Это предположение, так как Cookies и перезапись URL-адресов - это большие два, но технологически, я думаю, было бы возможно:
- Сделайте массивный хакер с помощью javascript, который захватывает все ссылки и отправляет форму с информацией.
- отслеживать сеанс на сервере по IP
У обоих есть свои недостатки и дыры.