Session-ID "klauen"

[King Lully]

King Lully ist schlecht informiert.

Das lesen wir aber ungerne. Aber, wenns stimmt...

ich frage mich, welche Möglichkeiten es gibt, Session-IDs zu "klauen".

Erraten oder erschnüffeln, wenn kein SSL zum Einsatz gekommen ist.

Das sind nicht die einzigen Methoden.

Welche denn noch?

Anders gefragt: Wird in den Access-Logs des "anderen Servers" die Session-ID unter dem Referer-Eintrag sichtbar?

Nöö.

Ja - wenn die Session-ID in der URL übertragen wird.

Moment, das ist ja wohl browserabhängig. Kann da mal differentiert werden?

Welche anderen Gefahren bringt das Einbinden von Links und Bildern mit sich?

Keine.

Jede Menge, die noch weit über die Verschleppung der Session-ID hinausgehen.

"Jede Menge"? Wohl eher wieder die Referer-Problematik.