Встроенный фрейм в страницу. В этом и суть, что не понимаю, как получают доступ к файлам сайта.

Также можно выполнить не только iframe, но и script к примеру. Вообщем любую комбинацию тегов.