Un hacker può accedere al mio database se ho lasciato il valore della chiave di autenticazione predefinito sul mio wp-config.php?

Question

Domanda sciocca, giusto? ahimè, ho bisogno di una risposta definitiva,

Ecco il Sitch:

abbiamo costruito un sito per un cliente che stava usando DreamHost come il loro fornitore, contro il nostro giudizio migliore e advisement. Il client ha usato DreamHosts One-Button-Install di WordPress, 3.0 credo.

Nella fretta di completare il sito, le chiavi di autenticazione e i sali di wp-config.php sono stati lasciati come frase predefinita, 'inserisci qui la tua frase univoca' o qualsiasi altra cosa.

È mia opinione corrente secondo il Codice WP che queste chiavi sono utilizzate per aggiungere sicurezza ai cookie degli utenti.

Tuttavia, in circa un mese, per qualsiasi motivo, il database del sito si è appena svuotato. non l'information_schema, solo l'intera tabella WP. Stranamente anche il fatto che i backup di DreamHost per quel database fossero tutti vuoti.

Il cliente chiama, abbiamo guardato dentro, ma non si può chiamare DreamHost, quindi il cliente ha trovato il default Auth chiavi a posto, e cominciò affilatura torce forconi/illuminazione, ecc

Quindi la mia domanda è questo, è anche possibile accedere al database se si sa che una chiave di autorizzazione è lasciata alla frase predefinita?

Ho condotto una ricerca approfondita, ma purtroppo non ho scoperto nulla che affermasse esplicitamente il contrario.

Grazie ancora Stack Overflow, per tenermi lontano dalla pira in fiamme.

Answer 1

Avrebbero bisogno di conoscere l'utente e la password del database, e anche allora sono abbastanza sicuro che le stringhe di autenticazione di default di Wordpress non siano leggibili come "metti qui la tua frase univoca" come nel tuo esempio (dalla memoria, penso che appaia commentato nella riga sopra), ma in realtà sono GUID. Pertanto, a meno che Wordpress non utilizzi lo stesso GUID predefinito in ogni pacchetto zip, non presumo che sia il colpevole.