[PHP][JavaScript]$_SESSION a włamanie? Opcje

[Randallmaster]

Można za pomocą przeglądarki internetowej dodać do $_SESSION jakąkolwiek zmienną? pytam z ciekawości czy trzeba hashować zmienne w sesji?

[redeemer]

Nie. Twoja przeglądarka wysyła tylko identyfikator sesji (zazwyczaj w ciastku np. PHPSESSID) a sesja jest trzymana na serwerze.

[Randallmaster]

mam zmienną $_SESSION['zaloguj'] = true; jaką drogę musi przejść hacker aby dodać taką zmienną?

Rozumiem że nie jest w stanie tego zrobić za pomocą formularza logowania? Ponieważ występuje zdarzenie:

[PHP] pobierz, plaintext 
if($_POST['login'] == 'cos' && $_POST['password'] == 'cos2'){
	$_SESSION['zaloguj'] = true;
}
[PHP] pobierz, plaintext 

Dokładniej chodzi mi o to w jakich momentach można stworzyć sesje przy użyciu np. ajax'a?

[redeemer]

mam zmienną $_SESSION['zaloguj'] = true; jaką drogę musi przejść hacker aby dodać taką zmienną?

Rozumiem że nie jest w stanie tego zrobić za pomocą formularza logowania? Ponieważ występuje zdarzenie:

[PHP] pobierz, plaintext 
if($_POST['login'] == 'cos' && $_POST['password'] == 'cos2'){
	$_SESSION['zaloguj'] = true;
}
[PHP] pobierz, plaintext 

Dokładniej chodzi mi o to w jakich momentach można stworzyć sesje przy użyciu np. ajax'a?

Aby w tablicy $_SESSION znalazł się element 'zaloguj'=>true, to "PHP" musi wykonać linię $_SESSION['zaloguj'] = true; ergo w twoim przykładzie trzeba znać cos i cos2.

Z mechanizmem sesji związane są inne niebezpieczeństwa np:

https://www.owasp.org/index.php/Session_hijacking_attack
https://www.owasp.org/index.php/Session_fixation
pośrednio https://www.owasp.org/index.php/Cross-Site_..._Forgery_(CSRF)