No estoy muy seguro de lo que preguntas "¿podría ser posible hacer esto con cualquier software existente?" ¿Pregunta si hay soluciones de software existentes que puedan inyectar scripts en una sesión web?
Supondré que está preguntando el "por qué" y el "cómo" se hace y las implicaciones desde el punto de vista del riesgo. Primero, cuando estás en una red pública (el wifi del hotel es bastante público), la conexión atraviesa la red del hotel (generalmente subcontratada a algún proveedor). Con el tráfico HTTP no cifrado, un dispositivo (generalmente un dispositivo basado en Linux) se puede implementar en línea (lógica o físicamente) para interceptar, monitorear y modificar el tráfico de acuerdo con un conjunto de reglas / políticas definidas. Los proxies adelantados son una implementación bastante común de dispositivos que interceptan el tráfico web saliente. Los proxies de reenvío pueden implementarse de tal manera que todo el tráfico HTTP y HTTPS finalice en el proxy antes de continuar a su destino previsto.
Los proxies de reenvío (y otras tecnologías para interceptar, modificar, monitorear) se implementan comúnmente en la configuración corporativa. Por lo general, también se implementan en bibliotecas, en Amtrak, en Internet inalámbrico en línea y en muchas otras áreas públicas. Por lo general, se implementan para asegurarse de que las personas no estén haciendo cosas que no deberían hacer y para proteger al proveedor de la red de responsabilidad legal (es decir, pornografía infantil). Sin embargo, la tecnología se puede implementar para permitir más ... objetivos cuestionables. En el caso de los gateways de extracción de ingresos (RXG), los proveedores de la red los implementan para ganar dinero con sus usuarios.
Los sitios HTTPS plantean un desafío único. Debido a los pasos de arquitectura y validación, el proxy de reenvío debe poder "falsificar" un certificado "válido" en el que su navegador confía. Por lo general, la interceptación de https solo se implementa en la configuración corporativa y en las redes corporativas (donde los usuarios no tienen mucha privacidad). Por lo tanto, si navega por los sitios HTTPS en ubicaciones donde se implementan los RXG, probablemente no estará sujeto a la inyección de scripts de terceros, malintencionados o no. Ha habido informes verificados en los que una CA pública ha eliminado una subCA para ciertas implementaciones, por lo que no hay garantías de que un sitio HTTPS sea legítimo a menos que realmente sepa sobre PKI.