会话劫持：为什么偷 Cookie 比偷密码更管用
被盗的密码还得先闯过登录表单：如果账户背后有多因素认证（MFA），这道门通常守得住。被盗的会话 Cookie 则是另一种东西：它在登录已经成功之后才被签发，此后账户的一切操作都只凭这条 Cookie 完成认证。正是这种不对称，解释了会话窃取为何悄然成为攻入受保护账户的首选路径。
机制很简单：登录时，服务器向浏览器下发一条会话 Cookie；从那一刻起，后续每个请求都只凭这条 Cookie 完成认证。MITRE 为技术 T1539 编写的条目 Steal Web Session Cookie 指出，这类 Cookie 可以存在于“磁盘、浏览器进程内存和网络流量”中，持有者便能“以已认证用户的身份、无需任何凭据”使用应用。与之配套的重用技术 T1550.004 则记录道，重放的会话“由于会话本身已完成认证，可以绕过部分多因素认证协议”，且 Cookie“往往在较长时间内持续有效”。为什么 Cookie 胜过密码
三个特性让 Cookie 比它所取代的凭据更有价值。它已经在 MFA 之墙的另一侧：会话创建时，合法用户已经出示过第二因素。它的使用不会产生任何登录失败的噪音——攻击者以一个正常的、已认证的浏览器身份到来。而且修改密码并不必然终结会话。因此检测依赖行为而非请求本身：MITRE 列出的信号包括来自“异常 user agent 或异常位置”的 Cookie 重用，以及“不可能旅行场景与异常行为”。 国家级攻击者也在同一道缝隙上作业。MITRE 记录了 APT29 在 SolarWinds 事件中通过复制浏览器配置文件目录窃取 Chrome Cookie，后来又使用伪造的 duo-sid Cookie 绕过 MFA；Star Blizzard 则利用经 Evilginx 类代理收集的会话 Cookie 侵入受害者邮箱。这些操作都不需要破解密码学、也不需要击败任何认证因素——需要的只是浏览器早已持有的那份东西的一份副本。AiTM 工具包给登录墙当代理
工业化的版本是 adversary-in-the-middle（AiTM）工具包。只收割密码的假登录页活不过第二因素；AiTM 站点则给真实登录当反向代理：受害者经由攻击者的中继正常完成认证，验证码照常输入，工具包在流程末端收下签发的会话 Cookie。微软在 2022 年 7 月记录了这样一场以 Office 文档和语音消息为诱饵、自 2021 年 9 月以来波及约 10,000 家组织的活动——按微软的说法，该活动的设计目标就是“窃取密码、劫持已登录的会话（窃取会话 Cookie）并绕过 MFA”。 如今这一模式以订阅制运转。2026 年 9 月，BleepingComputer 报道了 BigBear 2.0——一个基于 Evilginx2 的钓鱼即服务（PhaaS）框架，已在 258 家组织绕过了 MFA。报道援引 CloudSEK 的报告称，运营者面板握有 5,137 条凭据记录——包括 474 次完成 MFA 绕过的完整认证、1,032 个明文密码和 4,148 条会话 Cookie——关联到 40 多个国家/地区的 3,331 个受害者唯一 IP 地址。重放流量经由与受害者所在国家匹配的住宅代理转发，工具包注入的 JavaScript 则干扰 FIDO2/WebAuthn 提示，把受害者推向更弱的认证因素。Stealer 日志就是 Cookie 库存清单
更安静的管道是 infostealer 恶意软件，而它的市场已明显转向。BleepingComputer 2026 年 4 月的报道介绍了以 Storm 之名出售的一款 stealer：这是一套租赁面板——七天演示版 300 美元，团队档每月最高 1,800 美元——其核心不是密码转储，而是一块在服务器端重建已认证会话的 Cookie 恢复面板：给面板喂一个 Google refresh token 和一个地理位置匹配的 SOCKS5 代理，面板便会静默恢复受害者的已认证会话。该报道背后的研究者指出，会话 Cookie 窃取正在取代密码窃取，成为 stealer 开发的主要目标。这重写了 stealer 日志的含义：与其说它是待验证的凭据列表，不如说它是“一扇扇已经打开的门”的库存清单——每一扇都有效，直到会话过期。
什么才真正降低风险
这些对策毫不起眼——这也是它们常被跳过的原因之一。它们与微软和 MITRE 自首批 AiTM 浪潮以来的建议高度一致：- 缩短会话生命周期，定期删除持久化 Cookie——MITRE 的缓解条目说的正是这一点。长寿的“记住我”会话是这门生意的原材料。
- 把会话绑定到设备或网络上下文：要求受管设备的条件访问规则，能让裸 Cookie 重放失败，哪怕 Cookie 本身是真的。
- 盯住重放：不可能旅行检查与会话异常告警能抓住大多数 Cookie 重用。
- 把敏感账户迁移到抗钓鱼认证。硬件绑定的 passkeys（FIDO2/WebAuthn）与登录的目标域名绑定，AiTM 代理无法中继它们——BigBear 之类的工具包之所以试图压制这些提示，原因正在于此。
- 登出。在服务器端结束会话会使 Cookie 失效；关掉标签页不会。