session安全问题

Question

假如我知道一个人的用户名和密码,通过遍历来获得用户的session id,然后登陆修改用户的session内的信息么？？腾讯面试官问我的，我当时晕了

Answer 1

有了用户名和密码还要去修改个啥的session信息？
就算是打算修改session信息吧，怎么改？能改已经都取得服务器的管理权限了，还改啥呢?

Answer 2

哈哈，我是菜鸟我都知道，id 就是那个session的位置，如果有谁可以动服务器，那他太牛了！!!