Я правильно понимаю что если мы узнаем sess_xxx из темпа или через куки у "жертвы" то подменив у себя на такой же сервер будет считать все $_SESSION['BlaBla'] "жертвы" также и нашими ?
или там IP тоже играет роль ?