Hello,
Du kannst das Session-Verzeichnis im Script ändern, bevor Du die session_start() aufrufst.
Es sollte aber außerhalb der Document Root liegen. Alles andere ist eine Sicherheitslücke und bestenfalls zu Testzwecken sinnvoll.
http://de3.php.net/manual/en/session.configuration.php#ini.session.save-path
http://de3.php.net/manual/en/function.ini-set.php
Liebe Grüße aus dem schönen Oberharz
Tom vom Berg