если он ворует хотя бы сессию, значит сниффер работает и ты все правильно сделал. просто пользователь, который зашел на сниффер, был не авторизован.