Session-ID "klauen"

[Daywalker]

King Lully ist schlecht informiert.

ich frage mich, welche Möglichkeiten es gibt, Session-IDs zu "klauen".

Erraten oder erschnüffeln, wenn kein SSL zum Einsatz gekommen ist.

Das sind nicht die einzigen Methoden.

Ist es z.B. durch Einbinden eines Links auf einen oder eines Bildes von einem anderen Server (z.B. über ein Gästebuch, das HTML erlaubt) innerhalb eines internen Bereichs möglich, die Session-ID auszulesen?

Wenn die Session-ID in der URL übertragen wird: Ja.

Anders gefragt: Wird in den Access-Logs des "anderen Servers" die Session-ID unter dem Referer-Eintrag sichtbar?

Nöö.

Ja - wenn die Session-ID in der URL übertragen wird.

Welche anderen Gefahren bringt das Einbinden von Links und Bildern mit sich?

Keine.

Jede Menge, die noch weit über die Verschleppung der Session-ID hinausgehen.