クッキー総当たりもあるしなあ。盗まなくても全部試せばってのもある。

正規ユーザのログインを阻害しておけば、いつまでも取得したクッキーで成り済ませるというのもどうかと。