nicht angemeldet
ich frage mich, welche Möglichkeiten es gibt, Session-IDs zu "klauen".
Erraten oder erschnüffeln, wenn kein SSL zum Einsatz gekommen ist. (Angeblich kann auch SSL mangels ausreichender Schlüssellänge geknackt werden (von entsprechend geschulten Diensten ;).)
Ist es z.B. durch Einbinden eines Links auf einen oder eines Bildes von einem anderen Server (z.B. über ein Gästebuch, das HTML erlaubt) innerhalb eines internen Bereichs möglich, die Session-ID auszulesen?
Was ist denn die SessionID? Sie ist eine Eindeutigkeit (eine Kennung), die vom Server vergeben wird und dann "roundtripped". Wenn Du die an andere weiterleiten möchtest und Deine serverseitige Logik dementsprechend anpasst, dann geht das natürlich, aber Sinn machts nur unter ganz bestimmten Bedingungen. Aber Du musst keine Angst haben, dass das bspw. PHP oder Perl "für Dich" machen, das uist nicht der Fall.
Anders gefragt: Wird in den Access-Logs des "anderen Servers" die Session-ID unter dem Referer-Eintrag sichtbar?
Nöö.
Welche anderen Gefahren bringt das Einbinden von Links und Bildern mit sich?
Keine.