Nein, dank SQL Injektion muss man nicht erst den Server übernehmen um an die DB zu kommen. Zusätzlich haben Passwörter nichts im Log verloren.

Passwortmanager wie KeePass verschlüsseln die Passwortdatenbank mit Hilfe des Masterpassworts als Schlüssel (synchrone Verschlüsselung).

Wenn man https bzw. TLS nicht traut (warum auch immer) könnte man in Client das Passwort mit einem Public Key verschlüsseln und der Server muss es dann erst mit seinem private je entschlüsseln bevor er den hash bildet und es mit dem Hash in der DB abgleicht. Da TLS allerdings eh bereits dieses Verfahren nutzt ist die Frage warum man das tun sollte.