Il protocollo WebSockets è una bestia difficile da valutare in questo momento, poiché cambia frequentemente. Dopo i difetti in draft-hixie-thewebsocketprotocol-76 del protocollo WebSockets scoperto da Adam Barth et al. alcuni mesi fa, Firefox ha disabilitato l'implementazione WebSockets in about: config preferences. Da allora, una nuova versione del protocollo è in lavorazione, attualmente fino a draft-ietf-hybi-thewebsocketprotocol-07, che tenta di correggere i difetti scoperti. I browser si adattano rapidamente alla nuova versione - vedi ad es. Bug di Mozilla # 640003 . Ma - dall'altra parte, i server WebSocket cercano ancora di mantenere la compatibilità con le versioni precedenti, ad es. Socket.IO server ancora supporta la versione pre-76 .
Quindi potresti ancora riuscire a connetterti al server WS fuori dal browser, forzando la versione precedente del protocollo (vedi il mio strumento già citato nei commenti sopra).
Tuttavia, non è possibile inviare traffico completamente arbitrario attraverso la connessione WS. I frame iniziano con NUL byte, terminano con \ xFF, con una stringa UTF-8 tra (+ un handshake), quindi gli attacchi cross-protocol non sono così facili da eseguire. Tuttavia, preferisco usare la versione crittografata WSS: // rispetto a quella in chiaro.