我可以使用其他用户的会话详细信息，并可以进行会话劫持。
对于前任。我使用用户"a"登录，并保存"a"的会话cookie并注销。现在我用另一个用户"B"登录，登录后在Burp工具或任何浏览器扩展工具的帮助下用"A"的会话cookie替换会话cookie。
现在我可以执行类似"A"的动作了。由于"A"现在已登录，没有任何登录详细信息。这是一个非常关键的问题。
此外，我可以上传双扩展名文件(例如filename.exe.txt).
但您忘记了会话劫持最重要的部分，即如何访问其他会话cookie？你可以替换你的cookie登录任何网站，毕竟，这就是它们的工作方式，它们用于模拟HTTP等无状态协议中的状态，这是预期的行为。
这里真正的问题是如何获得其他用户的会话cookie来模拟他们。例如，如果会话cookie是通过使用可预测的算法生成的，即使用自动递增的会话令牌，该令牌总是在前一个令牌上加1，那么您只需获得会话cookie，减去1，瞧，您将被验证为不同的用户。
获取会话cookie的另一种方法是使用XSS攻击，如果cookie没有被标记为仅HTTP，那么你可以通过javascript获取它们并将它们发送到你的服务器，在那里你将使用它们来模拟不同的用户。
然而，只要抓取你的会话cookie并在不同的浏览器中使用它，然后以没有凭据的用户身份登录，这根本不是会话劫持，这只是预期行为。
我认为这里的问题是，你说你以a身份注销，它没有过期你的会话令牌，因为你仍然可以使用用户的a cookie，但除此之外，我认为没有任何问题。