PHPのセキュリティで他人のセッション変数を勝手に使われる場合の条件は？

Question

PHPを使ったウェブサイトに、セッション変数を使ってユーザーそれぞれのアクセス許可レベルを保存しようとしています。

例えば、ユーザーがウェブサイトに行くときに、自動的にメンバーに応じたセッション変数を獲得できるようにしたいと思っています。

ハッカーがウェブサイトを訪れたときに、メンバーではなく管理者のセッション変数を書き換えることが出来てしまうのでしょうか？

やり方を知りたいのではなく、もし上記の作業が出来るなら、アタッカーはどのような方法を取りアクセスを試みるのでしょうか？(コードの書き換えなど)

アクセス許可レベルを時間が経つと満了になるトークンと置き換えてしまうことを考えましたが、いかがでしょうか。
（埋め込むのにかなり時間がかかると思います。）

ご意見いただければと思います。

よろしくお願いします。

Answer 1

以下の条件がなければ出来ません。

・アタッカーが保存されているセッション変数にアクセスがある(サーバーのファイルシステムやデータベースなど)
・アタッカーが特権をもつユーザーのセッションクッキーを傍受してしまう。
・アタッカーが特権を持つユーザーのセッションに固着出来てしまう。