$Session$ 作为会话，保存了用户的状态和相关信息，避免用户每次请求界面时都要用密码认证。$session id$ 是用户访问特定站点所需的唯一内容，用户拿到后会加密保存到 $cookies$ 上，所以在生命周期内 $session id$ 被窃取就等同于账户失效
setcookie([name],[value]) 函数，向客户端发送一个 HTTP 的 cookie 值，必需的参数是名称与值，但这不重要，只需要关注 $session id$ 的生成规律才可以猜到 $session$ ，正如同弱密码一样
直接用 burp 抓包后传给 sequencer 让其自动分析，可以得出会话的安全程度
也可以伪造 cookie ，根据所得到的规律伪造出
1 | payload：dvwaSession=5; security=low; PHPSESSID=nmud1saf3m6mjqjp2igtquu5mn |
放在 hackbar 的 cookie 里面，就可以免密码登录进 $dvwa$ 网站
所有难度都可以如此