服务器密码被别人改了，第一件事不是重装系统，而是确认这台机器还能不能从带外通道拿回控制权。 只要云控制台、带外管理口或物理接触这三条路还留下一条，密码就能重置回来；真正危险的场景,是系统被入侵后攻击者顺手删了你的救援通道。
密码问题在运维圈里分两类：一类是你自己忘了，另一类是别人给你改了，两者的处置方式几乎相反，前者走"重置"流程，后者走"取证加重置"流程，顺序错了，证据没了，后门还留着,下面按实际操作路径拆开讲。
服务器密码被恶意修改怎么找回？先判断来源再动手
自己忘了密码和被入侵改密，征兆完全不同
自己忘密码，通常有清晰的时间线：换了新键盘、改了大小写、刚做过系统升级、同事离职交接没留记录，登录时的表现也很单一，就是密码错误,其他一切正常。
被入侵改密则有明显的"外部痕迹"，行业共识认为，绝大多数暴力破解和撞库攻击得手后，攻击者做的第一件事就是改掉 root 或 administrator 口令，然后建立自己的立足点,可以重点看这几个信号：
- SSH 登录出现大量来自陌生 IP 的失败记录，
/var/log/auth.log或/var/log/secure里成片出现Failed password。 - 系统里多出你不认识的用户，
cat /etc/passwd发现有 UID 为 0 的账号,或者出现名字很正常的可疑账户。 - 登录后提示"上次登录时间"和你记忆中的时间对不上，或者
last命令里出现了你没登录过的时段。 - 网站被挂马、
.htaccess被改、定时任务里多出一条curl拉取脚本的 crontab。 - 服务器对外发包异常、CPU 长期跑满、带宽被吃光,这些都是被拿去当肉鸡的典型表现。
出现任意两条以上，就别再纠结密码本身了，这台机器已经被攻破,改密码只是止血的第一步。
别急着重装，先保住数据和证据
重装是最省事但最亏的选择，业务数据、日志、排查线索全部清零,正确的顺序是：
- 在云控制台给系统盘做一次快照或镜像,留证。
- 把关键业务数据、数据库备份到独立存储。
- 再走密码重置流程,进去之后立刻排查持久化后门。
据公开的云服务商安全文档，攻击者常见的持久化位置包括 /etc/rc.local、crontab -l、~/.ssh/authorized_keys、systemd 服务目录、/etc/ld.so.preload，以及 Web 目录下的木马文件,这些位置要逐个过一遍。
云服务器密码被改了怎么重置？控制台与救援模式两条路
主流云厂商控制台重置的实际路径
云服务器有个物理机没有的优势：带外管理能力，只要实例本身还能启动,密码重置不需要密码。
简米云 ECS 的路径是：控制台进入实例详情，找到"重置实例密码"，输入新密码，选择"重启实例"生效，酷番云 CVM 类似，实例操作里有"重置密码"，同样要求重启，华为云、AWS、Azure 的逻辑一致，都是通过平台侧下发指令，由实例内的云助手或 agent 执行。
这里有个坑要提前说清楚：如果服务器内部的云助手 agent 被攻击者卸载或停用，控制台重置会一直显示失败。 表现是提交成功但密码没变，遇到这种情况，直接走控制台的"救援模式"或"VNC 登录"，VNC 是模拟显示器，不经过系统内的 SSH 服务，只要能进 GRUB 或看到登录界面,就能用单用户模式改密码。
物理机与 IDC 托管：单用户模式改 root 密码
北京服务器密码被改远程找回这类需求，很多来自自建机房或 IDC 托管的客户，没有控制台，但有 VNC 或 KVM over IP，同样能操作，以主流 Linux 发行版为例：
- 重启，在 GRUB 菜单按
e进入编辑。 - 找到以
linux或linux16开头的那一行，把ro改成rw，行尾追加init=/bin/bash。 - 按
Ctrl+X启动，进入无密码的 root shell。 - 挂载根分区为可写：
mount -o remount,rw / - 改密码：
passwd root - 如果系统开了 SELinux，必须执行
touch /.autorelabel,否则重启后进不了系统。 - 执行
exec /sbin/init正常启动，或者直接reboot -f。
CentOS 7 以上和 Ubuntu 都适用这套流程，只是 GRUB 界面的按键和行内容略有差异，机房完全无带外、也没有物理接触权限的，只能联系 IDC 值班人员现场挂载 PE 或启动盘处理,这就是地域和服务商响应速度直接决定恢复时长的地方。
服务器 root 密码忘记了怎么办？三套方案按场景选
把场景摊开看,选择其实很清晰：
| 场景 | 首选方案 | 恢复耗时 | 是否丢数据 |
|---|---|---|---|
| 云服务器，系统可启动 | 控制台重置密码 | 几分钟 | 否 |
| 云服务器，agent 失效 | VNC 进单用户模式 | 十分钟级 | 否 |
| 物理机，有带外管理 | KVM 进单用户模式 | 十分钟级 | 否 |
| 物理机，无带外 | 现场挂启动盘 chroot | 小时级 | 否 |
| 文件系统已损坏 | 挂载修复或数据恢复 | 视情况 | 可能需要 |
Windows 服务器的路径不同，通常用云控制台的"重置密码"功能，或者进入 Windows PE 挂载系统盘，替换 utilman.exe 后调出命令行改密码，再用安装镜像恢复原文件，操作前务必确认没有开启 BitLocker,否则挂载后读不到系统盘。
Linux 与 Windows 服务器密码恢复差异对比
两套系统的恢复思路都是"绕过登录验证",但可用工具和风险点差别不小。
Linux 的优势是单用户模式和 Live CD 生态成熟，几乎任何发行版都能在十分钟内改掉 root 密码，风险点在于 SELinux 和 LUKS 磁盘加密：SELinux 忘记打标签会导致系统起不来；开了 LUKS 全盘加密的,没恢复密钥就基本无解。
Windows 的优势是图形化工具多、PE 启动盘遍地都是，风险点在于 BitLocker 和域环境：域成员机的本地管理员密码改了也未必能登录，需要域控配合；BitLocker 开启状态下挂载系统盘会直接要求恢复密钥。
业内专家指出，恢复前先确认加密状态，比事后救火省事得多,这句话在两套系统上都成立。
服务器被黑客改密码要恢复，大概要花多少钱
分三种情况看,成本差得很远。
自己动手，成本接近零。 云控制台重置不收任何费用，快照按存储量计费,通常一个月几块到几十块。
找应急响应服务，按工时或按次计费。 这类服务主要做入侵排查、后门清除、日志分析和加固，市场价格区间跨度较大，简单单机排查通常几百到一两千元，涉及数据库被拖、业务中断的复杂事件会明显上浮，价格取决于系统数量、日志是否完整、是否需要取证报告。
数据已损坏，走数据恢复。 这是最贵的一档，按磁盘容量和损坏程度报价,从千元级到万元级都有。
多数情况下，真正拖高成本的不是密码重置本身,而是发现太晚导致的数据损失和业务停机。
密码找回之后，这几件事必须做
改回密码只是恢复访问，不等于系统安全,下面这些动作建议当天完成：
- 检查
/etc/passwd和/etc/shadow，删除陌生账号，确认 UID 0 只有 root。 - 清空并重建
~/.ssh/authorized_keys,删掉所有来历不明的公钥。 - 检查
crontab -l、/etc/cron.、/etc/systemd/system下的可疑服务。 - 检查
/etc/ld.so.preload是否被写入异常库文件。 - 关闭密码登录，改用密钥认证，SSH 端口不要用 22 之外的执念，改端口只是减少噪音,密钥加防火墙白名单才是实质防护。
- 开启登录失败锁定和双因素认证,把爆破成本抬上去。
- 全盘杀毒或使用专业查杀工具扫描 Web 目录和临时目录。
密码被改不可怕，可怕的是改回来之后当作什么都没发生，相当一部分二次入侵，都发生在"只改了密码"的服务器上。
关于服务器密码被改的常见问题
云服务器密码被改后，控制台重置一直失败是怎么回事？
最常见的原因是实例内部的云助手 agent 不工作，平台侧指令下发不到系统里，攻击者拿到权限后卸载或停用 agent 是很常规的操作，其次是实例处于非运行状态，或者系统盘已满导致写入失败，处理方式是改用 VNC 登录，走 GRUB 单用户模式直接改密码，绕开 agent。
服务器被别人改了密码，怎么判断是不是已经被植入后门？
看四个地方：新增的系统账号、异常的 SSH 授权公钥、计划任务里的下载执行命令、以及对外连接的异常进程，用 ss -antp 和 ps aux 对照，看有没有连向陌生地址的进程，再核对 /var/log/auth.log 里是否有成功登录的陌生 IP，只要有一项对得上，就应当按已失陷处理,做完整排查而不是只清密码。
Linux 服务器 root 密码被改，还能用 SSH 密钥登录吗？
能，这是很多人忽略的一个后门通道，攻击者改密码时未必会删掉 authorized_keys，只要你的私钥还在本地、SSH 服务允许密钥认证，往往能直接登进去，登进去之后第一件事是改密码、清理可疑公钥，反过来讲，如果攻击者先删了你的公钥再改密码,就只能走控制台或单用户模式了。