摘要：
在跨站脚本攻击XSS中简单介绍了XSS的原理及一个利用XSS盗取存在cookie中用户名和密码的小例子，有些同学看了后会说这有什么大不了的，哪里有人会明文往cookie里存用户名和密码。今天我们就介绍一种危害更大的XSS——session劫持。神马是session想明白session劫持及其危害，首先要搞清楚什么是session，熟悉http的同学知道，http是无状态的，也就是客户端向服务器请求完成后，会断开连接，下次同一个客户端再次访问服务器的时候，服务器会把它当作一个陌生的请求，不会知道它曾经来过，这里有它的印记。但是这样的交互是非常麻烦的，某个网站有很多theme，通过一套机制记在服务 阅读全文