session.c のphp_session_create_id
spprintf(&buf, 0, "%.15s%ld%ld%0.8F", remote_addr ? remote_addr : "", tv.tv_sec, (long int)tv.tv_usec, php_combined_lcg(TSRMLS_C) * 10);
ハッシュ前のベースは、IPと時間と乱数で文字列つくってるだけだね。　
あとは、session.entropy_fileの設定があったら、それもいれてたり