Ibland kallad TCP-sessionskapning, är sessionskapning en incident där en tredje part tar över en webbanvändarsession genom att erhålla sessionsnyckeln och låtsas vara den auktoriserade användaren av den nyckeln. När kaparen väl har initierat kapningen kan han eller hon använda vilken som helst av de privilegier som är kopplade till det ID:t för att utföra uppgifter, inklusive användning av information eller resurser som skickas mellan upphovsmannen till sessionen och alla deltagare. Kapningar av denna typ kan vara lätt märkbara för alla berörda eller vara praktiskt taget omöjliga att upptäcka, beroende på vilka åtgärder kaparen vidtar.
Processen för sessionskapning fokuserar på de protokoll som används för att upprätta en användarsession. Vanligtvis lagras sessions-ID:t i en cookie eller är inbäddat i en URL och kräver någon typ av autentisering från användarens sida för att initiera sessionen . Det är vid denna tidpunkt som kaparen ibland kan använda sig av defekter i nätverkets säkerhet och fånga upp den informationen. När ID:t har identifierats kan kaparen övervaka varje datautbyte som äger rum under sessionen och använda denna data på vilket sätt han eller hon önskar.
Sessionskapning är ungefär som en man-in-the-middle-attack, eftersom kaparen kan fånga upp information som strömmar till och från den auktoriserade användaren, antingen kopiera eller till och med ändra den innan den skickar den vidare till den avsedda mottagaren. Denna typ av kapning erbjuder ytterligare möjligheten att använda sessionen för att leta efter annan data som inte skickas fram och tillbaka, förutsatt att datornätverkssäkerheten inte upptäcker vad som verkar vara ovanlig aktivitet kopplad till den auktoriserade användaren. Av denna anledning handlar sessionskapning inte alltid om att bedrägligt skaffa proprietär information; ibland är det helt enkelt att störa en operation genom att ändra data och mata in falsk information till källor där det kommer att göra störst skada.
Att hitta sätt att undvika utnyttjande av möjliga svagheter i autentiseringsprocessen är en del av processen att försvara sig mot sessionskapning. För detta ändamål använder många företag skiktade säkerhetsprotokoll som maskerar autentiseringsprocessen när den sker. Som med de flesta säkerhetslösningar upptäcker hackare ständigt sätt att kringgå dessa förebyggande åtgärder, vilket gör det nödvändigt att ständigt utveckla nya processer som blockerar kapare innan de har chansen att stjäla eller ändra data som en del av ett företagsspionage.