个人猜想的web安全——理解PHP的sessionID的实现

    今天，在回想阿里的面试官关于cookie和session之间的区别和联系的问题时，想到一个问题，就是如果用curl模拟别人的cookie中的sessionID，是不是就可以直接就爆破登录了呢，想了很久，考虑用客户端的IP地址来解决，然后我就好奇php自身的sessionID的实现原理，查了一下发现，确实是跟客户端的IP挂钩，如果IP加密出来的sessionID和当前的sessionID不对应，也是不行的，所以黑客必须很强大，能够得到那么多的信息。

    资料来源：PHP中Session ID的实现原理

以下是转载的内容：

首先要明白PHPSESSID看似多次刷新都不会改变其实是没有删除本地相关联的cookie，删除的方法

session_destroy();//删除服务器端的session文件
setcookie(session_name(),'',time()-3600,'/');//删除本地相关联的cookie
session_unset();//清空内存中的cookie或者是$_SESSION = array(); 
然后再刷新相应的页面你就会看到PHPSESSID会发生变化了，根据此可以得：如果session文件已经创建则不重新生成PHPSESSID,否则需要重新生成，生成规则，就看下边喽……！
 
--------------------------------------------------------------------------------------------------------------------------------------
现在经过测试应该是不是检测session文件是否存在，而是检测PHPSESSID的cookie是否存在并且是否未过期！特此更正！
------------------------------------------------------------------------------------------------
可能PHP开发者心中多少都思考过这么两个问题：
种植在客户端浏览器中的PHPSESSIONID会出现重复吗？
PHPSESSIONID安全性如何，有没可能被黑客轻易的仿造呢？
带上这个问题，我稍微注意了一下PHP的源码后，疑问也就有了答案。
PHP在使用默认的 session.save_handler = files 方式时，PHPSESSIONID的生产算法原理如下：


hash_func = md5 / sha1 #可由php.ini配置
PHPSESSIONID = hash_func(客户端IP + 当前时间（秒）+ 当前时间（微妙）+ PHP自带的随机数生产器)
从以上hash_func(*)中的数据采样值的内容分析，多个用户在同一台服务器时所生产的PHPSESSIONID重复的概率极低（至少为百万份之一），设想，但台动态Web Server能到2000/rps已经很强悍了。
另外，黑客如果要猜出某一用户的PHPSESSIONID，则他也必须知道“客户端IP、当前时间（秒、微妙）、随机数”等数据方可模拟。
以下是截取PHP源码中PHPSESSIONID实现片段：
gettimeofday(&tv, NULL);
if (
zend_hash_find(&EG(symbol_table), "_SERVER", sizeof("_SERVER"), (void **) &array) == SUCCESS &&
Z_TYPE_PP(array) == IS_ARRAY && zend_hash_find(Z_ARRVAL_PP(array), "REMOTE_ADDR", sizeof("REMOTE_ADDR"), (void **) &token) == SUCCESS)
{
    remote_addr = Z_STRVAL_PP(token);
}


spprintf(&buf, 0, "%.15s%ld%ld%0.8F", remote_addr ? remote_addr : "", tv.tv_sec, (long int)tv.tv_usec, php_combined_lcg(TSRMLS_C) * 10);
switch (PS(hash_func))
{
case PS_HASH_FUNC_MD5:
    PHP_MD5Init(&md5_context);
    PHP_MD5Update(&md5_context, (unsigned char *) buf, strlen(buf));
    digest_len = 16;
    break;
case PS_HASH_FUNC_SHA1:
    PHP_SHA1Init(&sha1_context);
    PHP_SHA1Update(&sha1_context, (unsigned char *) buf, strlen(buf));
    digest_len = 20;
    break;
default:
    php_error_docref(NULL TSRMLS_CC, E_ERROR, "Invalid session hash function");
    efree(buf);
    return NULL;
}