醃製是如何防止攻擊者訪問密碼哈希的？

Question

我已經閱讀了一些關於密碼醃製的幾個問題，主要是他們涵蓋了（我認爲）我已經理解的東西。那是;在你的密碼哈希中包含一個隨機鹽的觀點首先是爲了防止即使密碼相同時兩個哈希也是相同的。其次，爲了阻止彩虹表攻擊與預編譯列表相匹配（因爲沒有預編譯哈希使用了已使用的鹽，所以需要爲每個鹽/哈希生成一個新的彩虹表）。隨時糾正我，如果我誤解任何。

現在我的問題：如果攻擊者可以訪問您的哈希（我們正在防範的情況），那意味着他們正在訪問您的數據庫。情況確實無關緊要，他們可以用他們想要的任何東西代替它。

Answer 1

對數據庫的讀取訪問並不意味着可以對數據庫進行寫入訪問。

所以是的，如果攻擊者可以將密碼哈希更新爲已知的哈希密碼+鹽，攻擊者就可以訪問特定的帳戶。但密碼哈希轉儲可能來自直接訪問數據庫以外的其他位置。

Answer 2

這一切都取決於帳戶的權限。如果一個只讀帳戶被黑客入侵，他們只能閱讀，但如果一個更高的帳戶被黑客入侵，那麼攻擊者擁有更高的權限，它將越走越遠。