是否可以从网站查看会话数据？

Question

我有firecookie一个firefox的插件，当我查看会话值时，它看起来像某种哈希。所以它的价值是加密的。但是如何查看实际数据呢？有可能吗？

Answer 1

您看到的只是会话ID。会话停留在服务器上，您无法在客户端应用程序中看到它的价值。

Answer 2

正如@Vooza所说，PHPSESSID值只是会话的唯一ID。数据以安全的方式存储在服务器上。

会话数据没有加密或散列来生成ID，它们没有任何关联，这阻止了某些人纯粹从会话ID访问数据。攻击者可以通过会话劫持来访问它，但我不打算进入。

如果您只想调试会话值，可以调用：var_dump($_SESSION);输出所有会话的值。在您调试时，我会非常非常小心您在会话中存储的信息。 $_SESSION就像任何其他数组一样做出反应，因此您可以像输出任何其他数组一样输出值。

Answer 3

这取决于数据的散列或加密方式，以及数据是否实际存在于cookie中。

如果cookie只是对存储在服务器上的数据的引用，那么您可能看不到它们。

如果数据在cookie内部，但已加密，那么可能会对它们进行解密，但这可能很困难。这是解密点:-)

如果数据在cookie内，但已加扰，则可以查看它们。一些cookie是Base 64解码的。您可以通过将它们粘贴到在线base64解码器中来解码它们。只需搜索base64并解码，你就会找到一个。 ASP使用名为viewstate的cookie。您可以使用即Fiddler（http://www.fiddler2.com）检查那个。还有很多其他方案。