Per rispondere alla domanda: l'amministratore del sito web deve essere presente sull'exploit.
La tecnica di codifica è lì per offuscare gli script di exploit reali, volando quindi sotto il radar dai metodi di rilevamento correnti. Richiede ancora HTML / Javascript nella pagina web per decodificare ed eseguire l'exploit.
Vale a dire, se avessi codificato un exploit in pleasedontrunthis.jpg , I (l'amministratore web), avrebbe comunque bisogno di aprire l'immagine in questo modo:
<script src="pleasedontrunthis.jpg">
Per rispondere alla domanda nel titolo: Non proprio.
Questa è una tecnica di codifica, non un exploit. Richiede che l'aspirante attaccante offra Javascript dannoso per ... Javascript dannoso sul server. Questa tecnica potrebbe fornire un'adeguata offuscazione per nascondersi dagli scanner automatici e umani per un periodo di tempo potenzialmente maggiore rispetto agli exploit che offrono enormi muri di testo semplicemente premendo F12.
In pratica ciò significa che qualcuno potrebbe hackerare un sito Web (ad esempio, attraverso una vulnerabilità di Wordpress) e fornire un exploit silenzioso che richiederebbe più tempo per trovarlo.
In realtà, se un exploit nel toolkit era in grado di pinnare la tua macchina, sarebbe molto probabilmente pwned la tua macchina in entrambi i modi. La realtà è che non tutto il codice malevolo si renderà evidentemente ovvio, quindi c'è sempre un rischio intrinseco al momento di decidere di consentirlo.