1. Боян, в разделе Проверка на уязвимости уже выкладывали.
2. Все сессии привязаны к айпи - все xss в пролете, в куках только идентификатор сессии.