Про JS: Вся суть в общем: через дыры в браузере (напремер гуглохроме), вредоносным JS-скриптом загружаем на заражаемую машину и запускаем на выполнение вредоносный exe или dll, который уже и проводит атаку. (Да методу собственно уже лет и лет, впервые на AtiveX такое было провёрнуто, что собственно и сгубило того предшественника жабы прямо можно сказать при рождении). А если браузер работает с правами, достаточными для доступа к персональным файлам на дисках (типичная ситуация на "домашних" компах, и, увы, очень многих "офисных", то тут не надо и этих уязвимостей, чтоб разжиться всем нужным. Действенный выход - да, NoJS или старые браузеры (с Опера 11 и Мозилами тех лет такого вроде провернуть ещё не смогли, но как говорится имеем в виду что всё может быть) или из современненького - QT-browser, хорошая штука, тока не умеет JS, совсем. Кстати через последние флэшплееры тоже такое провернуть можно, по той-же схеме, Java тоже позволяет, но у ней такое по умолчанию запрещено для Веб-а, да и непопулярный метод, как говорится. так что да, с одной стороны KillerSerg абсолютно прав, с другой стороны я намекаю на домашних вёдрах не там и не ту дыру лечить нужно.