黑客可以設置PHP會話變量嗎？

Question

我設置的安全檢查的一部分是隨機生成一個整數作爲存儲爲$_SESSION變量的安全令牌。這通過特定的腳本進行驗證，並根據驗證是否爲布爾值將布爾值設置爲true或false（允許在通過其他檢查時進入站點）。黑客有可能以某種方式設置此會話變量？如果是這樣，怎麼樣？

Answer 1

只有當你讓他們，like Joomla did（另見：the write-up for CVE-2015-8562）。

如果您的應用程序不允許攻擊者控制超級全局的內容，那麼他​​們完全無法控制它們。開箱即用，這是不可能發生的。

其他方式攻擊者可以控制的$_SESSION內容：

• 您存儲會話數據的數據庫驅動程序，並且無法通過TLS或SSH連接到它。
• 您將會話數據序列化並存儲在cookie中，然後未能正確實施加密安全的消息身份驗證。

但是總的來說，沒有。