Duda Con El Identificador De Sesion

[roscar]

Hola a todos, tengo una dudilla con las cookies de sesion, en concreto con la validez de las sesiones. A ver por lo que he entendido de lo que he estado leyendo, la sesion en el servidor puede tener validez hasta que cierres todas las ventanas de la aplicación o hasta que tu le pongas si le pones un expire. Pero, ¿es independiente la validez de la sesion en el servidor y la validez de la cookie de sesion?
Pregunto ésto porque estoy probando una aplicación que se está desarollando, y estoy intentando ver el fichero de cookie para ver la cookie de sesion almacenada y nunca lo veo, he visto por ahí que es que el fichero de cookies no se guarda en local hasta que no se cierre el navegador, y que las cookies de sesion caducan cuando se cierra el navegador (con lo cual si la única cookie que se envia es la de sesion tiene lógica que no vea ningun fichero e cookie,¿no?) . Pero claro estoy haciendo una prueba de seguridad de la aplicación y intentando acceder a la aplicación con un identificador de sesión que se me había dado en una sesión anterior y la aplicación se lo traga, entra perfectamente, lo cual significa que en el servidor esa sesión aún sigue viva y almacenada en algún objeto, ¿no?.

¿Podría alguien aclarame esas dudillas de si la cookie de sesion nunca se almacena en el fichero de cookies y de si es posible entonces que la cookie de sesion ya no esté disponible para el cliente pero siga teniendo validez en el servidor?

Muchas gracias