[PHP][JavaScript]$_SESSION a włamanie? Opcje

[Randallmaster]

Można za pomocą przeglądarki internetowej dodać do $_SESSION jakąkolwiek zmienną? pytam z ciekawości czy trzeba hashować zmienne w sesji?

[Randallmaster]

mam zmienną $_SESSION['zaloguj'] = true; jaką drogę musi przejść hacker aby dodać taką zmienną?

Rozumiem że nie jest w stanie tego zrobić za pomocą formularza logowania? Ponieważ występuje zdarzenie:

[PHP] pobierz, plaintext 
if($_POST['login'] == 'cos' && $_POST['password'] == 'cos2'){
	$_SESSION['zaloguj'] = true;
}
[PHP] pobierz, plaintext 

Dokładniej chodzi mi o to w jakich momentach można stworzyć sesje przy użyciu np. ajax'a?