是否可以僞造一個PHP會話ID？

如果頁面檢查一個PHP會話的存在：是否可以僞造一個PHP會話ID？

if (isset($_SESSION['secret'])) {...grant access to EVERYTHING!!!}

是否可以/我怎麼能在我的機器上生成$_SESSION['secret']，在一個情況下，我沒有訪問頁面的後臺碼？我試圖入侵國際空間站......

2012-12-23 d-_-b

+1爲你的誠實 – Alex

嗯它是非常非常簡單..你不.. ..（哦，聖誕快樂）:) – dbf

我知道有一天外星人會來我們的PHP代碼Oo –

你不能。還是好了，你可以產生一個$_SESSION['secret']上您機，但它是一個不同的值，你不能簡單地把它拖到國際空間站。除非腳本中存在可供您使用的錯誤或安全漏洞，否則您不能直接更改超全球範圍內的$_SESSION。

2012-12-23 23:56:32 GolezTrol

計數4個編輯..：D – dbf

我看到了，換句話說，本地存儲的會話不能影響我的服務器上的會話？（因爲據我所知，PHP會話是創建並存儲在服務器上的，這與他們的好餅乾有何不同？） –

@iight，賓果。沒有辦法在服務器上修改會話數據而不在*服務器上。 – Charles

回答