Consulta sobre una duda de php

[kriss8725]

Que tal buena tarde, quiero si las variables de $_SESSION se pueden pasar por la url, esto lo pregunto porque quiero saber si mi pagina web quedaria vulnerable ante eso, muchas gracias.

[ONahuelO]

Las variables $_Sesion las definis vos del lado del servidor, si vos juntas la variable desde la url y la definis como secion si, pero si no no :)

[kriss8725]

Gracias por tu respuesta mira este es mi archivo donde creo variables de session dime porfavor si tengo algun problema:

Código PHP:

  <?php 
session_start();//se inicia la sesion 
    require("includes/conexion.php"); 
    if (isset($_POST['txtusu'])) 
    {//inicio del if si se usa txtusu 
      $usuario=$_POST['txtusu']; 
      $clave=$_POST['txtpass']; 
        if (($usuario=="") || ($clave=="")) 
        {//inicio del if si clave o usuario =" " 
           $_SESSION['NO']="Debe llenar las dos cajas de texto!!!"; 
           $dom="inicio_sesion.php";               
                    header("Location: http://".$_SERVER['HTTP_HOST'].dirname($_SERVER['PHP_SELF'])."/".$dom);  
        }//fin del if si clave o usuario ==" "  
          else 
          {//inicio del else si los campos txtusu y txtclave no son vacios          
             $sql = sprintf("SELECT * FROM usuarios WHERE nom_usu='".mysql_real_escape_string($usuario)."'"); 
             $r = mysql_query($sql,$con); 
             $fila=mysql_fetch_array($r);      
                if ($fila > 0) 
                {//inicio del if si fila > 0 
                $pass = $fila['password']; 
                $clave = sha1($clave); 
                        if ($pass == $clave) 
                        {//inicio del if para validar la clave 
                            session_register('nom_usu'); 
                            $_SESSION['nom_usu'] = $fila['nombre'].' '.$fila['ape_pat'].' '.$fila['ape_mat']; 
                            $_SESSION['tiempo'] = time(); 
                            $_SESSION['tipo_usu'] = $fila['tipo_usu']; 
                            $dom="sistema.php"; 
                            header("Location: http://".$_SERVER['HTTP_HOST'].dirname($_SERVER['PHP_SELF'])."/".$dom);  
                        }//fin del if para validar la clave 
                        else 
                        {//inicio del else del pasword 
                            $_SESSION['NO']="Contraseña no válida!!!"; 
                            $dom="inicio_sesion.php"; 
                            header("Location: http://".$_SERVER['HTTP_HOST'].dirname($_SERVER['PHP_SELF'])."/".$dom); 
                        }//fin del else del password 
                }//fin del if si fila > 0 
                        else 
                        {//inicio del else del usuario 
                            $_SESSION['NO']="Nombre de usuario no válido!!!"; 
                            $dom="inicio_sesion.php"; 
                            header("Location: http://".$_SERVER['HTTP_HOST'].dirname($_SERVER['PHP_SELF'])."/".$dom); 
                        }//fin del else del usuario 
                        mysql_free_result($sql);//libera la consulta 
           }//fin del else si los campos txtusu y txtclave no son vacios 
                    mysql_close();//se cierra mysql 
    }//fin if si se usa txtusu 
else 
session_destroy();//se termina la sesion            
?>   

[eulloa]

Iniciado por kriss8725

Que tal buena tarde, quiero si las variables de $_SESSION se pueden pasar por la url, esto lo pregunto porque quiero saber si mi pagina web quedaria vulnerable ante eso, muchas gracias.

Si ya vas a utilizar sesiones, no tienes porque pasarlas por URL , mas info sobre session
http://www.google.com/search?hl=es&q...meta=&aq=f&oq=

[eulloa]

A simple vista, no parece tener algún problema
¿Te ha presentado alguno a tí?

[kriss8725]

no me a presentado ningun problema, gracias pero solo que queria estar seguro de eso y las variables no las paso por la url, lo preguntaba por si alguien queria entrar a una seccion que no deberia y pusiera la variable por la url

[eulloa]

Iniciado por kriss8725

no me a presentado ningun problema, gracias pero solo que queria estar seguro de eso y las variables no las paso por la url, lo preguntaba por si alguien queria entrar a una seccion que no deberia y pusiera la variable por la url

El tema de la seguridad de sesiones en PHP ha sido ampliamente abordado, puedes consultar
http://www.google.com/search?hl=es&q...meta=&aq=f&oq=

Si quieres profundizar