In session hijacking, which item is typically targeted by attackers?

Đáp án đúng: "Cookie". Session hijacking (chiếm phiên) là lấy được định danh phiên của người dùng đã đăng nhập để mạo danh họ; trong ứng dụng web, định danh này thường lưu trong session cookie, nên cookie là mục tiêu chính, có thể bị lộ qua XSS, nghe lén kết nối không mã hoá hay session ID dễ đoán. Phòng thủ là đặt cờ HttpOnly, Secure, SameSite cho cookie và dùng HTTPS. "Username" sai vì tên đăng nhập chỉ là một nửa thông tin xác thực; có nó mà không có phiên hay mật khẩu thì chưa chiếm được gì. "HTTP method" sai vì GET hay POST chỉ là kiểu yêu cầu, không mang trạng thái đăng nhập. "IP address" sai vì địa chỉ IP có thể bị giả mạo trong một số kiểu tấn công mạng, nhưng ứng dụng web hiện đại gắn phiên với cookie chứ không với IP, nên IP không phải thứ thường bị nhắm tới.