中安威士数据库安全加固方案之公有云解决方案 (中安威士数据库加密公司)

一、背景

当前，云计算成为流行的IT系统解决方案。它的可扩展、可伸缩的弹性计算能力，极大的减小了IT建设和管理的难度。并且其以租代购的方式极大的减少了投资。公有云是最重要的一种云计算方式，可以为全球的用户建立起应用系统。但是在公有云中，应用系统和支撑其运转的数据库都迁移到云端，数据的安全是十分重要的问题。越来越多的云端数据泄漏事件，比如最近的部署于云端的某游戏160多万用户数据的泄漏，给云中数据库的安全拉响警钟。相比于传统计算环境，云计算的开放性和虚拟化的特性，传统的数据安全方案变得复杂甚至无能为力，给云端的数据库的防护带来了更大的挑战。

二、中安威士简介

中安威士是北京中安比特科技有限公司专属品牌和注册商标。中安比特专注于数据安全管理领域，经过十余年技术积累，已拥有国内最全面的数据库安全加固产品线——中安威士数据库安全加固系列产品，包括数据库审计、数据库防火墙、数据库加密、数据库脱敏等，能帮助客户降低数据安全风险并轻松满足合规要求。中安威士面向云计算的数据安全管理方案可为云计算和大数据环境中的数据资产提供全面的安全保护。

三、技术方案

1、传统技术方案的限制

为解决数据的安全管理，中安威士提供数据库审计、防火墙、透明加密、脱敏等产品，形成数据在其生命周期中的产生、使用、存储、备份等阶段的安全解决方案。其中，对数据库系统部署数据库审计和防火墙，实现对数据的访问状况的监控和访问控制，是最基本的安全需求。在传统网络环境中，通常采用旁路镜像、直连、OS代理等方式实现。在公有云环境中，仍然有必要部署数据库安全加固产品，对数据生命周期中的各个阶段的安全加固。并且部署数据库审计和防火墙仍然是最基础和最必要的防护手段。在公有云环境中，数据库审计和防火墙的旁路镜像、直连、OS代理等实现方式理论上都是可行的，但是在实际的场景中会受到具有各种限制。

1）镜像方式。在传统环境中，在交换机上配置端口镜像，将数据库访问流量镜像到数据库审计设备即可。然而此种部署方式需要云计算平台通过SDN定义出网络镜像，使得实施变得复杂，给云计算环境带来管理工作量的增大。而且租户并不能接受数据库的通信流量被云平台旁路。

2）直连方式。在传统环境中，通过代理或者透明网桥方式，将数据库审计或者防火墙部署于数据库之前，从而监控或者过滤到数据库的访问。同样的，这种部署方式需要云计算平台通过SDN定义出网络直连方式，使得实施变得复杂。而且，主流的云主机都只有一个虚拟网络接口，而这种部署方式至少需要两个接口。这就需要云平台对虚拟机做出调整，从而给实施带来进一步的困难。

3）OS代理方式。这种方式通过在数据库服务所在的OS上安装代理程序，将对数据库的访问镜像到审计服务器，或者对访问进行过滤。在公有云环境下，大多数的云服务厂商对外提供的RDS数据库服务是以sql访问接口形式体现的，并不会给租户提供数据库服务器OS操作的权限，更不允许给RDS服务器上安装任何软件之类的。这就需要云平台对虚拟机做出调整，从而给实施带来进一步的困难。

并且，以上3种方式，都不能实现对数据库访问的完整监控。比如通过虚拟机逃逸，或者攻击者直接登录数据库服务器OS并直接对数据库进行的操作等，都不能被记录或者过滤。

2、实现方案

为实现云端数据库的审计和细粒度访问控制，中安威士厚积薄发，在多年积累基础上，推出了适应于云计算环境的产品和解决方案。针对具体环境的不同，有两种具体的实现方案。

方案一：LOCAL探针，实现数据库审计。利用数据库自身的日志记录机制，使用SQL语句实现探针，获取并记录对数据库的一切访问，发送到独立运行的数据库审计服务器中。如下图所示。

该方案的优势如下：

1)没有任何侵入性：完全基于数据库的机制，使用SQL接口实现，对系统不做任何侵入式修改；

2)不会丢包：任何峰值的访问，都能够完整记录；

3)不会漏审：从任何方式访问数据库，都会被记录；

4)实施简单：不需要云供应商做任何OS级和软件级的改动，甚至可以独立于云供应商，租户购买云主机后，自行部署数据库审计系统；

5)弹性审计：根据实际的审计工作量，弹性的调整审计服务器的处理能力；

6)高安全性：用户自主选择的第三方的安全产品，云平台运维人员也不能操作和控制审计内容。

方案二：单臂代理，实现数据库审计和数据库防火墙。中安威士数据库审计/防火墙运行于独立的虚拟主机，APP/WEB服务器对数据库的访问指向中安威士主机，并且修改数据库配置，只响应来自中安威士主机的请求。中安威士主机在转发数据库访问通信流量的同时，对访问情况进行记录或者过滤。如下图所示。

该方案的优势如下：

1)没有任何侵入性：完全独立于数据库服务器和APP/WEB服务器，对系统不做任何侵入式修改；

2)不会丢包：任何峰值的访问，都能够完整记录；

3)实施简单：不需要云供应商做任何OS级和软件级的改动，甚至可以独立于云供应商，租户购买云主机后，自行部署数据库审计/防火墙系统；

4)弹性审计：根据实际的审计工作量，弹性的调整审计/防火墙服务器的处理能力；

5)高安全性：用户自主选择的第三方的安全产品，云平台运维人员也不能操作和控制审计内容。

3、测试结果

我们将如上方案部署于多个公有云系统，并进行了长时间的压力测试和稳定性测试，结论如下：

方案一结论：

1)在通常情况下，数据库服务压力不大时，审计系统对公有云RDB服务几乎没有性能影响；

2)在数据库服务压力比较大时，审计系统对RDB性能稍有影响；

3)在极端情况下，当数据库服务压力持续100%时，仅仅降低原来性能的10%左右；

4)在超高性能主机环境下，当数据库服务压力持续100%时，审计系统RDB性能影响不超过1%；

5)当用户数据库服务压力较大时，增加数据库服务器性能，基本可以消除审计系统对公有云数据库服务的性能影响；

6)经过长时间满负载压力测试，而使用本方案完全消除了传统部署方式中难以避免的丢包现象，100%的获取数据库操作，且运行稳定。

方案二结论：

1)当中安威士数据库审计/防火墙未满负荷运行时，对访问的延迟在微秒级，对业务处理吞吐量的影响几乎为零；

2)经过长时间高压力测试，本方案没有丢包现象，且运行稳定。

四、方案优势

中安威士云端数据库安全审计和防火墙方案，基于十余年技术积累，为云端数据提供必要的和弹性的安全管理能力。除了上文所述优势，本方案还具有如下突出优势：

快：业界最高的处理性能。

►超高的连续处理、入库能力

►超高的日志检索速度，支持排除查询，支持任意关键字组合查询

►超高的日志存储能力

智：智能化自动学习，基本实现零配置。

稳：十余年技术积累，国内最早专利技术，上千实际案例，产品运行稳定。

全：全面的功能和全面的审计。

►不丢包：高峰流量不丢包，完全审计

►不漏审：全方位的审计，不漏掉从任何途径对数据库的访问

►全功能：具有敏感数据发现、性能审计、漏洞扫描和风险评估

►能够部署于任何环境

美：美观的报表和界面。提供大量报告模板，包括各种审计报告、安全趋势等。可实现报表格式和模板的自定义。

细：细粒度的审计和访问控制，达到字段、语句级。

现在的淘宝支付宝交易骗子多吗？手法是怎么样？

很多，下面为你列举一些，及反骗方法

骗招：高仿URL地址

手法：这是骗子首先使出的招数，当你在网上发出求购信息之后，骗子主动用QQ联系你，生成自己有你所需的商品，然后骗子会将一个以假乱真的网络地址发给你，你或许认为那是淘宝的网站，其实那只是骗子的高仿URL地址。

高仿购物网站的骗子非常注意网址的仿真性，他们会利用淘宝网站链接地址中含有的字符串名称申请域名，然后在字符串名称前面加入这样接近淘宝网站的迷惑性字符作为二级域名，已达到让人信以为真的目的。

制作一个高仿域名的手法极为简单，只需要申请一个网站，然后利用网站管理程序添加二级域名即可，目前高仿诈骗中的骗子非常钟爱新网的域名管理系统。

危害：许多普通网民对于网络链接地址的认识仍然非常模糊，因此误以为链接地址中包含有这样的字符就会是淘宝网站，且不知道有种东西叫做二级域名，就是在网站真正的域名前面可以加入大量的其他英文单词，这给了骗子可乘之机。

当骗子在QQ上将一个这样的地址发给你的时候，你认为这个地址是淘宝的吗?

现场2：刚才的网址你是不是点击了?弹出了一个你熟悉的网页，淘宝网。赶紧点击够购买按钮购买相关的商品吧，店主说他一会儿就下班了，点击购买，输入你的淘宝用户名密码……

环节：登陆淘宝网

骗招：高仿网站

手法：有了高仿网站，骗子还制作了高仿网站——和淘宝一摸一样的网页，甚至连页面中的店铺都是从真实的淘宝网站上复制而来的，整个网站的细节都和你以前看到过的淘宝网站一摸一样，没有一丝的区别。这其实是骗子精心制作的一个高仿网站，是他从淘宝网的页面中搜索复制出信息后，然后加工修改的诈骗页面，让你认为你点击开的那个网址就是淘宝的网址。

许多用户相信自己的眼睛，认为看到的就是真实的。殊不知网络上许多信息都可以造假，网页、网站更是如此。从淘宝上保存下来网页，然后修改成一个一摸一样的虚假诈骗网页，仅仅需要几分钟。

危害：当你认为这是一个真实的淘宝购物网页的时候，会立刻点击购买按钮，此时虚假的网页也会弹出一个与淘宝一摸一样的登录窗口，此时如果你在这个窗口中输入了淘宝的账号密码，那么这些信息会很快发送到骗子那里。骗子则会使用你的账号登陆淘宝，查询你是否有余额，并进行虚假的诈骗交易，骗走你账号中的余款。

现场3：此时突然店家热心的问你，你使用的是什么银行卡付费，回答他吧，这么好的人，都给你打了个8折了。接着在购买页面中输入收货人地址，然后选择银行，点击确认购买……

环节：确认缴费

骗招：偷梁换柱

手法：当你要确认付款的时候，骗子会用从你那里得到的银行信息，通过“盛付通”、“易宝”这类支付系统生成一个订单链接地址。骗子会将这个链接地址加入到虚假的支付宝购买页面中，然后等待你完成付款，而如果你支付了这个订单，就会将钱款转入到骗子指定的账户中。

危害：不得不承认，骗子让整个支付过程流程化大大的提高了用户察觉骗局的过程，让整个骗局看起来更加的天衣无缝，更加符合在淘宝网购物的真实感受。

现场4：你选择了银行，点击了购买，此时弹出了银行的页面，果然不是骗子，骗子怎么会能够生成银行的订单呢?骗子通常都是用转账手法，骗你给他们转账。所以赶紧输入账号密码付款吧!

环节：付款

骗招：虚假订单

手法：这些订单绝对是真实的订单，只不过都不是用支付宝生成的，骗子们通过申请一些审核不严的电子支付系统的商业用户权限，就可以获得相关支付系统的接口，就可以生成这些以诈骗为目的的网银订单。

危害：网银是真实的网银，订单是真实的订单，但是所有的钱款都汇入了骗子的口袋之中，而用户可能此时已经失去了辨别真假的能力。支付网站审核不严格是造成这个问题的主要原因。

如何反诈骗

计算机安全领域里，钓鱼式攻击(Phishing，与钓鱼的英语fishing发音一样，又名“网钓法”或“网络网钓”)是一种企图从电子通信中，通过伪装成信誉卓著的法人媒体以获得如用户名、密码和信用卡明细等个人敏感信息的犯罪诈骗过程。

根据安天实验室最近的分析报告显示，从今年七月份开始，国内通过钓鱼网站进行的网络诈骗活动率增不减。新型的诈骗更是花样百出，不仅有单纯的依靠虚假信息进行非法诈骗的活动，更有甚者还会结合网页木马进行挂马诈骗。而网络结合线下钓鱼的诈骗活动更是造成了严重的危害，仅今年就发生了39.7万和158万元两起重大案件。

但是仔细观察整个“高仿淘宝网站”诈骗过程，骗子仍然露出了许多可以的马脚。

反诈骗手段1：

只要你稍加留意就会发现，骗子在QQ中发来的地址前方会带一个?号的盾牌标志，而真正的淘宝地址，则会出现一个绿色带着对勾的盾牌标志，这是QQ提供的信任网站检测功能。

反诈骗手段2：

打开骗子的高仿淘宝网站，你仔细观察会发现，店铺提供联系方式的淘宝旺旺一定不在线，而骗子也不会轻易通过淘宝旺旺跟你取得沟通。因为骗子伪造的高仿淘宝店铺中的旺旺账号多数取自于淘宝网站真是的店铺，所以说骗子其实并不拥有它们伪造的店铺中的那些账号。而且当你点击店主淘宝旺旺联系方式的时候，你也会发现，多半是点击不开的。

反诈骗手段3：

由于骗子制作的是虚假淘宝网站，所以对于已经有淘宝账号的网友，可以先尝试着输入错误一下，如果在你明显输入错误的情况下，网站仍然提示你成功登陆进入了，说明你登陆的是骗子的网站。

除了登陆中存在问题之外，假淘宝网站也没有你之前在淘宝网站购物时留下的收获人地址，假淘宝网站总会要求你输入收货人地址的信息。但许多购买虚拟商品的玩家不需要输入收货地址，所以不注意这个问题，这也是导致许多骗子能够成功的重要原因

反诈骗手段4：

在最后的付款环节，骗子们会询问你使用的是什么银行卡付款，只有这样他才能够生成相对应的银行订单，而在真正的淘宝网站交易的时候，卖家通常不会关心消费者使用的是什么银行卡这些信息。

反诈骗手段5：

当进入商城付款时，骗子由于是使用的其他支付系统，而非淘宝的支付宝，所以在银行显示的商城名称中，通常不会显示支付宝的名称，而是显示其他电子支付系统的名称。

近两年为了防止网络诈骗、网络钓鱼和黑客，支撑淘宝网的支付宝还进行了多次网络安全加固和改进，这其中包括数字证书等科技手段保护用户的网上银行安全。网络诈骗者们似乎很难得手，加上近几年支付宝已经成为用户购物时的“网络钱包”，骗子在想依靠欺骗用户将钱直接打到骗子自己的信用卡中十分困难。因此在许多网民看来，淘宝、支付宝所构建的安全体系绝对值得相信。

骗子为什么却能够屡屡得手，甚至让一些老网虫也落到了骗子的圈套中呢?高仿的“淘宝”钓鱼网站虽然能够完全模仿淘宝购物的全过程，但是却无法模仿支付宝从银行生成订单转款的过程。以往骗子们在临到最终达成交易时刻，会要求消费者将钱款直接打到他们的卡中，或者提前完成支付宝交易，然而在近期高发的这些骗局中，付款过程显然被骗子们轻易解决了，而且是在支付宝之外解决的，这显然是关键中的关键。

反诈骗手段6：

目前处理网络钓鱼的方法仍然有限，除了传统的SSL加密、CA验证服务器技术手段验证之外。对于普通用户而言，目前流行的做法是通过浏览器外挂安全软件，如FireFox 2中使用的Google 反网钓软件，IE和遨游可以使用的“锐甲”浏览器保护软件等。

以锐甲为例，它的防护手段是当通过智能在线数据库发现网址中包含钓鱼信息，并且来自高度可以的非淘宝网站时，就会暂时中断用户的访问，提醒用户该网站不可信。目前已经能够对绝大多数淘宝钓鱼站进行识别和验证。

刚开始学习黑客技术最起码要知道哪方面的电脑知识

啊等等，在那里可以学到任何东西，书上的东西太死板，你未必就看得懂，我看过一篇文章，我也感触很深，也推荐给你看以看：写给所有新手：一点学习方法总结早已经习惯熬夜的我，今天，我学到很多东西，也明白很多，所以写下此文。我没有师傅，也没有拜过师，只有老师，是现实生活中学校的计算机老师，并非网上找的所谓的“高手”，有人问过我，没有师傅怎么学习？难道学习技术就一定要找师傅吗？找师傅你们的条件就是技术好，无非就是多入侵了几个站的，试问他们能帮助你们什么？帮助引导你们犯罪吗？再说高一点，就是一些精通一门甚至几门技术的，他们是真正高手，但是他们又能帮助你们什么？技术革新太快，科技日益进步，我们如果想立足就一定要不断学习知识，即使技术再高超，也需要学习技术，否则到头会落后，那么他们也需要学习，但是我没见几个真正的高手是有师傅的，即使有，也没有对他太多帮助，学习是靠自己的。换个角度，你是高手，别人找你当师傅，天天问一堆简单的问题，你有耐心回答吗？没有人会耐心回答你的，更没有耐心教你什么，既然是高手，他们不会把时间放在你身上的，而是放在更深入的地方！从中美黑客大战以后，网上许多界内的人不断建立组织，黑客站点到处是，培训班自然也不少，其实，那些VIP教程说难听点只是堆垃圾。你去参加培训班甚至是浪费钱，甚至被骗，当然肯定是学的到东西的，不过你花钱学的网上很多。网络资源丰富，教程和文章当然很多，所以没必要花钱去培训，当你要学某技术时，先在网上看看文章、搜索下视频，然后对这门技术有所了解后，或者熟悉后，可以买书，结合看书和在电脑上实际操作，效果很好的。学网络安全不要听别人所说的开始从编程、系统原理、网络结构等学起走，如果你是个初学者，一来就给你本编程语言的书，你会看得懂吗？你会学的起走吗？除非你是天才，三年前我接触网络时，也就是我开始学计算机时，是从黑客技术开始的，当时我没有任何人教我、指导我，我是从工具开始的，如果你想学好技术，兴趣是重要的，一开始就扔个你本程序语言书会打击你对技术上的信心，反而，如果用工具，比如明小子之类的，入侵某个站以后，会觉得有很大成就感，从而增大了你对学技术的信心和兴趣，当你熟练掌握工具以后，你要学会勤于思考，你应该想想这个工具是怎么实现这个功能的，为什么这样做会入侵到这个站点，这个漏洞又是怎么形成的，比如SQL注入，你应该思考为什么要加and 1=1、and 1=2来判断，为什么这样做就会查询到数据库内容，它是怎么形成这个漏洞的，这时你会知道要涉及到ASP方面的内容，如果你有了兴趣就可以从ASP下手，然后慢慢的学习其他语言。自己解决问题永远是个最好的办法，比如你系统出了某问题，你就去QQ群里到处叫，去问好友，耐心的会以几句话给你说，不耐心的根本不理你，如果你花时间等别人告诉你答案时，还不如花时间多在网上搜索下，网络和谷歌永远是你最好的老师，比如系统错误提示***，你可以把提示的内容在搜索引擎里搜索，答案很快找到，在解决过程中你又学到了知识了。学技术不需要天赋的，我没既没有技术的天赋，也不聪明，只是花的时间比别人多，当别人熬夜甚至通宵打游戏时，我却又学到了很多东西，我不需要游戏，也不打游戏，如果你酷爱游戏，那就更要学技术了，要做到先是你打别人的游戏，最后到别人打你的游戏，当然这也不可能是人人都能做到的。如果你认为一个玩电脑的人不懂电脑无所谓，那么我告诉你，你错了，当你帐号被偷后，当你电脑中毒，当你游戏无法正常运行后，你会怎么办？难道抱着电脑去找别人修，还是打电话请人来修呢？或许这些都是些简单的问题，我们只需要花点点功夫和时间就能学会的东西，完全靠自己解决。我有一米多高的计算机书，我没有看完一本，父母说我是浪费，我不这样认为的，书上的东西很多我看不懂，就拿我最熟练精通的ASP来说吧，我买了两本书，前面的基础部分我看的懂，后面的全部看不懂，我全是靠多写代码，不懂就网络。我觉得一本书不需要看完它，因为书上的内容总是有限的，看书只看关键部分。不要死记硬背，很多技术到后来总是会明白其中的，学技术掌握的是方法而不是硬背，拿五笔说吧，一开学时老师让我们学五笔，但是我拼音打得很快就可以不学，在练习文章时可以发现打拼音会有明显的差别，很多陌生的字和难找的字，于是我决定学五笔，我是期中才学的，大概花了两三个星期，就达到班上比较好的名次了，他们却花了半学期来练习和背字根，至今我只背的到两句简单的字根，多熟悉键盘，掌握其中的规律就可以的。学技术不是一时的激情，别今天就说大话我一定要学好技术，一定要精通什么什么的，技术从浅到深，你会感觉到好玩和枯燥，越深就越显的很枯燥，很多人因此放弃，但是越深学好了就越有趣，如果你真要学好技术，就一定要坚持，到了深入的时候不要想着多恐怖，多困难，往好的方向想，想想学好后。不要听别人说某某某技术很难学，也别因为听说它太难学而恐惧，不敢学，没有面对下你怎么知道就难学呢？拿我学PHP来说，早听说过PHP很难的，有的人甚至很夸张，一直犹豫学不学的我最终还是选择学了，学后我才知道PHP不难学，相反个人觉得比ASP更简单，我花了几个月掌握ASP基本，PHP我只花了一个多星期掌握基本。学黑客也一样的，新手们不要以为黑客这个东西很神秘，真正学了以后你会发现除了本质上的安全问题，还是有很多问题出在管理员身上，他们有时太疏忽了。学习黑客不一定就要入侵很多站和计算机才算高手，相反掌握了技术去防范他才算真正的高手，更不能用技术去解决问题，比如谁惹到你了，你就声称要入侵了他的计算机，入侵只是一种深入学习计算机和加固安全的方法。不要问谁入门应该先学什么什么语言，如果你刚入门就学语言，那我实在很佩服你，等你技术到一定级别再去接触语言吧。也不要问刚开始学语言应该学哪门语言，看自己能力，如果你偷懒，那学VB吧，VB和ASP很相像，学好了VB再去学ASP，但是我要说，C语、汇编是必不可少的，你可以在后面慢慢学。逛论坛并不是好方法，别以为某某组织在界内名气很大，经常呆在那就会学到东西，至少我没有泡过论坛，甚至我自己站的论坛也很少去，更别说发帖了，如果你计算机出某个问题，去发帖还不如靠自己去找答案，别人交流的东西不一定是你看得懂的，毕竟每个人技术有限，花时间学你自己需要、感兴趣的吧！学技术更应该简单化，我是这样的，学脚本就是这样学的，你脑袋里只要记住，脚本语言不就是写入数据库-查询数据库内容-显示出来，这是核心部分，中间的什么判断、安全过滤之类的暂时别管。学好了一门语言就别担心学其他的语言了，因为编程语言结构之类的都大同小异，要是你会了一门语言再学其他的学起感觉太难那就是你自己的问题了。再说说现在新手的一个通病，许多人认为认识很多高手，自己的QQ等级高一点，就让人感觉很牛，QQ等级拿来有什么用？难道多个星星月亮你的技术就一定很好？认识那么多高手究竟是你很牛还是认识的那些高手很牛？为什么你不能象他们学习下呢？搞技术的不光技术要好，要知道在这个社会，老板不光只要你的技术，如果你的技术很好，其他很差有什么用？老板要的是个综合性好的人才，长期面对计算机会很内向的，甚至是一种心理疾病，所以建议你学学心理学，不说学太深，至少能解决自己的心理问题，然后多很各行各业的人交流，从他们身上学到自己没有的优点，三人行必有我师。身体也是最重要的，谁都知道长期面对电脑不运动对身体有害，还是要适当运动下，由于我从小体育不好，也没什么体育上爱好，所以只有靠其他的方式活动下了，这点我做不到，但希望你们可以做到。确定一个方向尤其重要，当你要学哪门技术的时候就一定要坚持学下去，别今天这学了一点又不学了，明天又去学其他的，有理想是好的，但是不要门门都会，但门门都掌握不好，特别是编程，要的不是学的多，而是学的精。看文章是个好习惯，虽然计算机上看文章的确难受甚至枯燥，但文章里有很多好东西，坚持看完一篇文章吧，但有的你不会全部看懂的，没关系，今天看不懂明天可能就懂了。不要经常和别人交流技术，毕竟两人水平不同，常常会争个面红耳赤，甚至有时丢面子，交流不一定要交流技术，多学学别人的好处、别人的学习方法。如果哪天你累了，看什么技术方面的东西都看不进去，什么也不想学，那么请你休息下，晚上早点睡，多出去走走，做做运动，然后慢慢接触技术，找回激情。我能说的也就这么多了，今天我才发现我还缺少很多很多东西，我还需要学习很多很多东西，技术更新太快了，让人接受不过来，还没喘气又得继续了，所以特写下此文，希望对大家有所帮助，别再迷茫了，如果以后有什么问题可以找我，但是别再问我技术问题，也别找我拜师，学习靠自己，自学会成才的，关键是看你付出的，希望通过此文能引导大家，我不能在技术上帮助大家，也只有把自己的学习方法总结一下了，自学会走很多的弯路，但这些弯路是个过程，你在成功中的路，如果你觉得你花了很多时间学技术，却感觉没有学到什么东西，那么你问你自己一句：你尽力去学了吗？ ——乱雪 2008年3月2日凌晨2点