Session or Cookie
HTTP是无状态的：每一个请求都是独立的。
For Example：
超市<------会员卡------>顾客
会员卡：Cookie，用户端访问凭据。常存储在浏览器中；
会员卡管理系统：Session，创建会员卡（SessionID）存储用户信息。
用户登陆逻辑
用户登陆成功------>服务器生成session，存储用户信息-------->下发随机生成的sessionid到浏览器
以后每次登陆都携带这个Cookie，服务端即可确认用户身份
php会化管理
session_start()即可
php——session
通过文件包含，包含session文件 进而getshell
1.session文件位置在哪？
session文件保存的位置，一般以文件的方式存储在/tmp目录下
phpinfo()会泄露配置信息，进而get到文件位置
2.session内容如何可控？
前提：存在源码泄露，或开源程序。进而分析代码，看一下session中都存了什么，如$_SESSION["username"]="kinnisoy";此时修改自己用户名为一句话木马即可。
