概念Session Token / Cookie / 登录凭证
会话令牌
浏览器与服务器之间维持登录状态的凭证，由服务提供方签发并存储于本地，持有者可在有效期内以账号所有者身份发起请求，泄露后风险不亚于密码泄露
时间轴 (近 90 天)
9月11日
攻击者通过窃取会话令牌可以绕过双因素认证(2FA)直接登录受害者账户
待验证50%
9月11日
会话令牌被劫持后，即使账户启用短信验证码或硬件密钥等2FA也形同虚设，因为认证在令牌生成时已完成
待验证50%
浏览器与服务器之间维持登录状态的凭证，由服务提供方签发并存储于本地，持有者可在有效期内以账号所有者身份发起请求，泄露后风险不亚于密码泄露
攻击者通过窃取会话令牌可以绕过双因素认证(2FA)直接登录受害者账户
会话令牌被劫持后，即使账户启用短信验证码或硬件密钥等2FA也形同虚设，因为认证在令牌生成时已完成