是否可以伪造PHP会话ID？

Question

如果页面检查是否存在PHP会话：

if (isset($_SESSION['secret'])) {...grant access to EVERYTHING!!!}

是否有可能/我怎么能在我的机器上生成$_SESSION['secret']，在我无法访问该页面的后端代码的情况下？我正试图入侵国际空间站......

Answer 1

你做不到。或者，你可以 在你的机器上生成$_SESSION['secret']，但它是一个不同的值，你不能简单地把它放到国际空间站上。您不能直接更改$_SESSION超全局，除非脚本中存在允许您的错误或安全漏洞。