通过session入侵网站的可能性

Question

最近在想，竟然我登录一个网站后是通过session记录我的用户id的，那么，如果我知道了登录后的网站的网址，我是不是可以通过自己设定一个session值，比如setAttribute（“username”,“123”)，直接跳转访问登录后的页面，服务器对session进行判断和取值（假如这里他也是getAttribute("username")），然后你就相当于跳过用户密码验证直接登录了网站？ps:这里我不太清楚服务器分配给客户端session对象的具体实现，我也是假设我们不在同一个服务器，如果不行，那么在同一个服务器下的不同项目下的网页通过这样的办法能达到我上面所说的入侵吗，或则说通过修改客户端cookie能不能达到效果呢？有大神解释一下吗，顺便把我的错误思路纠正

Answer 1

session是会话，服务器自己保存的，给客户端的是sessionid，这个id存在cookie中。
访问到服务器时，服务器根据id找session，找不到就另外创建一个新的。
你改cookie只能改id，改id，服务器就可能重新生产一个session，除非刚好碰到别人的访问sessionid，有这个概率随你便买彩票发财了