这几天互联网爆出用户帐户泄密事件，先是CSDN，然后是其他互联网巨头，然后又是天涯，似乎没完没了。事实上，远远不止这些，这仅仅是开头而不是结束，以后会爆出更多、更广、更有害的泄密，比如通信公司用户帐号泄密、银行系统用户帐号泄密，事情只会越来越严重。除非出现新的安全体系模型。
大型互联网公司，不可能没有安全机制，什么硬件防火墙、软件防火墙、杀毒软件、主动防御、漏洞扫描和动态补丁补个不完、自动更新更个没完，等等……，现在能够使用的浑身解数几乎统统用上。
可是为何还会中招？
这是因为目前的安全体系思维过于陈旧，基本上都是从DOS时代传承下来的安全思维，基本上都是哪出问题补哪的安全方式。说句不好听的话，基本上都是“事后诸葛亮”、“马后炮”。即使是什么“主动防御”，也没什么突破性思维。
密码泄露了，就研究让密码加个密，以为那样即使密码丢了对黑客也不会有什么用，以为黑客即使得到密码也无法破解。事实上，网上破密用的密码字典很大，几乎囊括所有可能的密码方式，甚至不需动用暴力破解就可以把绝大部分密码进行破解。
密码数据库泄露，就说明这个网站的核心服务器已经是别人可以随意控制的“私人机器”了，人们总是心理安稳就满足。当XP推出的时候就欢呼以后电脑就安全了，当Vista推出的时候也欢呼以后电脑就安全了，当Windows 7推出的时候也欢呼以后电脑就安全了，现在又翘首以盼，听说当Win8推出以后电脑就安全了。或者，还有人认为可能Windows不安全，所以我们用Linux就安全了，微软的系统可能不安全，我们改用苹果的可能就安全了。事实上，无论使用哪个操作系统，只要你有重要信息数据，黑客照样可以攻克。
有人认为针对黑客应该由政府立法来惩戒就可以解决问题，每一个国家的宪法都规定杀人是刑事问题，可是每天照样有人被杀。所以依靠“权威”来震慑是没有用的，何况技术的问题，传统的立法体系根本就跟不上。让擅长打人的警察在擅长敲键盘的技术领地里与黑客过招，后果可想而知。
由于CSDN是我的老朋友，我特意去听了他们组织的一个小型封闭式的“安全研讨会”，我听到的还是哪些“修补性思维”，只听到一个哥们谈“为什么不能跳出补漏洞的办法，漏洞补不完、那我们能不能就不补，我们为什么不能换一个方式、换一种思维来实现安全？”，这是令我耳目一新的“新思维”。
的确，现在的电脑安全需要“新思维”。
打个比喻，来说明现有安全体系的思维。
假如电脑就是一个开放的菜市场，菜市场是小偷可以光顾，顾客也可以光顾的地方。那安全的问题就是防止小偷出现。现有的安全方法就是找出小偷，并给小偷贴一个标签“我是小偷”，然后，一旦看到小偷来了，我们就派出城管把它一棍子打死。可是，小偷也是有思维的，小偷也需要保命，于是，小偷就不断化妆、不断更换衣服、不断变脸，使得“我是小偷”的标签失效，然后，小偷就可以在菜市场里自由行动。于是，我们就给小偷发很多标签，以至于标签堆积如山，标签体积远远大过这个菜市场，这就是“杀毒的安全思维”。
既然，小偷经常变换身份，所以就想出来一个“新发明”，就是总结小偷经常的走动路线，把这条路线定义为危险路线，只要有人按照这条路线走，他就“可能是小偷”，于是我们就按响报警，不管什么人只要一走动就报警，以至于想要来买菜的人都提心吊胆，屡屡被警告是小偷，这就是“主动防御”的思维。
又有人，发现菜市场安装防小偷门卫保安，那小偷就不能从正门进来，于是小偷就从墙头翻进来、可以从狗洞钻进来，于是，就发明了专门找出可以翻进来的墙头、狗洞，并且把这些墙头、狗洞堵住。可是菜市场太大了，天天找都能找出很多可以翻进来的墙头，堵住了狗洞还有猫洞，堵住了猫洞还有老鼠洞，堵啊堵，就是堵不完。这就使“漏洞扫面”、“漏洞补丁”的思维。
有人认为这个菜市场太烂小偷太多，换一个新的菜市场就好了，不知道其实只要有菜市场必然有小偷，只是某一个菜市场离市中心太远，市场不够火，很多小偷懒得去而已。这就是以为“换个新操作系统”就安全了的思维。
总之，现在的安全思维不外乎如此，但是小偷到目前为止照样在菜市场里转悠，照样行动自如。
单从大规模用户帐户数据库泄露来看，黑客有几种办法，一种简单的办法就是通过正常的访问请求就被系统当作普通数据传出来。稍微复杂一点的就是注入办法获得网站管理员密码，然后自由下载。再复杂一点的就是爆破攻击，激发漏洞提升权限然后运行自己想要的工具，进而上传自己专用工具，完全控制一台服务器，然后以此为据点进一步控制其他机器，直到所有有用的核心服务器都在自己的掌控制下，慢慢再找出自己想要的东西，比如用户数据库，再把整个数据下载下来。
一台服务器，只要安装一些工具软件，基本上都有10万个文件，即使是刚安装好的系统文件个数也都在2～3万的数量级别，可执行的文件有1万多。系统越来越庞大，提供的漏洞必然会越来越多。
目前随便一个软件就是几百MB、上GB的大小，其中绝大部分是可执行的应用数量。所以漏洞多得无法计算。
现在的编译工具添加了一些补救措施，比如安全SEH、禁用数据执行等等，只能说给黑客添加来一点麻烦而已。
黑客分为几个层次，核心层次是寻找漏洞，这层次的黑客以攻克技术为乐，工具就是反汇编和Debug工具，有没有源码不重要。第二层次是利用漏洞制作工具。第三层次使用工具。
