目前有没有针对session的攻击？

Question

就目前来说，验证用户是否登录或者用户身份，大都是用session来实现的，不知道目前有没有伪造session的可能，或者针对session的攻击。另外，除了session方法，还有什么方式可以验证用户是否登录等功能？

Answer 1

用硬件可以。银行之类的会用到。
session是随机产生的，而且是保存在服务器上的，不会被修改。

Answer 2

如果不外泄源码， 对方很难知道你服务器上的session以什么处理机制来实现， 基本就是攻击session 等于攻击服务器

Answer 3

可以尝试劫持客户端的 SESSION ID

Answer 4

如果客户被盗号了， 也只能是客户的问题， 除非你的sid没做好加密工作。