La variable de sesion desaparece cuando el servidor detecta que el usuario a abandonado la sesion o cuando tu lo fuerzas, es decir con el session.abandon. Lo del servidor, no siempre que cierras el explorador, éste detecta que el usuario a abandonado, sino que aveces espera al tiempo de sesion (que por defecto son 20 min) y si no hay actividad, cierra la sesión.
Lo que puedes hacer es que el usuario tenga la opcion de cerrar la sesión, por ejemplo con un boton que le lleve a una pagina cerrar.asp en la que escribes session.abandon y asi se borrarán todas las variables, y avisas que el que no lo haga, no te haces responsable de que se quede abierta la sesión y que puedan usar su logeo.
Respecto a lo del querystring, si que se puede hacer tambien, pero ten cuidado a la hora de las comparaciones, si las haces, ya que lo que le pasas es una cadena de texto y no un entero en el caso de que pases un numero.
