Такие вопросы конечно же, лучше задавать гуглу, но, сэкономлю тебе время. После авторизации на любом веб-ресурсе создаётся временный файл на сервере (сессия), которая идентифицирует клиента по кукисам. Соответственно, если жертва авторизовалась на сайте, а ты каким-либо образом добыл её кукисы и подставил их у себя в браузере, ты будешь считаться авторизованным юзером на сайте.