如果我在wp-config.php中保留了默认的身份验证密钥值,黑客是否可以访问我的数据库？

Question

愚蠢的问题,对吗？唉,我需要一个明确的答案,

这是sitch:

我们为使用DreamHost作为其提供商的客户建立了一个网站,反对我们更好的判断和建议.客户端使用DreamHosts单按钮安装WordPress,3.0我相信.

在急于完成网站的过程中,wp-config.php中的Authentication Keys和Salts被保留为默认短语,"将您的独特短语放在这里"或其他任何内容.

根据WP Codex,我目前的理解是这些密钥用于为用户cookie添加安全性.

然而,在大约一个月内,无论出于何种原因,该网站的数据库都被清空了.不是information_schema,只是整个WP表.同样奇怪的是,该数据库的DreamHost备份也都是空的.

客户打电话,我们调查了它,但你不能打电话给DreamHost,然后客户找到了默认的Auth Keys,并开始锐化干草叉/灯火炬等.

所以我的问题是,如果您知道授权密钥留在默认短语中,是否可以访问数据库？

我进行了彻底的搜索,但是没有发现任何明确说明的内容.

再次感谢Stack Overflow,让我远离燃烧的柴堆.

Answer 1

他们需要知道数据库的用户和密码，即使如此，我也很确定 Wordpress 配置默认身份验证字符串不是人类可读的，就像您的示例中的“将您独特的短语放在这里”一样（根据记忆，我认为在上面的行中被注释掉了），但实际上是 GUID。因此，除非 Wordpress 在每个 zip 包中使用相同的默认 GUID，否则我不会认为这是罪魁祸首。