iframe注入如何发生在网页上？

Question

我最近了解了iframe注射并看过一些例子。我想知道，黑客如何首先访问网站？他们是否必须能够访问主机上的html文件？