Как ведёт себя session_id() «жертвы»?
идентификатор сессии передается кукой или гет-параметром. 
если вы их не сохраняете, то сессия всегда будет новой.
session_start()-то есть у жертвы? И куки должны стоять/сохраняться курлом