腌制是如何防止攻击者访问密码哈希的？

Question

我已经阅读了一些关于密码腌制的几个问题，主要是他们涵盖了（我认为）我已经理解的东西。那是;在你的密码哈希中包含一个随机盐的观点首先是为了防止即使密码相同时两个哈希也是相同的。其次，为了阻止彩虹表攻击与预编译列表相匹配（因为没有预编译哈希使用了已使用的盐，所以需要为每个盐/哈希生成一个新的彩虹表）。随时纠正我，如果我误解任何。

现在我的问题：如果攻击者可以访问您的哈希（我们正在防范的情况），那意味着他们正在访问您的数据库。情况确实无关紧要，他们可以用他们想要的任何东西代替它。

Answer 1

对数据库的读取访问并不意味着可以对数据库进行写入访问。

所以是的，如果攻击者可以将密码哈希更新为已知的哈希密码+盐，攻击者就可以访问特定的帐户。但密码哈希转储可能来自直接访问数据库以外的其他位置。

Answer 2

这一切都取决于帐户的权限。如果一个只读帐户被黑客入侵，他们只能阅读，但如果一个更高的帐户被黑客入侵，那么攻击者拥有更高的权限，它将越走越远。