是否可以修改$ _SESSION變量？

Question

惡意用戶是否可以將$ _SESSION（in php）變量設置爲他想要的任何值？

Answer 1

是，通過其他用戶的會話數據，如下所示：http://phpsec.org/projects/guide/4.html

Answer 2

如果你爲他提供這樣做的（糟糕/不安全的代碼）的手段，這是可能的。但是，這通常不太可能。

Answer 3

在很大程度上取決於你的代碼。非常明顯的東西：$_SESSION['username'] = $_REQUEST['username']。

Answer 4

不一般，但他們可以，如果，例如，你必須在你的PHP遠程代碼執行漏洞。

Answer 5

除非你做錯事在你的代碼他不能設置您的服務器上，他所能做的就是竊取其他一些用戶的會話cookie，並以這種方式獲得...換句話說，他可以改變自己的會話cookie，你的$ _SESSION使用，以確定他

Answer 6

這取決於你如何設置會話變量。用戶可以利用您設置它們的方式。

與會話最常見的攻擊就是會話固定：http://en.wikipedia.org/wiki/Session_fixation

Answer 7

不，如果你的代碼是正確的，並且不允許基於未經驗證userinput設定值。

Answer 8

是的，當REGISTER_GLOBALS上。

Answer 9

是。如果您使用cookie中的某些內容或其他類似的請求方法（用戶可以編輯該內容以與會話交互），則會發生變化。例如，假設您創建在線商店並將商品標識存儲在Cookie中，並在頁面刷新上將其推送到會話中。在頁面上，用戶可以編輯cookie，因此當它進入會話時，它已被修改。