phpMyAdmin会话固定漏洞的本质是攻击者可预先生成合法会话ID并诱导用户登录，从而接管会话；5.2.1及更早版本因session_start()在身份校验前执行且未强制刷新SID，导致复用攻击者指定的PHPSESSID；升级至5.2.2+仅修复CSRF，不自动解决会话固定，需手动配置$cfg['SessionForceNew'] = true并确保登录成功后立即调用session_regenerate_id(true)，同时启用session.use_strict_mode=1、独立session.save_path及正确代理头透传，否则防护形同虚设。
phpMyAdmin会话固定漏洞的本质是啥？
不是“cookie被偷”，而是攻击者能提前生成一个合法会话id，诱导用户用这个id登录，从而在用户登录后直接接管其会话。phpmyadmin 5.2.1及更早版本中，session_start()调用发生在身份校验之前，且未强制刷新会话id，导致攻击者可通过phpsessid=xxx构造恶意链接（如https://pma.example.com/index.php?phpsessid=attacker_sid），用户点击后登录，服务端直接复用该sid——攻击者立刻拥有同等权限。
为什么升级到5.2.2+不能自动解决会话固定？
5.2.2+虽修复了CSRF，但会话固定防护需额外配置，否则session_start()仍可能复用旧SID。关键点在于：新版默认仍允许会话复用，除非显式启用会话再生逻辑。常见误判是“升完级就安全了”，实际漏洞仍在。
- 检查
config.inc.php是否包含$cfg['SessionForceNew'] = true;（官方未默认开启，必须手动加） - 确认
libraries/common.inc.php中是否存在session_regenerate_id(true)调用——它应在用户成功认证后立即执行，而非仅在登录页初始化时调用 - 若使用
auth_type = 'cookie'，确保$cfg['Servers'][$i]['auth_type']之后紧跟session_regenerate_id(true)，否则登录成功跳转前会话ID未更换
如何验证会话固定是否真被堵住？
手动测试比依赖文档更可靠。步骤简单但容易漏掉细节：
- 用curl发起未登录请求：
curl -I https://pma.example.com/，记下响应头中的Set-Cookie: phpMyAdmin=xxx - 用该SID构造登录请求：
curl -b "phpMyAdmin=xxx" -d "pma_username=admin&pma_password=123" https://pma.example.com/index.php - 若返回302跳转且新响应头中
Set-Cookie的值与之前不同，说明会话已再生；若值不变，则漏洞仍在 - 特别注意：Safari用户还需检查
session.cookie_samesite是否为Lax或Strict，否则会话再生后的Cookie可能被浏览器拒绝携带
别踩这些坑：session配置与部署环境的隐性冲突
即使代码层加了session_regenerate_id(true)，以下配置错误会让防护形同虚设：
-
session.use_strict_mode = 0（PHP默认值）：允许客户端提交任意SID，服务端不校验是否真实存在。必须设为1，强制只接受服务端生成的SID -
session.save_path指向全局可写目录（如/tmp）：攻击者可预先写入伪造session文件，再通过固定SID触发反序列化。应设为独立路径，如/var/lib/phpmyadmin/sessions，并chown www-data:www-data - 反向代理透传
Cookie头但未同步X-Forwarded-For：若phpMyAdmin启用了IP绑定会话（新版默认行为），而代理未传真实IP，会导致session_regenerate_id()后新SID无法校验，反复报Token mismatch
会话固定修复的复杂点不在代码行数，而在它横跨PHP配置、Web服务器设置、代理链路和浏览器策略——漏掉任一环，攻击者都能绕过。
立即学习“PHP免费学习笔记（深入）”；
