да, если они гарантированно в одной подсети (а это можно узнать, посмотрев ip/маску похеканой машины и ip второй машины), то можно замутить крутейший спуфинг и перехватить пароль или куки админа (скажем, при аутентификации в админке без https).

вообще, при доступном спуфинге можно много чего попытаться сделать, тут уже по ситуации смотреть нужно.

для начала реализации, нужно сделать полноценную консоль на похеканной машине (backconnect в помощь). тулзы для спуфа/снифа http://linuxgazette.net/issue63/sharma.html