1. GRUB基础原理与安全风险剖析
GRUB（GRand Unified Bootloader）作为现代Linux系统的默认引导加载程序，承担着操作系统启动前最关键的安全验证职责。其工作原理可概括为三个阶段：第一阶段（stage1）存储在MBR或EFI分区，仅包含基础代码和指向stage1.5的指针；第二阶段（stage1.5）负责识别文件系统；第三阶段（stage2）加载图形界面和内核选择菜单。这种分层架构在提供灵活性的同时，也引入了多个攻击面：
- 物理接触风险：攻击者通过启动时按e键即可编辑启动参数，添加init=/bin/bash等参数直接获取root shell
- 未加密配置：/boot/grub/grub.cfg明文存储密码哈希，存在暴力破解可能
- 签名验证缺失：默认配置不验证内核和initramfs的完整性，易遭受中间人攻击
- 内存泄露漏洞：CVE-2020-10713等漏洞允许通过特制USB设备读取GRUB内存
实际案例：某金融机构服务器因GRUB未设置密码，攻击者通过机房物理接触植入恶意内核模块，持续窃取数据达三个月才被发现
2. GRUB加固实战方案
2.1 密码保护配置
使用grub2-mkpasswd-pbkdf2生成PBKDF2加密密码：
echo 'password' | grub2-mkpasswd-pbkdf2 -i 10000 -l 64输出结果添加到/etc/grub.d/40_custom：
set superusers="admin" password_pbkdf2 admin grub.pbkdf2.sha512.10000.2F3D4...关键参数说明：
- -i 10000：迭代次数，建议不低于10000
- -l 64：输出哈希长度，64字节可抵御彩虹表攻击
- 必须执行
grub2-mkconfig -o /boot/grub2/grub.cfg使配置生效
2.2 安全启动与数字签名
生成密钥对：
openssl req -newkey rsa:4096 -nodes -keyout MOK.key -out MOK.csr openssl x509 -req -days 365 -in MOK.csr -signkey MOK.key -out MOK.crt注册密钥到固件：
mokutil --import MOK.crt签名核心组件：
sbsign --key MOK.key --cert MOK.crt --output vmlinuz.signed vmlinuz
验证签名状态：
sbverify --cert MOK.crt vmlinuz.signed2.3 文件系统级防护
配置/boot分区为只读：
echo "/dev/sda1 /boot ext4 ro,noexec,nodev 0 2" >> /etc/fstab启用审计日志：
auditctl -w /boot/grub2/ -p wa -k grub_config设置权限限制：
chmod 600 /boot/grub2/grub.cfg chown root:root /boot/grub2/grub.cfg
3. 典型问题排查指南
3.1 GRUB rescue模式修复
常见触发场景：
- 分区表变更导致UUID不匹配
- stage1.5损坏或丢失
- 多系统安装冲突
修复步骤：
- 识别根分区：
ls (hd0,msdos1)/ - 设置正确路径：
set prefix=(hd0,msdos1)/boot/grub2 set root=(hd0,msdos1) - 加载正常模式：
insmod normal normal
3.2 双系统引导问题
Windows覆盖GRUB的解决方案：
- 使用LiveCD启动
- 挂载根分区：
mount /dev/sda2 /mnt - 重新安装GRUB：
grub2-install --root-directory=/mnt /dev/sda
3.3 分辨率调整技巧
修改/etc/default/grub：
GRUB_GFXMODE=1920x1080x32 GRUB_GFXPAYLOAD_LINUX=keep更新配置后执行：
grub2-mkconfig -o /boot/grub2/grub.cfg4. 高级安全加固方案
4.1 TPM2.0集成验证
安装必要工具：
yum install tpm2-tss tpm2-tools创建PCR策略：
tpm2_pcrextend 0:sha256=$(sha256sum /boot/vmlinuz | cut -d' ' -f1)配置GRUB验证：
echo "tpm2_key_protector=yes" >> /etc/default/grub
4.2 全盘加密方案
创建LUKS容器：
cryptsetup luksFormat --type luks2 /dev/sda2添加GRUB解密支持：
echo "GRUB_ENABLE_CRYPTODISK=y" >> /etc/default/grub更新initramfs：
dracut -f --regenerate-all
5. 持续监控与维护
5.1 完整性检查脚本
创建定期检查任务/etc/cron.weekly/grub_check.sh：
#!/bin/bash CHECKSUM=$(sha256sum /boot/grub2/grub.cfg | cut -d' ' -f1) SAVED_SUM=$(cat /var/lib/grub/.checksum) if [ "$CHECKSUM" != "$SAVED_SUM" ]; then echo "GRUB配置被修改！" | mail -s "安全警报" admin@example.com auditctl -w /boot/grub2/ -p wa -k grub_config fi5.2 漏洞扫描集成
使用OpenSCAP定期检测：
oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_stig \ --results scan-results.xml /usr/share/xml/scap/ssg/content/ssg-centos7-ds.xml关键加固指标包括：
- 检查grub.cfg权限是否为600
- 确认存在superusers设置
- 验证密码哈希使用PBKDF2算法
- 检查安全启动状态
我在实际生产环境中发现，GRUB加固最容易被忽视的是物理安全措施。即使配置了完善的密码保护，如果攻击者能接触硬件，仍可能通过拆硬盘等方式绕过防护。建议对关键服务器采用以下额外措施：
- BIOS设置机箱开启检测
- 为GRUB密码和BIOS密码使用不同凭证
- 在机箱内部粘贴防拆封条并定期检查
- 对/boot分区进行加密存储
