这篇文章在网界看到的，拿来和大家分享下，虽说MAC系统在日常生活用的人并不多。但是安全还是要普及。
如果Mac OS X默认账户是具有管理员权限的用户，恶意软件创建者则可利用这一点感染用户的计算机。
对于计算机的日常使用，建议用户创建一个非管理员账户，在需要执行管理任务时，再登录管理员账户。操作如下：进入“System Preferences”中的“Accounts”一项，然后创建一个非管理员账户。在日常使用的情况下，如查阅邮件、上网，都可以使用这个新的非管理员账户。这样的操作可以帮助用户最大程度的避免零日威胁和浏览即下载式的恶意软件攻击。
2、使用包含沙盒功能的浏览器，记录并及时修复安全问题
推荐用户使用Google Chrome浏览器，它的好处之一就是更新频率比苹果自带的Safari浏览器要高。此外，带有的Flash Player沙盒版的Chrome能显著阻拦对漏洞的恶意探测。Google Chrome平稳的、自动的更新方式解决了修补安全漏洞时的负担。如果安装这个新的浏览器，请将它设置为默认浏览器。 继续阅读
事实上，我在读这本书的时候，自身对于安全的一些基础概念理解的并不是很好。现在看完之后，有一个比较清楚的概念，拿出来和大家分享。
下面就随手写写，看完这本书，我自身补充的几个不太理解的概念性的东西。
1、谷歌浏览器的沙盒模式。
根据这本书的描述，谷歌浏览器是第一个采取多进程架构的浏览器，主要进程分为：浏览器进程、渲染进程、插件进程、扩展进程。
而沙盒模式则是将进程分离开来，对于浏览器来说，采用的Sandbox技术是可以提高用户的安全性，让不受信任的网页代码，Javascript代码运行在一个受限制的环境当中，而从而使得本地用户不受感染。
2、XSS的分类。
（1）反射性XSS，本意就是反射，即反射给浏览器用户，也叫非持久型XSS。
（2）存储型XSS，简单理解为存储在服务器端的XSS。又叫持久性XSS。
简单举例就是，在一个留言板，对用户的留言没有进行严格的过滤，那么就会导致用户输入的<script>alert(/xss/)</script>存储至服务器，造成对后面来访的用户进行一次XSS攻击。
（3）、DOM Based XSS，即通过修改页面DOM节点形成的XSS。
未完(待续)
2012.8.18续上文
本着对读者负责的态度，我又再一次对文章进行撰写，毕竟很多人通过搜索引擎过来看到这篇文章。
其实刺总的东西太多了，一篇文章根本总结不完，我也不好意思拿自己一些错误的理解进行分享。
但是我愿意拿出手头上仅有的白帽子讲web安全的pdf文档拿出来给大家下载！当然，看完之后你有想法也可以给我留言~
毕竟想法不一样，我也渴望与你探讨此书中的一些技术。
下载提供：白帽子讲web安全.pdf
最近在微博看到了这本书,当时手头比较紧,看了一下目录,认为这本书可读性不错，全书围绕着白帽子针对安全的思想进行讲解。
于是琢磨着入手买了一本。
于是在今天收到了发货，里面的一些思维方式看了之后确实很受启发。
目前没看完，等看完了再写一篇关于这本书的看法与收获。。
清明假期确实够长，也应该好好利用一番。。
这是真实案例，并且先是我转发引发起的一系列的案例。
漏洞证明：
通过漏洞可使系统自动发信息告诉你 已中奖 增加可信度！
这是发活动后3分钟内中招的用户
在十多分钟内我就收集到了300名的用户信息！
骗子证明：
我上微博时候发现有人转发了@茅台网上商城 发起的活动 一个砸金蛋的，因为链接地址属新浪 所以我相信了，狗屎的砸了一下发现中奖，按照页面提示写了个人信息。本想坐等奖可是后来觉得越来越不对劲，于是查了下。
两个月不上微博，刚上就给我们发中奖信息？夸张
由于时间原因，只上传了这些证明图片，经过我们的专业技术检查确定了这个活动为虚假钓鱼活动。且新浪微活动存在钓鱼漏洞。这个活动是属黑客的钓鱼行为，帐号已被黑客利用。在4.1日 10点半时已有8000人参与了此号发起的活动，也就是说有8000名用户的个人信息遭到了泄露。唉，悲哀啊。
按黑市价：一个用户的信息可以按RMB出售，一手信息为2-5RMB，按最便宜的2RMB 那么黑客此次可以非法获取8000*2=1.6W RMB 而且这个是最低价 假如按5RMB 那么就是8000*5=4W
如果信息转手卖掉 也就是我们说的二手 三手 多来数次 此黑客大约最低可以获得5-8W左右收益。蛋疼！！
具体的漏洞证明我们将在近日公布。本来是想今天公布的，但是由于漏洞利用方式简单，怕发出来被非法分子利用，所以坐等修复吧，漏洞已报乌云漏洞平台，漏洞修复后漏洞细节到时会发的。
91ri.org点评：不想说什么，我也中招了，大家自己以后小心点吧，只能这样了 – – 唉
感谢el4pse等人的帮助。
原文链接:http://www.91ri.org/2998.html
今天起来看微博，都在讨论对于信息安全事故的一些探讨。
事件引发:dedecms内容管理系统被植入一句话后门，织梦官方否定了乌云对其cms的漏洞报告，并且偷偷的修复了漏洞；
本人不才，不是什么大牛，在这里和大家分享一下自己的思路和想法。
安全研究人员:@QzqZQZqz说:
看见最近圈里大家在说漏洞有偿无偿且和道德挂钩讨论，想起某朋友几年前在一安全大会说过咱和国外的安全研究人员没法比，老外衣食住无忧，安全研究挖个漏洞纯粹是兴趣爱好外加成就感，现在看老外的调调好像也没到衣食无忧的境界。安全漏洞是有绝对经济价值的，与道德无关，很多人就是无知。
对于这点，其实国内没办法和国外相提并论，国外提倡自由，很多东西，不是国内能匹敌。而且拿国外的安全人员和国内的比，也没有可比的意义。
对于技术来说，国内与国外完全是两个阶层：在这里打住（本人没有任何看不起国内安全研究人员的意思，还是那句话，清晰的目标很重要）。
在国外，更多的安全研究人员是注重漏洞发掘，而不是对漏洞拥有的一种炫耀。在国内，更多的hacker是对技术一种崇拜，真正做到淡泊名利，一心研究技术的人，可以说是很少。 继续阅读