CityCat4

на хосте стоит винда, на ней могу запустить серый файл

Боже, этому правилу лет так двадцать (ну в общем столько же, сколько первым вирусам) - не какать там, где сидишь :)
А вот этому - несколько тысяч лет. И оба они примерно обо одном и том же - запускать всякую непроверенную гадость нужно только на изолированной машине. Но ни в коем случае не на хосте.
Параноики обычно держат отдельную физическую машину, отключенную ото всего - как в Первых отделах в СССР.
Параноики меньшего уровня заводят виртуалку, запускают в ней что надо, потом виртуалку удаляют и при необходимости снова разворачивают ее из некоего фиксированно чистого состояния.
Параноики еще меньшего уровня просто не читают весь этот Ваш бред про диассемблинг и декомпиляцию - до тех пор, пока за Вами не стоят деньги или политические интересы - Вы никому нафиг не интересны.
(что не отменяет необходимости запускать всякую лажу на отдельной изолированной виртуалке - просто так, для дополнительной защиты)

Верно, но при ооооочень большом списке оговорок.

- Это Firefox
- В нем установлены AdBlock, NoScript, BetterPrivacy, Blur и еще все какие-только-можно-придумать плагины
- Пользователь не лезет в настройки. Вообще.
- Пользователь не ставит плагинов, не меняет тем, вообще ничего не делает с браузером, только закладки сохраняет
- Пользователь внимательно читает то, что ему показывают и при малейшем подозрении зовет админа или более продвинутого пользователя

И то, стопроцентной гарантии я бы не дал.

AdBlock стоит? NoScript? На ооооочень большом количестве порносайтов есть такая система - на каждый N-ый переход к просмотру картинки/видео тебе показывается всплывающее окно с рекламой. Порносайты живут за счет рекламы, фигли. FF зачастую такие окна просто блокирует (а те, что не блокирует - у меня открываются во вкладках - есть такая настройка), а если стоит NoScript - то очень часто открывается либо пустое окно, либо окно с значком Noscript.