Nein, Andreas, das ist kein Denkfehler. Aber normalerweise gibt man Scripte nur temporär frei. Beim nächsten Browserstart wird die restriktive Voreinstellung wieder wirksam und blockiert wieder fein säuberlich.
Das Problem sind die permanenten Freigaben, die man früher oder später auf Seiten erlaubt, die man häufiger besucht (das suf ist z.B. so eine bei mir). Aber auch dort kann ich fein steuern, welche Seite Scripte ausführen darf (das suf) und welche nicht (google z.B.). Logisch ergänzt eine Google-Suche dann keine Worte im Eingabefeld, weil ich hiermit defaultmäßig auch google.de blockiere, aber das benötige ich auch nicht.
Gegen eine gekaperte Seite hilft daher auch wieder nur ein aktueller Browser (Firefox) und ein aktuell gepatchtes System (Mac). Aber NoScript hilft gegen die vielen zusätzlichen Problemquellen wie eingebettete Werbebanner. Und wenn die Scripte temporär freigegeben waren, ist eine gekaperte Seite für mich zunächst dennoch sauber. Schließlich kenne ich deren Inhalt schon und weiß, was mich eigentlich interessiert, erneut anzusteuern, ohne den restlichen Kladderadatsch laden zu müssen.
Eine Zeit lang habe ich über gelegentlich eingeblendete Popup-Fenster gelächelt, die einem in schönster Windows-IE-Manier eine Verseuchung meines Systems glaubhaft machen wollten. Beim Surfen mit Safari auf dem Mac
Die Leute haben dazugelernt und passen solche Popups in der Zwischenzeit schon mal an...
Google hatte seinerzeit Schadcode verteilt, obwohl Google selber sauber war. Wie kam das damals zustande ? Google bietet den Dienst "Sponsored Links" und "Adwords" an. Dort wird von dritten Material in die Seite eingefügt, und zwar kontextsensitiv zu bestimmten Suchbegriffen. Damals hatte jemand eine dieser Seiten gekapert und Google lieferte den Schadcode freiwillg aus, sobald der Suchbegriff passte. NoScript hätte in so einem Fall einer Infektion vorgesorgt.
Zugegeben, das klingt konstruiert, ist aber heutzutage leider gängige Praxis. Daher auch mein Zug-um-Zug-freigeben einer Seite; erst die Domain, die die Seite selber hostet - meistens reicht das bereits -, dann eben nacheinander diejenigen, die mir sinnvoll erscheinen. Die seltsamen lasse ich bis zum Schluß blockiert, und meistens zeigt sich die Seite schon vorher in ihrer vollen Pracht.