确的违规行为，这点不需要讨论。
5.1 从Linux提取哈希并交给hashcat
Linux系统的密码哈希存放在/etc/shadow文件中。root权限下查看这个文件，每一行对应一个账户，密码字段格式大概是$6$salt$hash这种。前缀6表示SHA-512，5表示SHA-256，2/2a/2y表示bcrypt，1表示MD5，y是yescrypt（较新发行版）。
拿到shadow文件后，最常见的做法是交给hashcat进行离线破解。命令大概长这样：
hashcat -m 1800 shadow_hccap /path/to/wordlist.txt- -m 1800对应的是sha512crypt，也就是$6$开头的哈希。
- 如果是yescrypt，模式是-m 23500。
- 如果GPU可用，hashcat会调用CUDA或OpenCL，速度会让习惯CPU破解的人刮目相看。
字典的质量比跑法更重要。我自己维护了一份常用弱密码字典，来源包括历年泄露数据中筛选的高频口令、键盘路径（如qwerty、1qaz2wsx）、年份和双位数数字组合等。除此之外，规则文件（rule）也很关键。hashcat自带的best64.rule能通过追加数字、替换大小写、常见后缀来扩展字典，有时候效果比换更大的字典还明显。
5.2 从Windows提取SAM哈希并尝试NTLM破解
Windows侧的哈希提取主要面对SAM文件。在虚拟机离线状态下，可以把磁盘挂载到Linux主机，然后使用工具直接读取里面的SAM和SYSTEM文件。SYSTEM文件用于解密SAM中的哈希，两个文件是一对，缺了任何一个都提取不出可用哈希。
常用的工具链是secretsdump.py（属于impacket套件）或samdump2。以Linux主机挂载Windows磁盘为例，命令大概是：
samdump2 SYSTEM SAM > ntlm_hash.txt提取出的哈希是NTLM格式，hashcat模式是-m 1000。NTLM哈希本身可以直接用于Pass-the-Hash攻击，不一定非要破解出明文，这也是为什么安全基线里强调Windows账户即使密码复杂、也需要避免哈希泄露。
在线破解的效率取决于密码复杂度。跑一个8位纯数字的NTLM哈希，GPU上几乎是秒出；如果是12位含特殊字符的随机密码，靠字典跑可能几周都出不来。这时候就要考虑是换规则、换掩码（mask）还是干脆停止投入，理性评估成本。
5.3 加盐算法与GPU破解的收益边界
这里想多说一句：破解的效率上限往往取决于算法本身，而不是工具。Linux的bcrypt、yescrypt这类慢哈希故意设计为计算代价高昂，一张消费级显卡每秒也只能跑几万次；而Windows的NTLM是快速哈希，每秒能跑数十亿次。这解释了为什么现代系统都在推动使用Argon2这类内存硬化算法——它让单次计算占用的内存和CPU都远超生产环境可接受的上限，直接提高了离线破解成本。
我在实际测试中的经验是，评估一次破解任务前，先看三件事：哈希类型是什么（决定速度和模式）、密码复杂度大约多高（决定策略）、GPU算力多少（决定时间上限）。这三者想清楚了再决定是直接跑还是放弃，比盲目挂机跑几周有价值得多。
6. 密码恢复之外：运维视角下如何提前规避这类事故
每次帮人恢复虚拟机密码，我最后都会建议对方做几件“平时不起眼、关键时刻救命”的事。密码恢复本身只是补救，真正的收益在于事后的预防体系。
首先要做的是统一密码管理。个人实验环境可以用KeePass或Bitwarden自建，生产环境建议用团队级密码管理平台，并定期轮换。虚拟机密码不同于物理机，很多虚拟机模板可能被复制出几十台，一个密码泄露等于几十个入口暴露，密码管理工具的审计能力和分享权限在这里很重要。
其次是给虚拟机打快照和开机引导配置留好退路。我在给重要Linux虚拟机改密码前，都会先确认快照是否存在，以及在GRUB配置里是否设置了一个合理的超时时间（GRUB_TIMEOUT，至少3秒）。没有超时时间意味着启动时根本看不到引导菜单，连按e的机会都没有，这个设置很多人没注意，实际上比想象中更容易踩坑。
再次是Windows侧尽量禁用BitLocker自动加密或做好密钥备份。虚拟机的虚拟磁盘一旦被BitLocker全盘加密，前面提到的大多数密码恢复手段都会被锁死。我在测试环境里遇到过一次：忘记密码后花了两个小时排查，最后发现仅仅是因为这台虚拟机在创建时继承了组织策略自动启用了BitLocker，而恢复密钥存放在另一台已经退役的服务器上，相当于直接废掉了所有旁路手段。
还有一点容易被忽略：虚拟机的密码策略和物理机一样，需要关注定期轮换和生产环境的变更管理。许多公司会在模板虚拟机里内置一个长期不用的管理员账户，作为后门。这个习惯在密码遗忘时确实能救命，但也带来安全风险，建议将这类账户的用途、权限和审计方式纳入管理，不能让“救援通道”变成“攻击通道”。
最后想说，密码恢复能力是一名运维或虚拟化工程师必备的基础技能，但这个技能的本质是理解系统的引导流程、文件结构和认证机制，而不是依赖某个万能工具。把每个平台的引导链路、每个关键文件的作用搞清楚了，遇到任何陌生环境都能举一反三；反过来，只会背步骤，换个发行版、换套固件设置就可能完全卡壳。虚拟机密码的问题，从来都不只是一个密码的问题。
