是否有可能"盗用"会话变量(我不想知道如何)

Ted*_*che 10 php security session session-variables

我目前在php中做一个网站,我们使用Session变量来存储每个用户的权限级别.

例如,如果您中的任何一个人进入网站,您将自动获得值为"member"的会话变量.

我要问的是:攻击者是否有可能进入网站并修改"admin"而不是"member"的会话变量的值

我不是在问,如果可能的话,如果是这样,攻击者需要什么样的特殊访问权限(例如:访问代码,......)

我有一个替代解决方案,可以用一个随时间过期的令牌替换权限值.

第二种解决方案实施起来的时间更长.

谢谢你的帮助!

Art*_*cto 11

不,除非:

  • 攻击者可以访问会话变量的存储(通常是服务器的文件系统,但也可以是例如数据库)
  • 攻击者拦截了更多特权用户的会话cookie.
  • 攻击者成功修复了更具特权的用户的会话(请参阅会话固定攻击).