Вредоносные скрипты

Прошу прощения, если вопрос ламерский.
Мне казалось, что клиентские веб-скрипты (Ява там или VB) не имеют доступа к локальной файловой системе. Т.е. вот так запросто поменять файл hosts с помощью скрипта нельзя.

Каким образом всяческие вредоносные сайты получают доступ к моей машине, если я гарантированно ничего не устанавливаю, а просто захожу на сайт? Т.е. работает только клиентский код сайта, бац - файл hosts подменен. Как это делается и как это пресечь?

P.S. да-да сайт скорее всего порнушный, почему-то все считают своим долгом про это переспросить :)