黑客可以設置PHP會話變量嗎？

Question

我設置的安全檢查的一部分是隨機生成一個整數，作為安全令牌存儲為$_SESSION變量。 這可以通過特定的腳本進行驗證，並根據是否通過驗證將布爾值設置為true或false（如果通過了其他檢查，則允許輸入該站點）。 黑客有可能以某種方式設置此會話變量嗎？ 如果是這樣，怎么辦？

Answer 1

僅在您像Joomla那樣允許它們時才這樣做 （另請參見： CVE-2015-8562的文章 ）。

如果您的應用程序不讓攻擊者控制$_SESSION超全局變量的內容，那么他​​們就完全無法控制它們。 開箱即用，這不可能發生。

攻擊者可以其他方式控制$_SESSION的內容：

• 您將會話數據存儲在數據庫驅動程序中，並且無法通過TLS或SSH連接到它。
• 您將會話數據序列化並將其存儲在cookie中，然后無法正確實現加密安全的消息身份驗證。

但總的來說，沒有。