黑客可以设置 PHP 会话变量吗？

Question

我设置的部分安全检查是随机生成一个整数作为存储为$_SESSION 变量的安全令牌。这通过特定脚本进行验证，并将布尔值设置为 true 或 false，具体取决于它是否已通过验证（如果通过其他检查，则允许进入站点）。黑客是否有可能以某种方式设置此会话变量？如果有，怎么做？

Answer 1

只有当你允许他们时，like Joomla did（另见：the write-up for CVE-2015-8562）。

如果您的应用程序不允许攻击者控制$_SESSION 超全局的内容，那么他​​们根本无法控制它们。开箱即用，这不可能发生。

攻击者可以通过其他方式控制$_SESSION的内容：

• 您将会话数据存储在数据库驱动程序中，但无法通过 TLS 或 SSH 连接到它。
• 您将会话数据序列化并存储在 cookie 中，然后未能正确实施加密安全消息身份验证。

但总的来说，不会。