黑客可以设置PHP会话变量吗？

Question

我设置的安全检查的一部分是随机生成一个整数作为存储为$_SESSION变量的安全令牌。这通过特定的脚本进行验证，并根据验证是否为布尔值将布尔值设置为true或false（允许在通过其他检查时进入站点）。黑客有可能以某种方式设置此会话变量？如果是这样，怎么样？

Answer 1

只有当你让他们，like Joomla did（另见：the write-up for CVE-2015-8562）。

如果您的应用程序不允许攻击者控制超级全局的内容，那么他​​们完全无法控制它们。开箱即用，这是不可能发生的。

其他方式攻击者可以控制的$_SESSION内容：

• 您存储会话数据的数据库驱动程序，并且无法通过TLS或SSH连接到它。
• 您将会话数据序列化并存储在cookie中，然后未能正确实施加密安全的消息身份验证。

但是总的来说，没有。