Array
(
)

Possível? $_SESSION PHP

PHP
Giovanni Zadinello
   - 09 set 2016

Olá, hoje de manhã meu cliente recebeu uma invasão de contas no site dele, após muita investigação, descobri que os "hackers" não sabiam a senha, mas tinha conhecimento de que no site para se logar era preciso uma $_SESSION['usuario'] com o valor = NOME DO USUÁRIO LOGADO.
Então, digamos, eu sou o hacker, se eu tivesse uma $_SESSION['usuario'] com o valor = "admin", eu conseguiria acessar na conta do administrador.
Agora a questão é.
É possível isso? Quero dizer, gerar 1 $_SESSION com 1 valor em um servidor? Eu estive pensando em CURL ou FILE_GET_CONTENTS ou até derrepente 1 JAVASCRIPT.
O sistema dele foi desativado por mim e colocado em estado de manutenção!
Se me falarem como o hacker fez isso, ou se é possível,
Obrigado!

Raylan
   - 09 set 2016


Citação:
mas tinha conhecimento de que no site para se logar era preciso uma $_SESSION['usuario'] com o valor = NOME DO USUÁRIO LOGADO.


Baseado no quê você afirma isso?

Din
   - 09 set 2016

Cara acho que o teu trabalho só está iniciando. Primeiro deixo um post com um exemplo do que aconteceu (semelhante) Como conseguir privilégios de administrador em um sistema com dados via sessão, session vulnerável, capturar session do php, invasao-exploracao via session

Já pensou em utilizar um framework?

Giovanni Zadinello
   - 09 set 2016


Citação:
Cara acho que o teu trabalho só está iniciando. Primeiro deixo um post com um exemplo do que aconteceu (semelhante) Como conseguir privilégios de administrador em um sistema com dados via sessão, session vulnerável, capturar session do php, invasao-exploracao via session

Já pensou em utilizar um framework?


De fato, foi isso que ele fez,
Mas o código no site não está funcionando, tentei aqui com 1 outro site de minha autoria e não funcionou!
Coloquei corretamente o nome das $_SESSIONs e seus devidos valores.
E não foi,
Sem falar, que não reconheceu o "session_register".
Abçs!