查看源码
<?php $html = ""; if ($_SERVER[‘REQUEST_METHOD‘] == "POST") { $cookie_value = sha1(mt_rand() . time() . "Impossible"); setcookie("dvwaSession", $cookie_value, time()+3600, "/vulnerabilities/weak_id/", $_SERVER[‘HTTP_HOST‘], true, true); } ?>
Impossible级别使用随机数+时间戳+固定字符串（"Impossible"）进行 sha1 运算，作为 session id，几乎不可能被破解。
而 tomcat 的 session id 值生成的策略，是一个随机数+时间+ jvm 的id值（jvm的id值会根据服务器的硬件信息计算得来），如果出现冲突就会再生成一个。
DVWA-9.4 Weak Session IDs（弱会话ID）-Impossible
原文：https://www.cnblogs.com/zhengna/p/12779209.html