Как устроена авторизация по паролю в web-приложениях?

также можно угнать и куку сессионную

и что это даст?