Si può creare di proposito un sito vulnerabile per attaccare un server di un provider di hosting?

Non avresti bisogno del sito vulnerabile se hai già un account sull'host condiviso. Quello di cui hai bisogno è l'esecuzione del codice sull'host. Una vulnerabilità legata all'esecuzione di codice in modalità remota in uno dei siti Web ospitati ti dà questo, certo. Ma se hai già il tuo account, perché non caricare semplicemente il codice che vuoi eseguire?

Suppongo che l'installazione di un'applicazione vulnerabile potrebbe essere un modo per evitare di essere ritenuto responsabile dell'attacco ("non ero io, ero stato violato"). Ma non è strettamente necessario.

Le aziende che offrono hosting condiviso devono cercare di separare i diversi account il più possibile. Questa non è sempre una cosa facile da fare. Le vulnerabilità nel sistema operativo o le errate configurazioni del server possono essere sfruttate per accedere ad altri account. Un buon fornitore di hosting potrebbe rendere tali attacchi difficili mantenendo il software aggiornato e configurando le cose correttamente. Ma a buon mercato è raramente buono, e l'hosting condiviso è spesso economico.

Avere una vulnerabilità suggerisce un punto debole che verrebbe sfruttato da un utente malintenzionato, il che non è vero quando l'utente malintenzionato ha già accesso al sistema (il provider di hosting).

Ciò che sembra chiedere è la possibilità di sfruttare altri tenant sui sistemi, che è una domanda troppo ampia per rispondere in uno, e dipende dal modo in cui le risorse sono condivise sul server.