Archive for 六月, 2006


销售人员的十大必备心态

  自从神奇教练米卢登陆中国后,“态度决定一切”这句话就常常出现在我们的耳边。不错,态度真的决定一切,可是什么样的态度将决定什么样的一切。态度是一个人对待事物的一种驱动力,不同的态度将决定产生不同的驱动作用。好的态度产生好的驱动力,注定会得到好的结果,而不好的态度也会产生不好的驱动力,注定会得到不好的结果。同时,对待任何事物不是单纯的一种态度,而是各种不同心态的综合。作为庞大军团的销售队伍,又应该有什么样的心态呢?

  1、积极的心态

  首先我们需要具备积极的心态。积极的心态就是把好的,正确的方面扩张开来,同时第一时间投入进去。一个国家,一个企业肯定都有很多好的方面,也有很多不够好的地方,我们就需要用积极的心态去对待。贪污犯还有,可是我们应该看见国家已经大力的整顿了;企业有很多不尽合理的管理,可是我们应该看到企业管理风格的改变。也许你在销售中遇到了很多困难,可是我们应该看到克复这些困难后的一片蓝天。同时,我们应该就正确的、好的事情第一时间去投入,唯有第一时间去投入才会唤起你的激情,唯有第一时间投入才会使困难在你面前变的渺小,好的地方在你眼前光大。

  积极的人象太阳,走到那里那里亮。消极的人象月亮,初一十五不一样。某种阴暗的现象、某种困难出现在你的面前时,如果你去关注这种阴暗,这种困难,那你就会因此而消沉,但如果你更加关注着这种阴暗的改变,这种困难的排除,你会感觉到自己的心中充满阳光,充满力量。同时,积极的心态不但使自己充满奋斗的阳光,也会给你身边的人带来阳光。

  2、主动的心态

  主动是什么?主动就是“没有人告诉你而你正做着恰当的事情”。在竞争异常激烈的时代,被动就会挨打,主动就可以占据优势地位。我们的事业、我们的人生不是上天安排的,是我们主动的去争取的。在企业里,有很多的事情也许没有人安排你去作,有很多的职位空缺。如果你去主动的行动起来,你不但锻炼了自己,同时也为自己争取这样的职位积蓄了力量,但如果什么事情都需要别人来告诉你时,你已经很落后了,这样的职位也挤满了那些主动行动着的人。

  主动是为了给自己增加机会,增加锻炼自己的机会,增加实现自己价值的机会。社会、企业只能给你提供道具,而舞台需要自己搭建,演出需要自己排练,能演出什么精彩的节目,有什么样的收视率决定权在你自己。

  3、空杯的心态

  人无完人。任何人都有自己的缺陷,自己相对较弱的地方。也许你在某个行业已经满腹经纶,也许你已经具备了丰富的技能,但是你对于新的企业,对于新的经销商,对于新的客户,你仍然是你,没有任何的特别。你需要用空杯的心态重新去整理自己的智慧,去吸收现在的、别人的正确的、优秀的东西。企业有企业的文化,有企业发展的思路,有自身管理的方法,只要是正确的,合理的,我们就必须去领悟,去感受。把自己融入到企业之中,融入到团队之中,否则,你永远是企业的局外人。

  4、双赢的心态

  杀头的事情有人干,但亏本的买卖没人作,这是商业规则。你必须站在双赢的心态上去处理你与企业之间的、企业与商家之间的、企业和消费者之间的关系。你不能为了自身的利益去损坏企业的利益。没有大家且有小家?企业首先是一个利润中心,企业都没有了利益,你也肯定没有利益。同样,我们也不能破坏企业与商家之间的双赢规则,只要某一方失去了利益,必定就会放弃这样的合作。消费者满足自己的需求,而企业实现自己的产品价值,这同样也是一个双赢,任何一方的利益受到损坏都会付出代价。

  5、包容的心态

  作为销售人员,你会接触到各种各样的经销商,也会接触到各种各样的消费者。这个经销商有这样的爱好,那个消费者有那样的需求。我们是为客户提供服务的,满足客户需求的,这就要求我们学会包容,包容他人的不同喜好,包容别人的挑剔。你的同事也许与你也有不同的喜好,有不同的做事风格,你也应该去包容。

  水至清则无鱼,海纳百川有容乃大。我们需要锻炼同理心,我们需要去接纳差异,我们需要包容差异。

  6、自信的心态

  自信是一切行动的源动力,没有了自信就没有的行动。我们对自己服务的企业充满自信,对我们的产品充满自信,对自己的能力充满自信,对同事充满自信,对未来充满自信。自己是将优良的产品推荐给我们的消费者去满足他们的需求,我们的一切活动都是有价值的。很多销售人员自己都不相信自己的产品,又怎么样说服别人相信自己的产品。很多销售人员不相信自己的能力,不相信自己的产品,所以在客户的门外犹豫了很久都不敢敲开客户的门。

  如果你充满了自信,你也就会充满了干劲,你开始感觉到这些事情是我们可以完成的,是我们应该完成的。

  7、行动的心态

  行动是最有说服力的。千百句美丽的雄辩胜不过真实的行动。我们需要用行动去证明自己的存在,证明自己的价值;我们需要用行动去真正的关怀我们的客户;我们需要用行动去完成我们的目标。如果一切计划、一切目标、一切愿景都是停留在纸上,不去付诸行动,那计划就不能执行,目标就不能实现,愿景就是肥皂泡。(这种心态在《心动不如行动》一文中有更详细的阐述)

  8、给予的心态

  要索取,首先学会给予。没有给予,你就不可能索取。我们要给予我们的同事以关怀;我们要给予我们的经销商以服务;我们要给予消费者满足需求的产品。给予,给予,还是给予。唯有给予是永恒的,因为给予不会受到别人的拒绝,反而会得到别人的感激

  9、学习的心态

  干到老,学到老。竞争在加剧,实力和能力的打拼将越加激烈。谁不去学习,谁就不能提高,谁就不会去创新,谁的武器就会落后。同事是老师;上级是老师;客户是老师;竞争对手是老师。学习不但是一种心态,更应该是我们的一种生活方式。二十一世纪,谁会学习,谁就会成功,学习成为了自己的竞争力,也成为了企业的竞争力。

  10、老板的心态

  象老板一样思考,象老板一样行动。你具备了老板的心态,你就会去考虑企业的成长,考虑企业的费用,你会感觉到企业的事情就是自己的事情。你知道什么是自己应该去作的,什么是自己不应该作的。反之,你就会得过且过,不付责任,认为自己永远是打工者,企业的命运与自己无关。你不会得到老板的认同,不会得到重用,低级打工仔将是你永远的职业。

  什么样的心态将决定我们什么样的生活。唯有心态解决了,你才会感觉到自己的存在;唯有心态解决了,你才会感觉到生活与工作的快乐;唯有心态解决了,你才会感觉到我所作的一切都是理所当然。

  办公室虽然只是一个小环境,却是一个大的生态场,足以让你窥一孔而知全豹,洞明世事,参透人情。

  升迁定律:仕入官场,每升一级,人情味便减少一分。

  升值定律:出口转内销,连舆论都是如此。

  游戏定律:无论你保龄球打得多“菜”,每次玩至少都会有一两次全中,令你满意高兴得下次再来。

  价值定律:未有想有的时候价值最高,一旦拥有开始贬值,拥有越多越不值钱。

  人生定律:拼命想得到的,都不是最需要的。

  旅游定律:没有比记忆中的风景再美好的了,所以不要旧地重游。

  金钱定律:在一切人手中,但不是一切。

  财物定律:支票总是姗姗来迟,而帐单总是提前到达。

  备份定律:学习用左手剪指甲,因为你的右手未必永远管用。

  为人定律:办事要“精”,而非卖力。

  会议定律:所有重要决策,都将会在结束或午餐前最后五分钟完成。

  思维定律:美好存在于想象中,太美好的东西都不是真的。

  控制定律:最容易控制的,往往比最难控制的还难控制。

  危难定律:总是问题越复杂,期限越短。

  合作定律:一个人花一小时可以做的东西,两个人做至少得花两小时。

  组合定律:不管干什么,总是有你希望的人和与你对立的人和你在一起。

  物种定律:绵羊的世界必会招致狼管。

  坏事定律:关键时刻,每个主管都会杀鸡取卵。

问题:

    本人一直有个疑惑的问题,代理合同与雇佣合同到底有什么不同?

    保险公司的代理人签定的都是代理合同,并非雇佣合同。但是代理人要遵循公司的上班打卡制度,而且迟到、请假、旷工都要罚钱。代理人并不享受公司正式员工的福利待遇,也享受不到社会保险。有些保险公司在代理人入职时还收取押金。是不是代理合同就不适用于国家的《劳动法》了? 

答复

    这主要是因为保险代理人很多都是兼职的,他本来就有自己的专职工作,利用自己的业余时间从事保险推销。因此和其它公司专门招用的销售人员关系不同。

    我们国家是将一个劳动者与其全职工作的用人单位之间形成的劳动关系承认它是标准的劳动关系,因此兼职人员与劳动法中规定的劳动者的权利是有区别的。你说的代理人那就更与劳动法无关了,代理人与被代理人之间是民事关系,不是劳动关系,它们之间的权利和义务也是适用民法、合同法等民事法律来调整的,而不适用劳动法。

1、 换机基本状态

  switch:
  rommon> ROM状态,路由器也是

  hostname> 用户模式

  hostname# 特权模式
  hostname(config)# 全局配置模式
  hostname(config-if) 接口状态
  hostname(config-subif) 子接口状态

2、 主机名设置

  hostname(config)#hostname name

3、 配置密码

  hostname(config)#enable password level 1 password 设置进入用户模式密码(cata1900)

  hostname(config)#enable password level 115 password 设置进入特权模式密码(cata1900)

  hostname(config)#ena ble secret password 设置特权加密口令为password

  hostname(config)#enable password password 设置特权非加密口令为password

  hostname(config)#line console 0 进入控制台
  hostname(config-line)#login 允许登录
  hostname(config-line)#password XXXX 设置登录口令为XXXX

  hostname(config)#line vty 0 4 进入虚拟终端virtual tty(cata1900不用设置)

4、 IP地址设置

  Hostname(config)#ip address ip –address subnet-mask 只在1900下可直接在全局配置模式下设IP
  Hostname(config)#int vlan 1
  Hostname(config-if)#ip address ip-address subnet -mask 在3550中要到vlan子模式、或在接口模式下设管理IP

5、 缺省网关

  hostname(config)#ip defaut-gateway ip-address

6、 接口配置

  hostname(config)#int e0/n 进入接口配置模式
  hostname(config-if)# duplex half / full 设置半双工、双工

  hostname(config-if)#description message 接口描述信息

  hostname(config-if)#trunk on/off 主干信息(只有百兆口才能配置)1900

  hostname(config-if)# switchport mode trunk 3550switch或其它中高端

  hostname(config-if)#no switchport 将一个二层端口转变成三层端口

  hostname(config-if)#switchport 将一个三层端口转变成二层端口
  注:通过no switchpor 配置命令,就可以把3550中的二层端口变成和一般路由器的FE端口没什么区别,在里面,可以分配ip address 或者做访问列表的控制、QOS相关的配置等等

  hostname(config)#intrange f number 进入一组接口

7、 配置VTP信息

  hostname(config)#vtp domain name VTP域名
  hostname(config)#vtp server/client/transparent 模式(服务器/客户端/透时域)

  hostname(config)#vtp password secret VTP密码

  hostname(config)#vtp pruning enable VTP剪除启动

  hostname(config)#vtp trap enable VTP trap 启动
  注:在3550等中高端交换机中也可在VLAN模式下进行以上配置
  hostname#vlan database
  hostname(vlan)#……

8、 VLAN配置

  Hostname(config)vlan-number name vlan-name 创建VLAN
  Hostname(config-if)vlan-member ship static vlan-number 端口分配给VLAN(1900SWITCH)
  Hostname(config-if)switchport access vlan vlan-number 端口分配置给VLAN(3550及以上)
  Hostname(config-if)switchport trunk encapsulation cisco|dot1 设置trunk封装
  Hostname(config-if)#switchport mode trunk 起主干
  hostname(config-if)#no shutdown
  注:在端口起trunk时,端口一定是个二层、并且不能设IP
  当要挂一个控制访问列表时,一般都要挂在trunk口上
  在创建VLAN时也可以VLAN模式下完成,
  hostname#vlan database
  hostname(vlan)#vlan vlan-number
  hostname(vlan)#name name-vlan

9、 启动路由

  hostname(config)#ip routing
  可以配置静态或动态路由,跟路由器一样了

10、 访问列表跟路由器的配置(一模一样)

11、 管理配置文件

  hostname#copy nvram tftp: 保存配置文件到TFTP
  hostname#copy tftp: nvram 从TFTP配置文件到交换机
  hostname#erase nvrame 删除配置文件
  hostname#copy flashtftp 将IOS映象文件复制到TFTP服务器中
  hostname#copy runnig-config startup-config 将配置文件从RAM中复制到NVRAM中(覆盖)

12、 配置的验证

  hostname#show version 查看版本信息
  hostname#show run 查看配置文件
  hostname#show ip 查看IP配置信息
  hostname#show interface 查看接口信息
  hostname#show vtp 验证VTP配置
  hostname#show mac-address-table 查看MAC地址与端口对应表

  hostname#show trunk A|B 查一个主干
  hostname#show vlan vlan-no 验证VLAN配置
  hostname#show vlan-membership 验证VLAN成员信息

  hostname#show cotroller int 显示接口的物理层信息
  hostname#show flash 显示闪存信息及内容
  hostname#show ip int brief 显示接口简要信息
  hostname#show ip route 显示路由表信息
  hostname#show user 显示进入的会话
  hostname#show sessions 显示登出的会话
  hostname#show line 显示终端(line)的配置信息

  1、影音文件在xp中无法删除

  很多情况下是因为预览功能搞的鬼。开始|运行中输入并执行“REGSVR32 /U SHMEDIA.DLL”,取消息预览。

  恢复时运行“REGSVR32 SHMEDIA.DLL”

  其实就是去掉预览功能

  2、注册表解锁

  方法一:

  REGEDIT4 [HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem]"DisableRegistryTools"=dword:00000000

  3、在xp下重装ie:

  运行注册表编辑器,找到[HKEY_LOCAL_MACHINESOFTWAREMicrosoftActive SetupInstalled Components{89820200-ECBD-11cf-8B85-00AA005B4383}],把键值从1改成0,重启后xp将自动开始安装 ie6

  4、永久不开启3721

  - Win9x/Me

  编辑文件 X:Windowshosts,添加一行代码:

  download.3721.com 255.255.255.255

  - WinNT/2000

  编辑文件 X:WINNTsystem32driversetchosts,添加一行代码:

  255.255.255.255 download.3721.com

  - WinXP

  编辑文件 X:Windowssystem32driversetchosts,添加一行代码:

  255.255.255.255 download.3721.com

  对于 CNNIC 的中文域名也可以用,域名改成 cdn2.cnnic.cn

  5、任务栏里的显示桌面丢失了怎么办?

  简单的方法::

  记事本新建输入:

  [Shell]

  Command=2

  IconFile=explorer.exe,3

  [Taskbar]

  Command=ToggleDesktop

  保存为 显示桌面.scf

  拖到快速启动

  6、WIN98中用快捷方式实现一键关机

  每次关闭计算机,都需要执行“开始/关闭计算机”命令,给本来就很简单的关机操作带来了很多麻烦,下面介绍一种实现一键关机的方法。

  首先需要在桌面的空白处单击鼠标右键,并且新建立一个“快捷方式”,在弹出的创建快捷方式对话窗口中,在“命令行”中输入“C:windowsRUNDLL32.EXE user,ExitWindows”,然后单击“下一步”按钮,给该快捷方式命名为“一键关机”,这时系统的桌面上就会出现刚才建立的快捷方式了,打开该快捷方式的属性窗口,进入“快捷方式”页,并且给该快捷方式自定义一个快捷功能键,如F11,完成以后,就可以按F11键执行关机命令

  7、将MP3中音质不好的部分去除

  修正MP3歌曲可以通过mp3Trim软件来实现。

  运行程序之后载入需要修正的MP3歌曲,首先要知道需要截取的是哪一部分,在“从头部”处输入截取部分的开始时间,单击右边的小喇叭按钮,同时在“从尾部” 处输入时间(这个时间是从文件末尾往前推的时间,所以此时间需用音乐总的时间减去刚才记下的时间来得到),单击右边的小喇叭按钮,紧接着选择保存便大功告成了。

  除了从时间选择截取片段,mp3Trim支持从帧来选择截取片段,其操作方法与时间截取大同小异,而且其他诸如音量控制、淡入淡出效果等功能也很有特色。

  8、双击窗口左上角的图标可以关闭窗口

  如果同时有多个窗口打开,想要关闭的话,可以按住shift不放然后点击窗口右上角的关闭图标

  9、输入法问题:

  1)、解决安装officexp输入法图标问题:

  只要把 x:windowssystem(x为安装windows的盘符)文件夹下的ctfmon.exe在dos下删除或改名即可。

  (用该法操作后第一次启动电脑时,如发现输入法图标不再系统托盘中,可在控制面板的输入法图标 中把它找回来)

  2)、找回office2003的输入窗口:

  在注册表中[HKEY_CURRENT_USER/Control Panel/Input Method/]下的Show Status值变为0,

  将其改为1。并重新登陆即可解决问题。

  10、用记事本减肥win2k

  进入c:winntinfsysoc.inf在编辑菜单中选替换,在查找中输入“hide,”点击全部替换,在添加删除中可出现一些常见的选项,你可根据自己的需要进行选择。

  fc /purgecache

  在运行里输入这个命令回车,可以清理很多缓存和一些备份文件,通常都能去掉300-400M的文件,对系统没有任何伤害,xp通用。

  11、用ghost压缩

  随便找一个gho镜像文件,用ghost explorer把文件中的内容删除。用ghost explorer打开空gho文件,并在ghost explorer的窗口里点右键粘贴或是直接把文件拖进窗口就行了。

  (ghost explorer的压缩速度比winrar还要快,而添加、删除等都可以方便实现,用起来就象资源管理器一样)

  12、win2000/XP在遇到系统严重问题无法启动

  可以利用故防恢复控制台,把c:windowsrepair文件夹中保存的初始化注册表文件(system、software、 sam、security、default),复制进system32config(先将其同容备份后删除)中来换救系统

  13、手动下载xp升级补丁

  许多朋友在装好sp1后通过windows update网上升级后还会发现有许多升级补丁,但是,如果通过windows update网上升级速度奇慢,有什么办法可以加速下载呢?通过实践,我发现一个小窍门。

  步骤:

  1):通过开始菜单里的windows update进行上网升级

  2):选择“扫描以寻找更新”查找升级补丁。

  3):“复查并安装更新”开始查看更新补丁说明。

  4):点击“立即安装”跳出windows update–网页对话框开始下载补丁

  5):选择取消,退出升级

  6):打开c:windowsWindows Update.log

  看见了吧!你所要得补丁下载地址都在这里!现在所要做的就是复制下载链接地址用网际快车(FlashGet)这类的下载软件进行下载。

  14、利用fc和>来分析注册表

  例如,我们可以在安装软件前份一次注册表(如:c:first.reg),安装后再导出注册表文件(c:second.red)然后再在MS-DOS方式(纯DOS方式也行)下执行下列命令:

  c:>fc first,reg second.reg>fc.txt (回车)

  再打开fc,txt文件,即可查看该软件对注册表添加了哪些子项了。

  注:重定向输入的文件类型一般为.txt形式也可以,如.wps 、.doc等,前提是必须安装相应的文件打开程序

  15、轻松破解foxmail账户口令

  在foxmail中为了账户的安全,我们一般会为账户设置一个口令,如果忘了也不要紧。打开mail目录下以你的帐户命令的文件夹,删除accounf.stg。口令解除了。

  不用删除,改个后缀名即可。系统会自动创建一个新的accounf.stg文件,出来后删除此文件,再改回原accounf.stg文件后缀,就能神不知鬼不觉看别人的邮件了。不过最好不要用于非法用途。

  16、局域网隐身法:

  在局域网中常通过网上邻居查看局域网中其他用户的在线情况,如果你不希望别的用户知道你是否在线,这时可以在win2000/xp下运行cmd然后再运行net config server /hidden:yes 回车后就隐身啦。

  如果要取消只要把yes 改成no

  17、用winrar合并mp3:

  把几首要合并的mp3文件选中,右键单击——添加到档案文件,压缩方式选择存储。然后把压缩好的文件后缀改成mp3。再放一下听听是不是两首歌已经合成一首啦。

  18、禁用设备驱动更新向导

  这个设置可以允许你在设备管理器中禁用通过windows Update升级设备的驱动程序。

  要进行这个设置,可以按以下步骤进行操作:在任务栏上点击开始按钮,然后在开始菜单中点击运行,输入regedit并点击确定,打开注册表编辑器。

  展开HKEY_CURRENT_USERSoftwarePoliciesMicrosoftWindows NTDriver Signing

  创建一个名为“NoDevMgrUpdate”的DWORD 键,然后设置键值为“1”。

  你修改的设置会在你重启动电脑后生效

  19、改变驱动签名验证选项

  这个设置可以让你决定在安装未经过签名或者测试的驱动程序时系统采取怎样的操作。要进行这个设置,可以按照以下步骤进行操作:在任务栏上点击开始按钮,然后在开始菜单中点击运行,输入regedit并点击确定,打开注册表编辑器。展开 HKEY_CURRENT_USERSoftwarePoliciesMicrosoftWindows NTDriver Signing 创建一个名为“BehaviorOnFailedVerify”的DWORD 键,设置键值为“0”。你修改的设置会在你重启动电脑后生效。

  20、卸载传真和图片查看器

  如果不想用XP自带的传真和图片查看器,你可以运行这个命令卸载它:

  regsvr32 /u shimgvw.dll

  21、禁止officexp输入条

  先在添加/删除程序里把《中文可选输入方法》禁用,然后在区域设置详细信息将除“英语(美国)”之外的其它输入法删除,最后运行

  regsvr32 /u msimtf.dll

  regsvr32 /u msctf.dll

  22、豪杰超级解霸V8

  只要将安装目录中的VCvtShell.dll改名就可以去掉资源管理器中的按钮.

  23、系统是2K或xp,如果你的系统分区是fat32格式,如果非法关机,下次启动的时候系统会运行磁盘扫描程序,但是启动的时候总是会有10秒钟的等待时间,如何去掉呢?

  只要一个命令即可:

  CHKNTFS /t:0

  上面的0是等待秒数。

  24、2k系统老是提示“无法装载动态链接库***.dll,系统找不到指定文件“把该文件copy到原路径也没用,这时你可以试试dos下的这个命令来修复系统文件:

  fc /scanonce

  如果需要的话会提示插入2k光盘,然后重启就应该可以

  25、MyIE2里怎么改google搜索

  MYIE2>设置中心>快捷搜索>*是默认搜索,最新"简体"中文搜索是[url]http://www.google.com/search?q=%[/url] … 2&lr=lang_zh-CN

  26、不用重新启动都可以应用修改后的注册表

  修改注册表后,保存对注册表的修改。然后同时按下“Ctrl+Alt+Del”组合键,在弹出的Windows任务列表,加亮“Explore”,单击“结束任务”,显示关机屏幕,单击“否”,稍候,弹出错误信息,单击“结束任务”,Windows浏览器即会和新的注册表一起重新装载。

  27、QQ自己加自己的方法:

  在黑名单中加自己,然后再把自己拖到我的好友中就可 以了,然后再运行注册向导.

  28、启动Winamp,并播放一首MP3,然后按住[SHIFT]不放,再单击面板上的“停止”按钮 ,你会发现音乐没有立即停止,而是逐渐降低音量直至完全消失,就象电台DJ做的一样

  29、原来硬盘图标也可以这么漂亮啊!

  首先你得在网上下载几个你喜欢的图标(后缀名为.ico),分别放入每个驱动器的根目录下面,命名为如1.ico 然后新建一记事本,输入

  [autorun]

  icon=1.ico

  然后保存为autorun.inf就可以了,重启系统就能看到效果了!另外最好把这两个文件的属性设置为"隐藏",主要是因为如果不这样做的话,你打开每个驱动器都可以看见这么两个文件,太丑了,而且也使我们把硬盘图标变漂亮的秘密给暴露了!

  而且这一招还可以应用到光盘上,在你刻录的光盘上也加入一个autorun.inf文件和一个图标,那么你的光盘也会有这样的一个图标!

  另外,把autorun.inf的内容改成:

  [autorun]

  open=xxx.exe

  插入光盘时便会自动运行xxx.exe这个文件,这一招也很实用!

  30、 RealOne Player是一个非常优秀的音视频播放软件,美中不足的是启动时间比较长,那我们何不想点办法来加快RealOne Player的启动速度呢?

  1). 无声地启动

  执行“开始→搜索→文件或文件夹”命令,分别查找“netid.smi”和“getmedia.ini”文件,找到后将它们更名,比如更名为 “netid-old.smi”和“getmedia-old.ini”,此后当你再次启动RealOne Player时,就不会再有欢迎音乐,软件也不会再尝试连接软件主页了。

  ). 省略软件简介

  在“Tools→Album info”中选中“Hide”项,则以后RealOne Player就不再显示产品简介了。

  关闭媒体浏览器

  RealOne Player提供了一个媒体浏览器,关闭它的方法是:在RealOne Player窗口右上角“关闭”按钮的下面,“地球”按钮的右面,找到一个三角箭头,单击这个箭头打开其下拉菜单,取消“show media browser”项前的勾即可

  再次启动RealOne Player,感觉速度是不是快了许多?

  31、 让中文文件名按笔画排序

  在Windows 的资源管理器中,不管文件(或文件夹)名是英文还是中文,当我们用“详细信息”方式查看时,在文件列表标题“名称”上单击,文件名默认的排序方式都是按字母的顺序排列的。

  如果你有大量的中文文件名,那么让中文文件名按笔画排序会更符合我们的使用习惯。方法是:

  在Windows XP中双击“控制面板→区域和语言选项”,切换到“区域选项”选项卡,单击“自定义”按钮打开“自定义区域选项”对话框,单击“排序”选项卡,在排序方法下拉列表中选择“笔画”。重新启动计算机后,打开资源管理器,单击文件列表标题“名称”,会发现中文文件名已经按笔画多少排序了!

  注意:该设置只影响中文名称文件,不管以“发音”还是以“笔画”排序,用英文命名的文件,其排序方式总是按名称排序。

  32、 巧破网页禁用鼠标右键

  巧破网页禁用鼠标右键

  第一种情况,出现版权信息类的。破解方法如下:

  在页面目标上按下鼠标右键,弹出限制窗口,这时不要松开右键,将鼠标指针移到窗口的“确定”按钮上,同时按下左键。现在松开鼠标左键,限制窗口被关闭了,再将鼠标移到目标上松开鼠标右键,哈哈,弹出了鼠标右键菜单,限制取消了!

  第二种情况,出现“添加到收藏夹”的。破解方法如下:

  在目标上点鼠标右键,出现添加到收藏夹的窗口,这时不要松开右键,也不要移动鼠标,而是使用键盘的TAB键,移动焦点到取消按钮上,按下空格键,这时窗口就消失了,松开右键后,我们熟悉的右键菜单又出现了。

  第三种情况,超链接无法用鼠标右键弹出“在新窗口中打开”菜单的。这时用上面的两种方法无法破解,看看我这一招: 在超链接上点鼠标右键,弹出窗口,这时不要松开右键,按键盘上的空格键,窗口消失了,这时松开右键,可爱的右键菜单又出现了,选择其中的“在新窗口中打开”就可以了。

  上面的方法你全都知道?那再看下面的你知道不知道?在浏览器中点击“查看”菜单上的“源文件”命令,这样就可以看到html源代码了。不过如果网页使用了框架,你就只能看到框架页面的代码,此方法就不灵了,别急,我还有别的办法。

  你按键盘上的Shift+F10组合键试试,可以直接调出右键菜单!

  再看我这一招:看见键盘右Ctrl键左边的那个键了吗?按一下试试,右键菜单直接出现了!这一招在江湖上可是很少见到的,如何?还不行吗?

  看来必须使出我的独门绝招了!要看仔细了,这可是江湖上从来没有出现过的“无敌****”哦!在屏蔽鼠标右键的页面中点右键,出现限制窗口,此时不要松开右键,用左手按键盘上的ALT+F4组合键,这时窗口就被我们关闭了,松开鼠标右键,菜单出现了!这一招一使出来,以上所有情况都可轻易破解掉.

  33、键盘“Print Screen”键的妙用四则

  1、代替屏幕截图软件

  按下Print Screen键,将会截取全屏幕画面。用鼠标点击“开始→程序→附件→画图”,将会打开“画图”程序,点击该窗口中的“编辑→粘贴”菜单,这时会弹出一个 “剪贴板中的图像比位图大,是否扩大位图?”对话框,点击“是”,就会将该截取的图片粘贴到其中。再按下Ctrl+S键将图片保存即可。

  2、抓取当前活动窗口

  在使用Print Screen进行屏幕抓图时,同时按下Alt键,就会只抓取当前活动窗口,然后按上述方法保存即可。

  3、截取游戏画面

  我们都知道用键盘上的Print Screen键可以抓取系统中的桌面图案,然后在“画图”程序或是Photoshop之类的图像处理软件中可以“粘贴”出来。但是如果我们要抓的是游戏画面的话,上面这个方法可能就不灵光了。

  没关系,启动Windows Media Player(6.0以上版本),打开一个视频文件,选择“文件→属性→高级”,双击Video Renderer,在Direct Draw中,把YUV Flipping、RGB Flipping、YUV Overlaya和RGB Overlays四个选项取消,确定后退出。再试试看,用Print Screen键也可以抓游戏画面了。

  4、截取DirectX图

  Print Screen键无法截取DirectX图,没关系,只要我们略施小计,就可以让它大展拳脚。在“开始”菜单的“运行”中输入regedit,打开注册表编辑器,然后展开注册表到HKEY_Local_MachineSoftwareMicrosoftDirectDraw分支,新建一个“DWORD”值,并将其重命名为“EnablePrintScreen”,填入键值“1”,即可使Print Screen键具有截取DirectX图的功能。

  35、快捷使用你的软件

  在桌面上找到你最常用的软件的图标,点右键-属性,将快捷方式选项更改为你认为最合适的,比如我的myie2是 F9,winamp是F10,QQ是F11,再在myie外部工具栏里添加你上网常用的软件,这样我开机时只要按F9、F10、F11,我三个最常用的软件就很快打开了,但是最好不要将快捷键设置与系统常用的相同,一般设置时会提示的!

  36、用下载软件查看隐藏分区

  操作系统:WINDOWS XP

  分区格式:FAT32

  下载软件:网际快车、影音传送带、迅雷、BT精灵

  隐藏分区软件:优化大师或是通过修改注册表,原理是一样的,具体的不再详细说明。

  本人是用优化大师的优化功能隐藏了h盘。

  情况一:下载工具中有H盘软件或文件的下载记录。 比如曾经用上面的任何一个下载工具下载了QQ在H盘,记录未删除。此时选择这个记录,以快车为例,任务-打开下载的文件目录,你会发现隐藏的H盘被打开,里面的文件可以进行操作了!呵呵!

  情况二:下载工具中无隐藏分区的相关文件下载记录或无任何记录,而你怀疑或是知道隐藏了某个分区(比如我们现在知道我的电脑上隐藏了H盘),此时任意找到一个下载链接,以快车为例,用快车下载,保存在H盘任意一文件夹下,不一定要下载完毕,然后任务-打开下载的文件目录,H盘就被打开了,当然前提是确实隐藏了H盘。

  37、winxp自带批量重命名功能

  只要选中一堆文件,选重命名,然后改第一个文 件,改完后,其他文件也会自动修改

  38、 改变win98录音机的录音长度限制

  1).打开录音机,安下“录音”按钮,这时在录音窗口右侧显示本次录音的长度为60秒,左侧显示本次录音的位置。

  2).待录音进行到一定的位置后,按下“停止”按钮。

  3).打开“效果”菜单,选择“减速”,这时你会发现录音窗口右面显示长度为100秒。不断重复操作,直到录音长度增加到合适长度。

  4).按“收索到开头”按钮,然后再按“录音”开始正式录音,这时候录音的长度就不是一分钟了!

  39、Word文档加密小技巧

  文件菜单设置:1、打开需要加密的Word文档。2、选“文件”的“另存为”,出现“另存为”对话框,在“工具” 中选“常规选项”,出现“保存”选项卡。 3、分别在“打开权限密码”和“修改权限密码”中输入密码(这两种密码可以相同也可以不同)。4、再次确认“打开权限密码”和“修改权限密码”。按“确定”退出“保存”选项卡。5、文件存盘。

  由工具菜单设置:1、打开需要加密的Word文档。2、选“工具”菜单的“选项”命令,出现“选项对话框”。3、在“选项”对话框中选“保存”选项卡。4、分别在“打开权限密码”和“修改权限密码”中输入密码,点“确定”退出。5、将文件保存。

  对模板加密

  如果我们不想别人使用Word提供的通用模板(Narmal.dot)或自己精心创作的一个模板,可以对该模板进行加密,其方法是:1、打开通用模板文件(文件名是Narmal.dot,通常可以在C:ProgramFilesMi-crosoft Templetas文件夹中找到)。2、按上面的两种方法设置密码。3、点“工具栏”中的保存(或选“文件”菜单的“保存”)。以后每次启动Word时,就会提示你输入密码。

  40、如何输入汉语拼音中的音调符号(如:ā、ě、ū、ǔ、ü、á等)

  方法一:word软件中,单击“插入”/“符号”在弹出的“符号”对话框的“子集”框中选择“拉丁语扩展-A”然后在中间的大框中选择想要的符号,单击对话框下面的“插入”,再单击“关闭”。

  方法二:在“智能ABC输入法”中文输入状态,输入“V8”,然后在列表中选择即可。(顺便说一下,当在“智能ABC输入法”中文输入状态,输入“V”+“一个0-9的数字”,如“V1”、“V2”…,你会发现许多令人吃惊的玩意。

  41、 删除“运行”中的历史记录

  选择“开始”菜单中的“关闭系统”命令,然后在弹出的对话框中选择“否”返回Windows,再看看“运行”中的历史记录是不是都消除了呢?

  42、 让“我的电脑”高高在上

  默认情况下,在资源管理器中,Windows XP会把“我的文档”图标放在“我的电脑”图标上面。

  这种排列顺序让很多人在使用中感到很不适应。通过修改注册表,我们可以让“我的电脑”图标“跑”到“我的文档”图标之上,其操作方法是:

  单击“开始→运行”,键入“Regedit”后回车,打开注册表编辑器,依次展开[HKEY_CLASSES_ROOTCLSID]分支,双击右侧窗口中名为“SortOrderIndex”的DWORD值,将它的值由“48”改为“54”即可。

  43、彻底删除“我的文档”

  在Windows XP中,当我们删除“我的文档”中的“我的音乐”、“图片收藏”等文件夹后,重新启动计算机后又会产生这几个文件夹。其实,要想彻底删除“我的音乐”、 “图片收藏”等文件夹,我们只要先在Windows“运行”对话框中输入“Regsvr32 /u mydocs.dll”这个命令,然后就可以彻底删除它们。

  44、禁止任务栏保存修改

  在日常的教学过程中,经常发现学生有意无意地修改任务栏的属性。造成下次上机时任务栏、时间图标等信息不能正常显示。通过对注册表的修改可以让系统对所作修改不进行保存,当重新启动后,系统自动恢复到原来的设置。

  单击“开始→运行”,键入“Regedit”后回车,打开注册表编辑器,依次展开[HKEY_CURRENT_USERsoftwareMicrosoftWindowscurrentversion

  oliciesExplorer]分支,在右侧窗口中单击鼠标右键,选择“新建→DWORD值”命令,新建一个名为“nosavesettings”的DWORD值,并将其值设置为“1”即可。

  45、巧借Windows XP文件加速启动Windows 2000

  大家一定感觉Windows XP的启动速明显比2000的快很多,这是因为它对主要启动文件NTDETECT.COM和NFLDR(此文件没扩展名,两个文件都在系统分区根目录下) 作了优化,我们只要在相应语言版本的Windows XP系统下复制这两个文件至Windows 2000系统分区根目录下覆盖原文件即可。

集群的概念容易和一些概念(SMP 、NUMA、MPP、分布处理)相混淆,其主要区别在资源被共享和复制的级别不同。它们是按SMP、NUMA、MPP、集群、分布处理从最紧 密到最松散的排列。

  SMP(多处理系统):这种系统是在一台计算机里有多个CPU,CPU之间的地位是平等的,它们共享内存空间和I/O设备。其工作方法是由操作系统负责将任务分解成多个并发进程,然后让其在不同的CPU上运行。

  NUMA(非统一内存存取):这种系统可以让多处理计算机的CPU比SMP更高效地共享本地内存,CPU可以更快速地存取单一的内存区域,不过如需要也可以用间接方式存取其他区域的内存,这种方法是让某些CPU在给定范围的物理内存中有更大的优先使用权。

  MPP(巨型并行处理):这种系统的节点都有自己的CPU,并有自己的专有资源。此种结构相对独立,但各个节点一般没有完全存取I/O的能力。

  集群:集群系统是由独立的计算机组成,但有控制管理工具统一管理。

  分布处理:它是比我们要构筑的集群系统更松散的连接,一般是任务在不同的地方完成,没有可以作为整体管理的单一实体。

  以上的聚合方式有紧有疏,它们都有自己的适用范围,这里就不多说了,有兴趣可自己找些资料看,这里只是想让大家了解它所处的位置。

  实现负载均衡的方法

  集群的目的是共享和高效地利用资源,提供大型运算,提供负载均衡分配请求压力以及出现故障时能够进行切换实现高可用性。

  限于篇幅,本文只对负载均衡的实现做些介绍(针对TurboLinux Cluster Server)。通过对相关软件的分析,实现集群负载的功能是通过流量管理实现的,具体有这样几种实现方法:直接路由(Direct forwarding)、网络地址转换(NAT)、隧道技术(Tunneling)。

  直接路由(Direct forwarding)

  当参与集群的计算机和作为控制管理的计算机在同一个网段时可以用此法,控制管理的计算机接收到请求包时直接送到参与集群的节点。优点是返回给客户的流量不经过控制主机,速度快开销少。

网络地址转换(NAT)

  这种方法可能大家较熟悉,地址转换器有能被外界访问到的合法IP地址,它修改来自专有网络的流出包的地址,外界看起来包是来自地址转换器本身,当外界包送到转换器时,它能判断出应该将包送到内部网的哪个节点。优点是节省IP地址,能对内部进行伪装;缺点是效率低,因为返回给请求方的流量经过转换器。

  隧道技术(Tunneling)

  这种方式是在集群的节点不在同一个网段时可用的转发机制,是将IP包封装在其他网络流量中的方法,为了安全的考虑,应该使用隧道技术中的VPN,也可使用租用专线。

  集群所能提供的服务是基于TCP/IP的Web服务、Mail服务、News服务、DNS服务、Proxy服务器等等,下面我们将就具体的产品TurboLinux Cluster Server 来实现一个进行负载均衡集群系统,用于提供Web和FTP的服务。

  四台服务器的负载均衡实例

  所提供的服务:Web、FTP。

  系统的实现目的:做一个较完善负载均衡的系统,以便能用到其中的较多的功能。

  采用设备状况:使用四台服务器,其中3台装TurboLinux Cluster Server,1台安装Windows 2000 Sever。

  系统安装

  1.在两台服务器上安装TurboLinux, apache和wu-ftpd也要安装,因为集群要提供这种服务,安装完后重启,挂接光驱在目录/mnt/cdrom下,执 行./TLCS-install,然后按提示完全安装。

  2.在一台服务器上安装Windows 2000 Server,要安装Internet Information Server 5.0。

  系统配置

  1.设置各台服务器的IP地址、子网掩码、路由等,调通网络,将一台TurboLinux服务器设置 成DNS服务器,使其能够正向解析和反向解析。服务器名此例为 pc1,域为test.com。

  2.配置Cluster Server。执行Turbolinux clusteradmin,设置情况如下(注:箭头连接的是选单选项,箭头所指为下级选单,最后冒号后为设置情况)。

ClusterServer Configuration→Cluster Services→Application Stability Agents:

  (1)http为默认的服务,不用设置

  (2)ftp—-/usr/lib/ftpAgent

  ClusterServer Configuration→Cluster Services→Service Settings:

  (1)http,80:TCP,sticky

  (2)ftp,21:TCP,ftp

  ClusterServer Configuration→Servers Configuration:

  (1) pc1 (pc1.test.com),direct,ping

  (2) pc2 (pc2.test.com),direct,ping

  (3) pc3 (pc3.test.com),direct,ping

  (4) pc4 (pc4.test.com),direct,ping

  ClusterServer Configuration→Advance Traffic Managers:

  (1)Advance Traffic Manager System: pc1.test.com

  (2)Advance Traffic Manager Setting: 默认值

  ClusterServer Configuration→Virtual Severs:

  (1)主机为:pc1.test.com

  (2)sendmail:master@pc1.test.com

  (3)Server pool name: ServerGroup1

  ClusterServer Configuration→Globle Settings:

  网络设置:netmask 255.255.255.0

  配置集群各接点

  因为TurboLinux Cluster Server 本身能被工具自动同步,所以只需配置Windows 2000 Server:

  开始→设置→控制面板→添加新硬件→下一步→添加/排除设备故障→添加新设备→否,我想从列表选择硬件→其他设备→Microsoft:Microsoft Loopback Adapter→完成。

  桌面上右键单击“网上邻居”→属性→TCP/IP→设置IP地址、缺省网关,子网掩码(注:先设成:255.255.255.0)。

  开始→运行→regedit→找到注册表中跟Microsoft Loopback Adapter相关的项,将子网掩码改成:255.255.255.255。

  配置系统以便运行合适的服务、并配置适合控制管理器管理的配置,以便可在控制管理器中使用。

  在管理选单中执行内容同步

  选tlcs_content_sync,输入密码,将复制控制管理计算机中的服务内容。

  在管理选单中执行设置同步

  选tlcs_config_sync,输入密码,将复制控制管理计算机中的设置。

  现在已经可以进入运行状态,可将客户端连接在服务器的交换机上,客户端可以请求Web和FTP服务,需要查看运行情况可以用控制台从https://pc1.test.com:910管理。

  在计算机技术中集群负载平衡是自成体系的,目前它是一个热门技术也是一个高端应用,Internet/Intranet中使用集群负载平衡方案的地方十分广泛,尤其是大中型网站都难脱离这种技术,直接路由(Direct forwarding)、网络地址转换(NAT)、隧道技术(Tunneling)都会因需要而被采用。它在网络中的作用和被人们重视程度都是很高的,如果你也感兴趣的话,不妨也来试试。

灵与肉的奇妙结合

我爱美丽的肉体。然而,使肉体美丽的是灵魂。如果没有灵魂,肉体只是一块物质,它也许匀称,丰满,白皙,但不可能美丽。美从来不是一种纯粹的物理属性,人的美更是如此。当我们看见一个美人时,最吸引我们的是光彩和神韵,而不是颜色和比例。那种徒然长着一张漂亮脸蛋的女人尤其男人最让人受不了,由于他们心灵的贫乏,你会觉得他们的漂亮多么空洞,甚至多么愚蠢。
我爱自由的灵魂。然而,灵魂要享受它的自由,必须依靠肉体。如果没有肉体,灵魂只是一个幽灵,它不再能读书,听音乐,看风景,不再能与另一颗灵魂相爱,不再有生命的激情和欢乐,自由对它便毫无意义。因为这个理由,我对宗教所宣称的灵魂不死始终引不起兴趣,觉得那即使是可能的,也没有多大意思。在我心目中的天堂里,不可没有肉体。
所以,我真正爱的不是分开的灵魂和肉体,而是灵与肉的奇妙结合。正是在这结合中,灵魂和肉体实现了各自的价值。

情欲的卑贱和伟大

叔本华说:人有两极,即生殖器和大脑,前者是盲目的欲望冲动,后者是纯粹的认识主体。对应于太阳的两种功能,生殖器是热,使生命成为可能,大脑是光,使认识成为可能。
很巧妙的说法,但多少有些贬低了性的意义。
人有生殖器,使得人像动物一样,为了生命的延续,不得不受欲望的支配和折磨。用自然的眼光看,人在发情、求偶、交配时的状态与动物并无本质的不同,一样缺乏理智,一样盲目冲动,甚至一样不堪入目。在此意义上,性的确最充分地暴露了人的动物性一面,是人永远属于动物界的铁证。
但是,让我们设想一下,如果人只有大脑,没有生殖器,会怎么样呢?没有生殖器的希腊人还会为了绝世美女海伦打仗,还会诞生流传千古的荷马史诗吗?没有旺盛的情欲,还会有拉斐尔的画和歌德的诗吗?总之,姑且假定人类能无性繁殖,倘若那样,人类还会有艺术乃至文化吗?在人类的文化创造中,性是不可或缺的角色,它的贡献决不亚于大脑。
所以,情欲既是卑贱的,把人按倒在兽性的尘土中,又是伟大的,把人提升到神性的天堂上。性是生命之门,上帝用它向人喻示了生命的卑贱和伟大。

性是自然界的一大神秘

在各民族的原始巫术和神话中,性都是主要的崇拜对象。一切宗教秘仪都与性有着不解之缘。对这些现象用迷信一言以蔽之,未免太肤浅。
生物学用染色体的差异解释性别的来由,但它解释不了染色体的差异缘何发生。性始终是自然界的一大神秘。
无论生为男人,还是生为女人,我们都身在这神秘之中。可是,人们却习以为常了。想一想情窦初开的日子吧,那时候我们刚刚发现一个异性世界,心中洋溢着怎样的惊喜啊。而现在,我们尽管经历了男女之间的一些事情,对那根本的神秘何尝有更多的了解。
对于神秘,人只能惊奇和欣赏。一个男人走向一个女人,一个女人走向一个男人,即将发生的不仅是两个人的相遇,而且是两个人各自与神秘的相遇。在一切美好的两性关系中,不管当事人是否意识到,对性的神秘感都占据着重要的位置。没有了这种神秘感,一个人在异性世界里无论怎样如鱼得水,所经历的都只是一些物理事件罢了。

差异中倾注了上帝的灵感

在创世第六天,上帝的灵感达于顶峰,创造了最奇妙的作品——男人和女人。
然而,这些被造物今天却陷入了无聊的争论。
有一些极端的女权主义者竭力证明,男人和女人之间并无任何重要的差异,仅仅因为社会的原因,这些差异被夸大了,造成了万恶的性别歧视。
还有一些人——有男人也有女人——承认两性之间在生理上和心理上存在着差异,但热中于评判这些差异,争论哪一性更优秀,上帝更宠爱谁。
我对所有这些争论都感到隔膜。
人们怎么看不到,上帝的杰作不是单独的某一性,而正是两性的差异,这差异里倾注了造物主的全部奇思妙想。一个领会了上帝的灵感的人才不理睬这种争论呢,他宁愿把两性的差异本身当作神的礼物,怀着感恩之心来欣赏和享用。

最优秀的男女是雌雄同体的

我认为,不应该否认两性心理特征的差异。大致而论,在气质上,女性偏于柔弱,男性偏于刚强,在智力上,女性偏于感性,男性偏于理性。当然,这种区别决不是绝对的。事实上,许多杰出人物是集两性的优点于一身的。然而,其前提是保持本性别的优点。丢掉这个前提,譬如说,直觉迟钝的女人,逻辑思维混乱的男人,就很难优秀。
柏拉图讲过一个寓言:很早的时候,人都是双性人,身体像一只圆球,一半是男一半是女,后来被从中间劈开了,所以每个人都竭力要找回自己的另一半。我从中读出的寓意之一是,从本原上说,两性特质并存于每个人身上,因此,一个人越是蕴含异性特质,在人性上就越丰富和完整。
也许,在一定意义上,最优秀的男女都是雌雄同体的,既赋有本性别的鲜明特征,又巧妙地揉进了另一性别的优点。大自然仿佛要通过他们来显示自己的最高目的——阴与阳的统一。

女性是永恒的象征

如果一定要在两性之间分出高低,我相信老子的话:“牝常以静胜牡”,“柔弱胜刚强”。也就是说,守静、柔弱的女性比冲动、刚强的男性高明。
老子也许是世界历史上最早的女性主义者,他一贯旗帜鲜明地歌颂女性,最典型的是这句话:“谷神不死,是谓玄牝。玄牝之门,是谓天地根。”翻译成白话便是:空灵、神秘、永恒,这就是奇妙的女性,女性生殖器是天地的根源。注家一致认为,老子是在用女性比喻“道”即世界的永恒本体。那么,在老子看来,女性与道在性质上是最为接近的。
无独有偶,歌德也说:“永恒的女性,引我们上升。”细读《浮士德》原著可知,歌德的意思是说,“永恒”与“女性”乃同义语,在我们所追求的永恒之境界中,无物消逝,一切既神秘又实在,恰似女性一般圆融。
在东西方这两位哲人眼中,女性都是永恒的象征,女性的伟大是包容万物的。
大自然把生命孕育和演化的神秘过程安置在女性身体中,此举非同小可,男人当知敬畏。与男性相比,女性更贴近自然之道,她的存在更为圆融,更有包容性,男人当知谦卑。

不满足的人比满足的猪幸福

常有人问我:不去想那些人生的大问题,岂不可以活得快乐一些?
我想用英国哲学家约翰•穆勒的话来回答:不满足的人比满足的猪幸福,不满足的苏格拉底比满足的傻瓜幸福。
人和猪的区别就在于,人有灵魂,猪没有灵魂。苏格拉底和傻瓜的区别就在于,苏格拉底的灵魂醒着,傻瓜的灵魂昏睡着。灵魂生活开始于不满足。不满足什么?不满足于像动物那样活着。正是在这不满足之中,人展开了对意义的寻求,创造了丰富的精神世界。
中国古话说:知足长乐。这也对。智者的特点正在于,在物质生活上很容易知足,却又绝对不满足于仅仅过物质生活。相反,正如伊壁鸠鲁所说,凡不能满足于少量物资的人,再多的物质也不会使他们满足。
那么,何以见得不满足的人比满足的猪幸福呢?穆勒说,因为前者的快乐更丰富,但惟有兼知两者的人才能做出判断。也就是说,如果你是一头满足的猪,跟你说了也白说。我不是骂任何人,因为我相信,每个人身上都藏着一个不满足的苏格拉底。

检验人的素质的一个尺度

按照马斯洛的著名理论,人的需要从低到高呈金字塔结构,依次为生理需要,安全需要,社交需要,受尊敬的需要,自我实现的需要。其中,第一、二项是生物性需要,第三、四项是社会性需要,第五项是精神性需要。我们也可以更笼统地把人的需要分为物质需要和精神需要两项。
一般来说,如果较低的需要尚未得到满足,较高的需要就难以显现出来。一个还必须为生存挣扎的人,我们无权责备他没有崇高的精神追求。
可是,在较低的需要得到满足以后,较高的需要是否就一定显现出来呢?事实告诉我们未必。有一些人,他们所拥有的物质条件已经远远超过生存所需,达到了奢侈的水平,却依然沉醉在物质的享乐和追逐之中,没有显现出任何精神需要的迹象。
也许,对人的需要结构还可以作另一种描述。比如说,如果把每个人的潜在需要的总和看作一个常量,那么,其中物质与精神之间的比例便非常不同。物质需要所占比例越小,就越容易满足,精神需要也就越容易显现并成为主导的需要。相反,如果物质需要所占比例很大甚至覆盖全部,就难免欲壑难填永无满足之日了。
人的潜在需要结构的这种差异也就是人的素质的差异。姑且不论这种差异的成因,我们至少得到了一个尺度:在生存需要能够基本满足之后,是物质欲望仍占上风,继续膨胀,还是精神欲望开始上升,渐成主导,一个人的素质由此可以判定。

可持续的快乐

我最讨厌那种说教,什么“少壮不努力,老大徒悲伤”,什么“吃得苦中苦,方为人上人”,仿佛青少年时期的全部价值就在于为将来的成功而苦苦奋斗。依我看,“少壮不享乐,老大徒懊丧”至少也是成立的。倘若一个人在少壮时并非因为生活所迫而只知吃苦,拒绝享受,到年老力衰时即使成了人上人,却丧失了享受的能力,那又有什么意思呢。
但是,快乐不应该是单一的,短暂的,完全依赖外部条件的,而应该是丰富的,持久的,能够靠自己创造的,否则结果仍是不快乐。所以,我主张可持续的快乐,要使快乐本身不但是快乐,而且具有生长的能力,能够生成新的更多的快乐。青少年时期是心智最活泼的时期,也是心智趋于定型的时期。在这个时期,一个人倘若能够通过读书、思考、欣赏艺术和大自然等等充分领略心灵的快乐,形成一个丰富的内心世界,他在自己的身上就拥有了一个永不枯竭的快乐源泉。这个源泉将滋润整个人生,使他即使在艰难困苦之中仍拥有人类最高级的快乐。在我看来,这是一个人可能在青少年时期获得的最重大成就。

钱和生活质量

金钱是衡量生活质量的指标之一。一个起码的道理是,在这个货币社会里,没有钱就无法生存,钱太少就要为生存操心。贫穷肯定是不幸,而金钱可以使人免于贫穷。
在一定限度内,钱的增多还可以提高生活质量,改善衣食住行及医疗、教育、文化、旅游等各方面的条件。但是,请注意,是在一定限度内。超出了这个限度,金钱对于生活质量的作用就呈递减的趋势。原因就在于,一个人的身体构造决定了他真正需要和能够享用的物质生活资料终归是有限的,多出来的部分只是奢华和摆设。我认为,基本上可以用小康的概念来标示上面所说的限度。从贫困到小康是物质生活的飞跃,从小康再往上,金钱带来的物质生活的满足就逐渐减弱了,直至趋于零。单就个人物质生活来说,一个亿万富翁与一个千万富翁之间不会有什么差别,钱超过了一定数量,便只成了抽象的数字。
至于在提供积极的享受方面,金钱的作用就更为有限了。人生最美好的享受都依赖于心灵能力,是钱买不来的。钱能买来名画,买不来欣赏,能买来色情服务,买不来爱情,能买来豪华旅游,买不来旅程中的精神收获。金钱最多只是我们获得幸福的条件之一,但永远不是充分条件,永远不能直接成为幸福。
奢华不但不能提高生活质量,往往还会降低生活质量,使人耽于物质享受,远离精神生活。只有在那些精神素质极好的人身上,才不会发生这种情况,而这又只因为他们其实并不在乎物质享受,始终把精神生活看得更重要。

快乐与钱无关

人们往往以为,钱越多快乐就越多。这真是天大的误会。钱太少,不能维持生存,这当然不行。排除了这种情况,我可以断定,钱与快乐之间并无多少联系,更不存在正比例关系。
一对夫妇在法国生活,他们有别墅和花园,最近又搬进了更大的别墅和更大的花园。可是,他们告诉我,新居带来的快乐,最强烈的一次是二十年前在国内时,住了多年集体宿舍,单位终于分给一套一居室,后来住房再大再气派,也没有这样的快乐了。其实,许多人有类似的体验。问那些穷苦过的大款,他们现在经常山珍海味,可有过去吃到一顿普通的红烧肉快乐,回答必是否定的。由此可见,伊壁鸠鲁早说得对:快乐较多依赖于心理,较少依赖于物质。
快乐与花钱多少无关。有时候,花掉很多钱,结果并不快乐。有时候,花很少的钱,买到情人喜欢的一件小礼物,孩子喜欢的一个小玩具,自己喜欢的一本书,就可以很快乐。得到也是如此。我收到的第一笔稿费只有几元钱,但当时快乐的心情远超过现在收到几千元的稿费。
金钱只能带来有限的快乐,却可能带来无限的烦恼。一个看重钱的人,挣钱和花钱都是烦恼,他的心被钱占据,没有给快乐留下多少余地了。天下真正快乐的人,不管他钱多钱少,都必是超脱金钱的人。

可怕的不是钱,是贪欲

人们常把金钱称作万恶之源,照我看,这是错怪了金钱。钱本身在道德上是中性的,谈不上善恶。毛病不是出在钱上,而是出在对钱的态度上。可怕的不是钱,而是贪欲,即一种对钱贪得无厌的占有态度。当然,钱可能会刺激起贪欲,但也可能不会。无论在钱多钱少的人中,都有贪者,也都有不贪者。所以,关键还在人的素质。
贪与不贪的界限在哪里?我这么看:一个人如果以金钱本身或者它带来的奢侈生活为人生主要目的,他就是一个被贪欲控制了的人;相反,不贪之人只把金钱当作保证基本生活质量的手段,或者,在这个要求满足以后,把金钱当作实现更高人生理想的手段。
贪欲首先是痛苦之源。正如爱比克泰特所说:“导致痛苦的不是贫穷,而是贪欲。”苦乐取决于所求与所得的比例,与所得大小无关。以钱和奢侈为目的,钱多了终归可以更多,生活奢侈了终归可以更奢侈,争逐和烦恼永无宁日。
其次,贪欲不折不扣是万恶之源。在贪欲的驱使下,为官必贪,有权在手就拼命纳贿敛财,为商必奸,有利可图就不惜草菅人命。贪欲可以使人目中无法纪,心中无良知。今日社会上腐败滋生,不义横行,皆源于贪欲膨胀,当然也迫使人们叩问导致贪欲膨胀的体制之弊病。
贪欲使人堕落,不但表现在攫取金钱时的不仁不义,而且表现在攫得金钱后的纵欲无度。对金钱贪得无厌的人,除了少数守财奴,多是为了享乐,而他们对享乐的惟一理解是放纵肉欲。基本的肉欲是容易满足的,太多的金钱就用来在放纵上玩花样,找刺激,必然的结果是生活糜烂,禽兽不如。

做钱的主人,不做钱的奴隶

有的人是金钱的主人,无论钱多钱少都拥有人的尊严。有的人是金钱的奴隶,一辈子为钱所役,甚至被钱所毁。
判断一个人是金钱的奴隶还是金钱的主人,不能看他有没有钱,而要看他对金钱的态度。正是当一个人很有钱的时候,我们能够更清楚地看出这一点来。一个穷人必须为生存而操心,我们无权评判他对钱的态度。
做金钱的主人,关键是戒除对金钱的占有欲,抱一种不占有的态度。也就是真正把钱看作身外之物,不管是已到手的还是将到手的,都与之拉开距离,随时可以放弃。只有这样,才能在金钱面前保持自由的心态,做一个自由人。凡是对钱抱占有态度的人,他同时也就被钱占有,成了钱的奴隶,如同古希腊哲学家彼翁在谈到一个富有的守财奴时所说:“他并没有得到财富,而是财富得到了他。”

哲学家与钱财

苏格拉底说:一无所需最像神。第欧根尼说:一无所需是神的特权,所需甚少是类神之人的特权。这可以说是哲学家的共同信念。多数哲学家安贫乐道,不追求也不积聚钱财。有一些哲学家出身富贵,为了精神的自由而主动放弃财产,比如古代的阿那克萨戈拉和现代的维特根斯坦。
哲学家之所以对钱财所需甚少,是因为他们认为,钱财所能带来的快乐是十分有限的。如同伊壁鸠鲁所说:更多的钱财不会使快乐超过有限的钱财已经达到的水平。他们之所以有此认识,又是因为他们品尝过了另一种快乐,心中有了一个比较。正是与精神的快乐相比较,物质所能带来的快乐显出了它的有限,而惟有精神的快乐才可能是无限的。因此,智者的共同特点是:一方面,因为看清了物质的快乐的有限,最少的物质就能使他们满足;另一方面,因为渴望无限的精神的快乐,再多的物质也不能使他们满足。
古罗马哲学家塞内卡是另一种情况,身为宫廷重臣,他不但不拒绝、而且享尽荣华富贵。不过,在享受的同时,他内心十分清醒,用他的话来说便是:“我把命运女神赐予我的一切——金钱,官位,权势——都搁置在一个地方,我同它们保持很宽的距离,使她可以随时把它们取走,而不必从我身上强行剥走。”他说到做到,后来官场失意,权财尽失,乃至性命不保,始终泰然自若。

开展生命教育的迫切性

当今社会上,许多人对生命抱冷漠的态度,苛待和残害生命的现象相当严重。举其显著者,例如:医院认钱不认人,见死不救,恶性医疗事故屡有发生,医疗腐败之所以最遭痛恨,正是因为直接威胁了广大人群生命的权利;矿难频繁,贪官和不法矿主互相勾结,为牟取暴利而置工人的生命于不顾;假药、伪劣食品横行,非法美容业猖獗,不断造成损害性后果;某些执法者、准执法者乃至非执法者滥用私刑,草菅人命;交通肇事者扔下受害人逃逸,甚至故意拖、压受害人致死;翻开报纸,几乎每天都有凶杀案的报道,其中一些作案缘由之微小与一条命的价值惊人地不相称。
尤其令人担忧的是,冷漠的病菌也侵蚀了孩子们的心灵,校园暴力、青少年凶杀犯罪的案例明显增多。与此同时,孩子们对自己的生命也不知珍惜,中学生、大学生、研究生自杀成了多发现象。
当然,上述现象的原因是复杂的,不能单靠教育来解决。但是,也不能缺少教育。有必要把生命教育作为公民教育的重要内容,从孩子开始,培育生命尊严的意识,善待自己的生命,也善待一切生命。

生命是最基本的价值

生命是最基本的价值。一个最简单的事实是,每个人只有一条命。在无限的时空中,再也不会有同样的机会,所有因素都恰好组合在一起,来产生这一个特定的个体了。一旦失去了生命,没有人能够活第二次。同时,生命又是人生其他一切价值的前提,没有了生命,其他一切都无从谈起。
由此得出的一个当然的结论是,对于每一个人来说,生命是最珍贵的。因此,对于自己的生命,我们当知珍惜,对于他人的生命,我们当知关爱。
上述道理似乎是不言而喻的。可是,仔细想一想,我们真的珍惜自己的生命和关爱他人的生命了吗?有些人一辈子只把自己当作了赚钱或赚取其他利益的机器,何尝把自己当作生命来珍惜。有些人更是只用利害关系的眼光估量一切他人的价值,何尝有过一个生命对其他一切生命的深切关爱的体验。
所以,在我看来,生命的价值仍是一个需要启蒙的话题。

倾听生命自身的声音

生命原是人的最珍贵的价值。可是,在当今的时代,其他种种次要的价值取代生命成了人生的主要目标乃至唯一目标,人们耗尽毕生精力追逐金钱、权力、名声、地位等等,从来不问一下这些东西是否使生命获得了真正的满足,生命真正的需要是什么。
生命原是一个内容丰富的组合体,包含着多种多样的需要、能力、冲动,其中每一种都有独立的存在和价值,都应该得到实现和满足。可是,现实的情形是,多少人的内在潜能没有得到开发,他们的生命早早地就纳入了一条狭窄而固定的轨道,并且以同样的方式把自己的子女也培养成片面的人。
我们不可避免地生活在一个功利的世界上,人人必须为生存而奋斗,这一点决定了生命本身的要求在一定程度上遭到忽视的必然性。然而,我们可以也应当减少这个程度,为生命争取尽可能大的空间。
在市声尘嚣之中,生命的声音已经久被遮蔽,无人理会。现在,让我们都安静下来,每个人都向自己身体和心灵的内部倾听,听一听自己的生命在说什么,想一想自己的生命究竟需要什么。

不失性命之情

在中国传统哲学中,最重视生命价值的学派应是道家。《淮南王书》把这方面的思想概括为“全性保真,不以物累形”,庄子也一再强调要“不失其性命之情”、“任其性命之情”,相反的情形则是“丧己于物,失性于俗者,谓之倒置之民”。
很显然,在庄子看来,物欲与生命是相敌对的,被物欲控制住的人是与生命的本性背道而驰的,因而是颠倒的人。
自然赋予人的一切生命欲望皆无罪,禁欲主义最没有道理。我们既然拥有了生命,当然有权享受它。但是,生命欲望和物欲是两回事。一方面,生命本身对于物质资料的需要是有限的,物欲决非生命本身之需,而是社会刺激起来的。另一方面,生命享受的疆域无比宽广,相比之下,物欲的满足就太狭窄了。因此,那些只把生命用来追求物质的人,实际上既怠慢了自己生命的真正需要,也剥夺了自己生命享受的广阔疆域。

生命观与人生意义

最近有一所学校开展生命教育,让我题词,我写了三句话:热爱生命是幸福之源;同情生命是道德之本;敬畏生命是信仰之端。
这三句话,表达了我对生命观与人生意义之关系的看法。人生的意义,在世俗层次上即幸福,在社会层次上即道德,在超越层次上即信仰,皆取决于对生命的态度。
幸福是对生命的享受,对生命种种美好经历的体验,当然要以热爱生命为前提。哀莫大于心死,一个人内在生命力枯竭,就不会再有什么事情能使他感到幸福了。
孟子说:“恻隐之心,仁之端也。”亚当•斯密说:同情是道德的根源,由之产生两种基本美德,即正义和仁慈。可见中西大哲皆认为,道德是建立在生命与生命的互相同情之基础上的。同样,道德之沦丧,起于同情心之死灭。
基督教相信生命来自神,佛教不杀生。其实,不必信某一宗教,面对生命的奇迹,敬畏之心油然而生是最自然而然的事情。泰戈尔说:“我的主,你的世纪,一个接着一个,来完成一朵小小的野花。”这已经就是信仰了。相反,对生命毫无敬畏之心的人,必与信仰无缘。

利己和同情

西哲认为,利己是人的本能,对之不应作道德的判断,只可因势利导。同时,人还有另一种本能,即同情。同情是以利己的本能为基础的,由之出发,推己及人,设身处地替别人想,就是同情了。自己觉得不利的事情,也不对别人做,这叫做正义,相当于孔子所说的“己所不欲,勿施于人”。自己觉得有利的事情,也让别人享受到,这叫做仁慈,相当于孔子所说的“己欲立而立人,己欲达而达人”。
在这里,利己和同情两者都不可缺。没有利己,对自己的生命麻木,便如同石头,对别人的生命必冷漠。只知利己,不能推己及人,没有同情,便如同禽兽,对别人的生命必冷酷。
中国儒家也强调同情,但往往否定利己,使得推己及人失去了基础。在这方面,荀子比较正确,认为好利恶害是君子小人之所同,区别在求利之道不同,可惜他的见解少被采纳。同时,儒家的推己及人也有毛病,“能近取譬”限于宗法关系,使得仁蜕变为父子关系的孝,进而蜕变为君臣关系的忠。于是,以同情为出发点的儒家伦理竟演化成了血淋淋的三纲,君命臣死,臣不得不死,在专制权力面前,一切生命的价值都等于零。

野蛮的做法

今日的家长们似乎都深谋远虑,在孩子很小时就为他将来有一个好职业而奋斗了,为此拼命让孩子进重点学校和上各种课外班。从孩子这方面来说,便是从幼儿园开始就投入了可怕的竞争,从小学到大学一路走过去,为了拿到那张最后的文凭,不知要经受多少作业和考试的折磨。有道是:不能让我们的孩子输在起跑线上。可是,在我看来,这种教育方式恰好一开始就是输局了。身心不能自由健康地发展,只学得一些技能,将来怎么会有大出息呢?
一个人从童年、少年到青年,原是人生最美好也最重要的阶段,有其自身不可取代的价值,现在这个价值被完全抹杀了,其全部价值被归结为只是为将来谋职做准备。多么宝贵的童年和青春,竟为了如此渺小的一个目标做了牺牲。这种做法无疑是野蛮的。我不禁要问:这还是教育吗?教育究竟何为?
然而,现行教育体制以应试和急功近利为特征,使得家长和孩子们难有别的选择。因此,当务之急是改变这个体制。

教育的尺度

针对我们教育的现状,我认为有必要重温卢梭的一个著名论点:教育就是生长。杜威进而阐发道:这意味着生长本身是目的,在生长的前头并没有另外的目的,比如将来适应社会、做出成就之类。此言精辟地道出了教育的本质。
按照这个观点,我们不能用狭隘的功利尺度衡量教育,而应该用广阔的人性尺度和人生尺度。
人性尺度是指:教育应使每个人的天性和与生俱来的能力得到健康生长,而不是强迫儿童和青年接受外来的东西。比如说,智育是发展好奇心和独立思考的能力,而不是灌输知识,德育是鼓励崇高的精神追求,而不是灌输规范。
人生尺度是指:教育应使受教育者现在的生活就是幸福而有意义的,并以此为幸福而有意义的一生创造良好的基础。看教育是否成功,就看它是拓展了还是缩减了受教育者的人生可能性。与幸福而有意义的人生这个目标相比,获得一个好职业之类的目标显得何其可怜。
当然,我们也要用社会尺度衡量教育,但这个社会尺度应该也是广阔的而非狭隘的。正如罗素所指出的:一个由本性优秀的男女所组成的社会,肯定会比相反的情形好得多。

不可误用光阴

如果说教育即生长,那么,教育机构和教育者的使命就是为生长提供最好的环境。
怎样的环境算最好?生长是人的能力的自由发展,可称之为内在的自由,最好的环境就是为之提供外在的自由。外在自由有两个方面,一是政治自由,包括言论自由、学术自由等,另一是自由时间。这里单说后一方面。
在希腊文中,学校一词的意思就是闲暇。在希腊人看来,学生必须有充裕的时间体验和沉思,才能自由地发展其心智能力。卢梭说:“最重要的教育原则是不要爱惜时间,要浪费时间。”由我们今天的许多耳朵听来,这句话简直是谬论。但卢梭自有他的道理,他说:“误用光阴比虚掷光阴损失更大,教育错了的儿童比未受教育的儿童离智慧更远。”今天许多家长和老师惟恐孩子虚度光阴,驱迫着他们做无穷的作业,不给他们留出一点儿玩耍的时间,自以为这就是尽了做家长和老师的责任。卢梭却问你:什么叫虚度?快乐不算什么吗?整日跳跑不算什么吗?如果满足天性的要求就算虚度,那就让他们虚度好了。
仔细想一想,卢梭多么有道理,我们今日的所作所为正是逼迫孩子们误用光阴。

童年的价值

在人的一生中,童年似乎是最不起眼的。大人们都在做正经事,孩子们却只是在玩耍,在梦想,仿佛在无所事事中挥霍着宝贵的光阴。可是,这似乎最不起眼的童年其实是人生中最重要的季节。粗心的大人看不见,在每一个看似懵懂的孩子身上,都有一个灵魂在朝着某种形态生成。
在人的一生中,童年似乎是最短暂的。如果只看数字,孩提时期所占的比例确实比成年时期小得多。可是,这似乎短暂的童年其实是人生中最悠长的时光。我们仅在儿时体验过时光的永驻,而到了成年之后,儿时的回忆又将伴随我们的一生。
对聪明的大人说的话:倘若你珍惜你的童年,你一定也要尊重你的孩子的童年。当孩子无忧无虑地玩耍时,不要用你眼中的正经事去打扰他。当孩子编织美丽的梦想时,不要用你眼中的现实去纠正他。如同纪伯伦所说:孩子虽是借你而来,却不属于你;你可以给他爱,却不可给他想法,因为他有自己的想法。如果你执意把孩子引上成人的轨道,当你这样做的时候,你正是在粗暴地夺走他的童年。

向孩子学习

耶稣说:“你们如果不回转,变成小孩子的样子,就一定不得进天国。”帕斯卡尔说:“智慧把我们带回到童年。”孟子说:“大人先生者不失赤子之心。”几乎一切伟人都用敬佩的眼光看孩子。在他们眼中,孩子的心智尚未被岁月扭曲,保存着最宝贵的品质,值得大人们学习。
与大人相比,孩子诚然缺乏知识。然而,他们富于好奇心、感受性和想象力,这些正是最宝贵的智力品质,因此能够不受习见的支配,用全新的眼光看世界。
与大人相比,孩子诚然缺乏阅历。然而,他们诚实、坦荡、率性,这些正是最宝贵的心灵品质,因此能够不受功利的支配,做事只凭真兴趣。
如果一个成人仍葆有这些品质,我们就说他有童心。凡葆有童心的人,往往也善于欣赏儿童,二者其实是一回事。
相反,有那么一些童心已经死灭的大人,执意要把孩子引上自己的轨道。在他们眼中,孩子什么都不懂,什么都不行,一切都要大人教,而大人在孩子身上则学不到任何东西。恕我直言,在我眼中,他们是世界上最愚蠢的大人。

教师是神圣的职业

我上学的时候,人们常引用高尔基的一句话,说教师是人类灵魂的工程师。现在很少有人提起这句话了。可是,正是现在,太有必要重提教师职业的神圣性这个话题。
从小学到大学,是人的生长的最重要时期。生长得好坏,在很大程度上取决于环境,而对于学生来说,教师实际上构成了最重要的环境。许多人,包括许多伟人,在回忆自己的成长经历时,脑中往往会凸现一个老师的形象。一个优秀的教师会影响许多人的人生道路,所以才使人终身不忘。
杜威把教师比喻为上帝的代言人、天国的引路人。教师不只是传授知识,更重要的影响是在精神上,因此他自己必须有崇高的精神境界。现在人们在讨论大学改革,依我看,大学教育的核心问题是要有一批心灵高贵、头脑活跃的学者,而体制优劣的标准就在于能否吸引这样的学者。有了这样一批学者,自然能够熏陶和培育出优秀人才。什么是好学校?很简单,就是有一批好教师的学校。
今日教师队伍的素质不容乐观。罗素说,教师爱学生应该胜于爱国家和教会。针对今日的情况,我要补充一句:更应该胜于爱金钱和名利。我的担心是,今日的学生在将来回忆自己的人生岁月时,脑中不再会出现值得感念的老师形象。

励什么样的志

现在书店里充斥着所谓励志类书籍,其中也许有好的,但许多是垃圾。这些垃圾书的内容无非是两类,一是教人如何在名利场上拼搏,发财致富,出人头地,二是教人如何精明地处理人际关系,讨上司或老板欢心,在社会上吃得开。偏是这类东西似乎十分畅销,每次在书店看到它们堆放在最醒目的位置上,满眼是“经营自我”、“人生策略”、“致富圣经”之类庸俗不堪的书名,我就为这个时代感到悲哀。
“自我”原是代表每一个人最独特的禀赋和价值,认识和实现“自我”一直被视为人生的目的,现在它竟成了一个要经营的对象,亦即谋利的手段。说到“人生”,历来强调的是人生理想,现在“策略”取而代之,把人生由心灵旅程变成了功利战场。“圣经”一词象征最高真理,现在居然明目张胆地把致富宣布为最高真理了。这些语词的搭配本身已是一种亵渎,表明我们的时代急功近利到了何等地步。
励志没有什么不好,问题是励什么样的志。完全没有精神目标,一味追逐世俗的功利,这算什么“志”,恰恰是胸无大志。

成功是优秀的副产品

在确定自己的人生目标时,“成功”一词出现的频率最高。人人都向往成功,没有人愿意自己一生事业无成,碌碌无为,这无可非议。但是,把成功作为首选,却是值得商榷的。我认为,首要的目标应该是优秀,其次才是成功。
所谓优秀,是指一个人的内在品质,有高尚的人格和真实的才学。一个优秀的人,即使他在名利场上不成功,他仍能有充实的心灵生活,他的人生仍是充满意义的。相反,一个平庸的人,即使他在名利场上风光十足,他也只是在混日子,至多是混得好一些罢了。
事实上,一个人倘若真正优秀,而时代又不是非常糟,他获得成功的机会还是相当大的。即使生不逢辰,或者运气不佳,也多能在身后得到承认。优秀者的成功往往是大成功,远非那些追名逐利之辈的渺小成功可比。人类历史上一切伟大的成功者都出自精神上优秀的人之中,不管在哪一个领域,包括创造财富的领域,做成伟大事业的决非钻营之徒,而必是拥有伟大人格和智慧的人。
一个人能否成为优秀的人,基本上是可以自己做主的,能否在社会上获得成功,则在相当程度上要靠运气。所以,应该把成功看作优秀的副产品,不妨在优秀的基础上争取它,得到了最好,得不到也没有什么。在根本的意义上,作为一个人,优秀就已经是成功。

幸福和运气

无人能完全支配自己在世间的遭遇,其中充满着偶然性,因为偶然性的不同,运气分出好坏。有的人运气特别好,有的人运气特别坏,大多数人则介于其间,不太好也不太坏。谁都不愿意运气特别坏,但是,运气特别好,太容易地得到了想要的一切,是否就一定好?恐怕未必。他们得到的东西是看得见的,但也许因此失去了虽然看不见却更宝贵的东西。天下幸运儿大抵浅薄,便是证明。我所说的幸运儿与成功者是两回事。真正的成功者必定经历过苦难、挫折和逆境,决不是只靠运气好。
运气好与幸福也是两回事。一个人唯有经历过磨难,对人生有了深刻的体验,灵魂才会变得丰富,而这正是幸福的最重要源泉。如此看来,我们一生中既有运气好的时候,也有运气坏的时候,恰恰是最利于幸福的情形。现实中的幸福,应是幸运与不幸按适当比例的结合。
在设计一个完美的人生方案时,人们不妨海阔天空地遐想。可是,倘若你是一个智者,你就会知道,最美妙的好运也不该排除苦难,最耀眼的绚烂也要归于平淡。原来,完美是以不完美为材料的,圆满是必须包含缺憾的。最后你发现,上帝为每个人设计的方案无须更改,重要的是能够体悟其中的意蕴。

及早找到最适合自己的领域

我相信,从理论上说,每一个人的禀赋和能力的基本性质是早已确定的,因此,在这个世界上必定有一种最适合他的事业,一个最适合他的领域。当然,在实践中,他能否找到这个领域,从事这种事业,不免会受客观情势的制约。但是,自己应该有一种自觉,尽量缩短寻找的过程。在人生的一定阶段上,一个人必须知道自己是怎样的人,到底想要什么了。
世界无限广阔,诱惑永无止境,但属于每一个人的现实可能性终究是有限的。你不妨对一切可能性保持着开放的心态,因为那是人生魅力的源泉,但同时你也要早一些在世界之海上抛下自己的锚,找到最适合自己的领域。老子说:“不失其所者久。”一个人不论伟大还是平凡,只要他顺应自己的天性,找到了自己真正喜欢做的事,并且一心把自己喜欢做的事做得尽善尽美,他在这世界上就有了牢不可破的家园。于是,他不但会有足够的勇气去承受外界的压力,而且会有足够的清醒来面对形形色色的机会的诱惑。

“三十而立”解

孔子说:“三十而立。”我对此话的理解是:一个人在进入中年的时候,应该确立起生活的基本信念了。所谓生活信念,第一是做人的原则,第二是做事的方向。也就是说,应该知道自己在这个世界上要做怎样的人,想做怎样的事了。
一个人年轻时,外在因素——包括所遇到的人、事情和机会——对他的生活信念会发生较大的影响。但是,在达到一定年龄以后,外在因素的影响就会大大减弱。那时候,如果他已经形成自己的生活信念,外在因素就很难再使之改变,如果仍未形成,外在因素也就很难再使之形成了。
当然,“三十”不是一个硬指标,孔子毕竟是圣人,一般人也许晚一些。但是,“立”与不“立”是硬道理,无人能够回避。一个人有了“立”,才真正成了自己人生的主人。那些永远不“立”之人诚然也在生活,不过,对于他们的生活,可用一个现成的词形容,叫做“混”。这样的人不该再学孔子的口气说“三十而立”,最好改说“三十而混”。

拥有“自我”

哲学家们常常教导我们,要“认识你自己”,“成为你自己”。的确,人活在世上,应该活出自己的本色。然而,“自我”是一个复杂的概念,哲学家们自己尚且争论不清。
一个人怎样才算拥有“自我”呢?我认为有两个可靠的标志。
一是看他有没有自己的真兴趣,亦即自己安身立命的事业,他能够全身心地投入其中,并感到内在的愉快和充实。如果有,便表明他正在实现“自我”,这个“自我”是指他的个性,每个人独特的生命价值。
二是看他有没有自己的真信念,亦即自己处世做人的原则,那是他的精神上的坐标轴,使他在俗世中不随波逐流。如果有,便表明他拥有“自我”,这个“自我”是指他的灵魂,一个坚定的精神核心。
这两种意义上的“自我”都不是每个人一出生就拥有的,而是在人生过程中不断选择和创造的结果。正因为此,每个人都要为自己成为怎样的人负责。

解读“性格就是命运”

古希腊哲人赫拉克利特说:“一个人的性格就是他的命运。”这句话包含两层意思:一,对于每一个人来说,性格是与生俱来、伴随终身的,永远不可摆脱,如同不可摆脱命运一样;二,性格决定了一个人在此生此世的命运。
那么,能否由此得出结论,说一个人命运的好坏是由天赋性格的好坏决定的呢?我认为不能,因为天性无所谓好坏,因此由之决定的命运也无所谓好坏。明确了这一点,可知赫拉克利特的名言的真正含义是:一个人应该认清自己的天性,过最适合于他的天性的生活,而对他而言这就是最好的生活。
一个灵魂在天外游荡,有一天通过某一对男女的交合而投进一个凡胎。他从懵懂无知开始,似乎完全忘记了自己的本来面目。但是,随着年岁和经历的增加,那天赋的性质渐渐显露,使他不自觉地对生活有一种基本的态度。在一定意义上,“认识你自己”就是要认识附着在凡胎上的这个灵魂,一旦认识了,过去的一切都有了解释,未来的一切都有了方向。
赫拉克利特的名言也常被翻译成:“一个人的性格就是他的守护神。”的确,一个人一旦认清了自己的天性,知道自己究竟是什么人,他也就知道自己究竟要什么了,如同有神守护一样,不会在喧闹的人世间迷失方向。

成为自己的朋友

有人问古希腊哲学家芝诺:“谁是你的朋友?”他回答:“另一个自我。”
人生在世,不能没有朋友。在所有朋友中,不能缺了最重要的一个,那就是自己。缺了这个朋友,一个人即使朋友遍天下,也只是表面的热闹而已,实际上他是很空虚的。
一个人是否自己的朋友,有一个可靠的测试标准,就是看他能否独处,独处是否感到充实。如果他害怕独处,一心逃避自己,他当然不是自己的朋友。
能否和自己做朋友,关键在于有没有芝诺所说的“另一个自我”。它实际上就是一个人的更高的自我,这个自我以理性的态度关爱着那个在世上奋斗的自我。理性的关爱,这正是友谊的特征。有的人不爱自己,一味自怨,仿佛自己的仇人。有的人爱自己而没有理性,一味自恋,俨然自己的情人。在这两种场合,更高的自我都是缺席的。
成为自己的朋友,这是人生很高的成就。塞涅卡说,这样的人一定是全人类的朋友。蒙田说,这比攻城治国更了不起。我只想补充一句:如此伟大的成就却是每一个无缘攻城治国的普通人都有希望达到的。

与自己谈话的能力

有人问犬儒派创始人安提斯泰尼,哲学给他带来了什么好处,回答是:“与自己谈话的能力。”
我们经常与别人谈话,内容大抵是事务的处理、利益的分配、是非的争执、恩怨的倾诉、公关、交际、新闻等等。独处的时候,我们有时也在心中说话,细察其内容,仍不外上述这些,因此实际上也是在对别人说话,是对别人说话的预演或延续。我们真正与自己谈话的时候是十分稀少的。
要能够与自己谈话,必须把心从世俗事务和人际关系中摆脱出来,回到自己。这是发生在灵魂中的谈话,是一种内在生活。
与自己谈话的确是一种能力,而且是一种罕见的能力。有许多人,你不让他说凡事俗务,他就不知道说什么好了。他只关心外界的事情,结果也就只拥有仅仅适合于与别人交谈的语言了。这样的人面对自己当然无话可说。可是,一个与自己无话可说的人,难道会对别人说出什么有意思的话吗?哪怕他谈论的是天下大事,你仍感到是在听市井琐闻,因为在里面找不到那个把一切连结为整体的核心,那个照亮一切的精神。

认识你自己

“认识你自己!”——这是铭刻在希腊圣城德尔斐神殿上的著名箴言,希腊和后来的哲学家喜欢引用来规劝世人。
对这句箴言可作三种理解。
其一,人要有自知之明。有人问泰勒斯,什么是最困难之事,回答是:“认识你自己。”接着的问题:什么是最容易之事?回答是:“给别人提建议。”这位最早的哲人显然是在讽刺世人,世上有自知之明者寥寥无几,好为人师者比比皆是。苏格拉底更进一步,从这句箴言中看到了神对人的要求,就是人应该知道自己的限度,承认自己在宇宙最高秘密面前是无知的。“我知道我一无所知”——因为这句话,他被德尔斐神谕称作全希腊最智慧的人。
其二,每个人身上都藏着人性的秘密,都可以通过认识自己来认识人性。事实上,自古至今,一切伟大的人性认识者都是真诚的反省者,他们无情地把自己当作标本,藉之反而对人性有了深刻而同情的理解。
其三,每个人都是一个独一无二的个体,都应该认识自己独特的禀赋和价值,从而自我实现,真正成为自己。

多听少说

希腊哲人大多讨厌饶舌之徒。泰勒斯说:“多言不表明有才智。”喀隆说:“不要让你的舌头超出你的思想。”斯多噶派的芝诺说:“我们之所以有两只耳朵而只有一张嘴,是为了让我们多听少说。”一个青年向他滔滔不绝,他打断说:“你的耳朵掉下来变成舌头了。”
每当遇到一个夸夸其谈的人,我就不禁想起芝诺的讽刺。世上的确有一种人,嘴是身上最发达的器官,无论走到哪里,几乎就只带着这一种器官,全部生活由说话和吃饭两件事构成。
多听当然不是什么都听,还须善听。对于思想者来说,听只是思的一种方式。他听书中的先哲之言,听自己的灵魂,听天籁,听无忌的童言。
少言是思想者的道德,唯有少言才能多思。舌头超出思想,那超出的部分只能是废话。如果你珍惜自己的思想,在表达的时候也必定会慎用语言,以求准确有力,让最少的话包含最多的内容。

del /f /s /q %systemdrive%*.tmp
del /f /s /q %systemdrive%*._mp
del /f /s /q %systemdrive%*.log
del /f /s /q %systemdrive%*.gid
del /f /s /q %systemdrive%*.chk
del /f /s /q %systemdrive%*.old
del /f /s /q %systemdrive%recycled*.*
del /f /s /q %windir%*.bak
del /f /s /q %windir%prefetch*.*
rd /s /q %windir%temp & md %windir%temp
del /f /q %userprofile%cookies*.*
del /f /q %userprofile%recent*.*
del /f /s /q "%userprofile%Local SettingsTemporary Internet Files*.*"
del /f /s /q "%userprofile%Local SettingsTemp*.*"
del /f /s /q "%userprofile%recent*.*"

Windows权限设置详解

  随着动网论坛的广泛应用和动网上传漏洞的被发现以及SQL注入式攻击越来越多的被使用,WEBSHELL让防火墙形同虚设,一台即使打了所有微软补丁、只让80端口对外开放的WEB服务器也逃不过被黑的命运。难道我们真的无能为力了吗?其实,只要你弄明白了NTFS系统下的权限设置问题,我们可以对crackers们说:NO!

  要打造一台安全的WEB服务器,那么这台服务器就一定要使用NTFS和Windows NT/2000/2003。众所周知,Windows是一个支持多用户、多任务的操作系统,这是权限设置的基础,一切权限设置都是基于用户和进程而言的,不同的用户在访问这台计算机时,将会有不同的权限。DOS是个单任务、单用户的操作系统。但是我们能说DOS没有权限吗?不能!当我们打开一台装有DOS操作系统的计算机的时候,我们就拥有了这个操作系统的管理员权限,而且,这个权限无处不在。所以,我们只能说DOS不支持权限的设置,不能说它没有权限。随着人们安全意识的提高,权限设置随着NTFS的发布诞生了。

  Windows NT里,用户被分成许多组,组和组之间都有不同的权限,当然,一个组的用户和用户之间也可以有不同的权限。下面我们来谈谈NT中常见的用户组。

  Administrators,管理员组,默认情况下,Administrators中的用户对计算机/域有不受限制的完全访问权。分配给该组的默认权限允许对整个系统进行完全控制。所以,只有受信任的人员才可成为该组的成员。

  Power Users,高级用户组,Power Users 可以执行除了为 Administrators 组保留的任务外的其他任何操作系统任务。分配给 Power Users 组的默认权限允许 Power Users 组的成员修改整个计算机的设置。但Power Users 不具有将自己添加到 Administrators 组的权限。在权限设置中,这个组的权限是仅次于Administrators的。

  Users:普通用户组,这个组的用户无法进行有意或无意的改动。因此,用户可以运行经过验证的应用程序,但不可以运行大多数旧版应用程序。Users 组是最安全的组,因为分配给该组的默认权限不允许成员修改操作系统的设置或用户资料。Users 组提供了一个最安全的程序运行环境。在经过 NTFS 格式化的卷上,默认安全设置旨在禁止该组的成员危及操作系统和已安装程序的完整性。用户不能修改系统注册表设置、操作系统文件或程序文件。Users 可以关闭工作站,但不能关闭服务器。Users 可以创建本地组,但只能修改自己创建的本地组。

  Guests:来宾组,按默认值,来宾跟普通Users的成员有同等访问权,但来宾帐户的限制更多。

  Everyone:顾名思义,所有的用户,这个计算机上的所有用户都属于这个组。

  其实还有一个组也很常见,它拥有和Administrators一样、甚至比其还高的权限,但是这个组不允许任何用户的加入,在察看用户组的时候,它也不会被显示出来,它就是SYSTEM组。系统和系统级的服务正常运行所需要的权限都是靠它赋予的。由于该组只有这一个用户SYSTEM,也许把该组归为用户的行列更为贴切。
  权限是有高低之分的,有高权限的用户可以对低权限的用户进行操作,但除了Administrators之外,其他组的用户不能访问 NTFS 卷上的其他用户资料,除非他们获得了这些用户的授权。而低权限的用户无法对高权限的用户进行任何操作。

  我们平常使用计算机的过程当中不会感觉到有权限在阻挠你去做某件事情,这是因为我们在使用计算机的时候都用的是Administrators中的用户登陆的。这样有利也有弊,利当然是你能去做你想做的任何一件事情而不会遇到权限的限制。弊就是以 Administrators 组成员的身份运行计算机将使系统容易受到特洛伊木马、病毒及其他安全风险的威胁。访问 Internet 站点或打开电子邮件附件的简单行动都可能破坏系统。不熟悉的 Internet 站点或电子邮件附件可能有特洛伊木马代码,这些代码可以下载到系统并被执行。如果以本地计算机的管理员身份登录,特洛伊木马可能使用管理访问权重新格式化您的硬盘,造成不可估量的损失,所以在没有必要的情况下,最好不用Administrators中的用户登陆。

  Administrators中有一个在系统安装时就创建的默认用户—-Administrator,Administrator 帐户具有对服务器的完全控制权限,并可以根据需要向用户指派用户权利和访问控制权限。因此强烈建议将此帐户设置为使用强密码。永远也不可以从 Administrators 组删除 Administrator 帐户,但可以重命名或禁用该帐户。由于大家都知道“管理员”存在于许多版本的 Windows 上,所以重命名或禁用此帐户将使恶意用户尝试并访问该帐户变得更为困难。对于一个好的服务器管理员来说,他们通常都会重命名或禁用此帐户。Guests用户组下,也有一个默认用户—-Guest,但是在默认情况下,它是被禁用的。如果没有特别必要,无须启用此账户。我们可以通过“控制面板”–“管理工具”–“计算机管理”–“用户和用户组”来查看用户组及该组下的用户。

  我们用鼠标右键单击一个NTFS卷或NTFS卷下的一个目录,选择“属性”–“安全”就可以对一个卷,或者一个卷下面的目录进行权限设置,此时我们会看到以下七种权限:完全控制、修改、读取和运行、列出文件夹目录、读取、写入、和特别的权限。“完全控制”就是对此卷或目录拥有不受限制的完全访问。地位就像Administrators在所有组中的地位一样。选中了“完全控制”,下面的五项属性将被自动被选中。“修改”则像Power users,选中了“修改”,下面的四项属性将被自动被选中。下面的任何一项没有被选中时,“修改”条件将不再成立。“读取和运行”就是允许读取和运行在这个卷或目录下的任何文件,“列出文件夹目录”和“读取”是“读取和运行”的必要条件。“列出文件夹目录”是指只能浏览该卷或目录下的子目录,不能读取,也不能运行。“读取”是能够读取该卷或目录下的数据。“写入”就是能往该卷或目录下写入数据。而“特别”则是对以上的六种权限进行了细分。读者可以自行对“特别”进行更深的研究,鄙人在此就不过多赘述了。

  下面我们对一台刚刚安装好操作系统和服务软件的WEB服务器系统和其权限进行全面的刨析。服务器采用Windows 2000 Server版,安装好了SP4及各种补丁。WEB服务软件则是用了Windows 2000自带的IIS 5.0,删除了一切不必要的映射。整个硬盘分为四个NTFS卷,C盘为系统卷,只安装了系统和驱动程序;D盘为软件卷,该服务器上所有安装的软件都在D盘中;E盘是WEB程序卷,网站程序都在该卷下的WWW目录中;F盘是网站数据卷,网站系统调用的所有数据都存放在该卷的WWWDATABASE目录下。这样的分类还算是比较符合一台安全服务器的标准了。

  希望各个新手管理员能合理给你的服务器数据进行分类,这样不光是查找起来方便,更重要的是这样大大的增强了服务器的安全性,因为我们可以根据需要给每个卷或者每个目录都设置不同的权限,一旦发生了网络安全事故,也可以把损失降到最低。当然,也可以把网站的数据分布在不同的服务器上,使之成为一个服务器群,每个服务器都拥有不同的用户名和密码并提供不同的服务,这样做的安全性更高。不过愿意这样做的人都有一个特点—-有钱:)。好了,言归正传,该服务器的数据库为MS-SQL,MS-SQL的服务软件SQL2000安装在d:ms-sqlserver2K目录下,给SA账户设置好了足够强度的密码,安装好了SP3补丁。

  为了方便网页制作员对网页进行管理,该网站还开通了FTP服务,FTP服务软件使用的是SERV-U 5.1.0.0,安装在d:ftpserviceserv-u目录下。杀毒软件和防火墙用的分别是Norton Antivirus和BlackICE,路径分别为d:nortonAV和d:firewallblackice,病毒库已经升级到最新,防火墙规则库定义只有80端口和21端口对外开放。网站的内容是采用动网7.0的论坛,网站程序在e:wwwbbs下。细心的读者可能已经注意到了,安装这些服务软件的路径我都没有采用默认的路径或者是仅仅更改盘符的默认路径,这也是安全上的需要,因为一个黑客如果通过某些途径进入了你的服务器,但并没有获得管理员权限,他首先做的事情将是查看你开放了哪些服务以及安装了哪些软件,因为他需要通过这些来提升他的权限。
  一个难以猜解的路径加上好的权限设置将把他阻挡在外。相信经过这样配置的WEB服务器已经足够抵挡大部分学艺不精的黑客了。读者可能又会问了:“这根本没用到权限设置嘛!我把其他都安全工作都做好了,权限设置还有必要吗?”当然有!智者千虑还必有一失呢,就算你现在已经把系统安全做的完美无缺,你也要知道新的安全漏洞总是在被不断的发现。权限将是你的最后一道防线!那我们现在就来对这台没有经过任何权限设置,全部采用Windows默认权限的服务器进行一次模拟攻击,看看其是否真的固若金汤。

  假设服务器外网域名为http://www.webserver.com,用扫描软件对其进行扫描后发现开放WWW和FTP服务,并发现其服务软件使用的是IIS 5.0和Serv-u 5.1,用一些针对他们的溢出工具后发现无效,遂放弃直接远程溢出的想法。打开网站页面,发现使用的是动网的论坛系统,于是在其域名后面加个/upfile.asp,发现有文件上传漏洞,便抓包,把修改过的ASP木马用NC提交,提示上传成功,成功得到WEBSHELL,打开刚刚上传的ASP木马,发现有MS-SQL、Norton Antivirus和BlackICE在运行,判断是防火墙上做了限制,把SQL服务端口屏蔽了。通过ASP木马查看到了Norton Antivirus和BlackICE的PID,又通过ASP木马上传了一个能杀掉进程的文件,运行后杀掉了Norton Antivirus和BlackICE。再扫描,发现1433端口开放了,到此,便有很多种途径获得管理员权限了,可以查看网站目录下的conn.asp得到SQL的用户名密码,再登陆进SQL执行添加用户,提管理员权限。也可以抓SERV-U下的ServUDaemon.ini修改后上传,得到系统管理员权限。还可以传本地溢出SERV-U的工具直接添加用户到Administrators等等。大家可以看到,一旦黑客找到了切入点,在没有权限限制的情况下,黑客将一帆风顺的取得管理员权限。

  那我们现在就来看看Windows 2000的默认权限设置到底是怎样的。对于各个卷的根目录,默认给了Everyone组完全控制权。这意味着任何进入电脑的用户将不受限制的在这些根目录中为所欲为。系统卷下有三个目录比较特殊,系统默认给了他们有限制的权限,这三个目录是Documents and settings、Program files和Winnt。对于Documents and settings,默认的权限是这样分配的:Administrators拥有完全控制权;Everyone拥有读&运,列和读权限;Power users拥有读&运,列和读权限;SYSTEM同Administrators;Users拥有读&运,列和读权限。对于Program files,Administrators拥有完全控制权;Creator owner拥有特殊权限;Power users有完全控制权;SYSTEM同Administrators;Terminal server users拥有完全控制权,Users有读&运,列和读权限。对于Winnt,Administrators拥有完全控制权;Creator owner拥有特殊权限;Power users有完全控制权;SYSTEM同Administrators;Users有读&运,列和读权限。而非系统卷下的所有目录都将继承其父目录的权限,也就是Everyone组完全控制权!

  现在大家知道为什么我们刚刚在测试的时候能一帆风顺的取得管理员权限了吧?权限设置的太低了!一个人在访问网站的时候,将被自动赋予IUSR用户,它是隶属于Guest组的。本来权限不高,但是系统默认给的Everyone组完全控制权却让它“身价倍增”,到最后能得到Administrators了。那么,怎样设置权限给这台WEB服务器才算是安全的呢?大家要牢记一句话:“最少的服务+最小的权限=最大的安全”对于服务,不必要的话一定不要装,要知道服务的运行是SYSTEM级的哦,对于权限,本着够用就好的原则分配就是了。对于WEB服务器,就拿刚刚那台服务器来说,我是这样设置权限的,大家可以参考一下:各个卷的根目录、Documents and settings以及Program files,只给Administrator完全控制权,或者干脆直接把Program files给删除掉;给系统卷的根目录多加一个Everyone的读、写权;给e:www目录,也就是网站目录读、写权。

  最后,还要把cmd.exe这个文件给挖出来,只给Administrator完全控制权。经过这样的设置后,再想通过我刚刚的方法入侵这台服务器就是不可能完成的任务了。可能这时候又有读者会问:“为什么要给系统卷的根目录一个Everyone的读、写权?网站中的ASP文件运行不需要运行权限吗?”问的好,有深度。是这样的,系统卷如果不给Everyone的读、写权的话,启动计算机的时候,计算机会报错,而且会提示虚拟内存不足。当然这也有个前提—-虚拟内存是分配在系统盘的,如果把虚拟内存分配在其他卷上,那你就要给那个卷Everyone的读、写权。ASP文件的运行方式是在服务器上执行,只把执行的结果传回最终用户的浏览器,这没错,但ASP文件不是系统意义上的可执行文件,它是由WEB服务的提供者—-IIS来解释执行的,所以它的执行并不需要运行的权限。

  本文从系统管理员的角度讨论安全问题。系统管理员是管理系统的人:启动系统,停止系统运行,安装新软件,增加新用户,删除老用户,以及完成保持系统发展和运行的日常事务工作。

  1、安全管理

  安全管理主要分为四个方面:

  (1)防止未授权存取:这是计算机安全最重要的问题:未被使用系统的人进入系统。用户意识,良好的口令管理(由系统管理员和用户双方配合),登录活动记录和报告,用户和网络活动的周期检查,这些都是防止未授权存取的关键。

  (2)防止泄密:这也是计算机安全的一个重要问题。防止已授权或未授权的用户相互存取相互的重要信息。文件系统查帐,su登录和报告,用户意识,加密都是防止泄密的关键。

  (3)防止用户拒绝系统的管理:这一方面的安全应由操作系统来完成。一个系统不应被一个有意试图使用过多资源的用户损害。不幸的是,UNIX不能很好地限制用户对资源的使用,一个用户能够使用文件系统的整个磁盘空间,而UNIX基本不能阻止用户这样做。系统管理员最好用PS命令,记帐程序df和du周期地检查系统。查出过多占用CUP的进程和大量占用磁盘的文件。

  (4)防止丢失系统的完整性:这一安全方面与一个好系统管理员的实际工作(例如:周期地备份文件系统,系统崩溃后运行fsck检查,修复文件系统,当有新用户时,检测该用户是否可能使系统崩溃的软件)和保持一个可靠的操作系统有关(即用户不能经常性地使系统崩溃)。

  本文其余部分主要涉及前两个问题,第三个问题在"安全查帐"一节讨论。

  2、超级用户

  一些系统管理命令只能由超级用户运行。超级用户拥有其他用户所没有的特权,超级用户不管文件存取许可方式如何,都可以读,写任何文件,运行任何程序。 系统管理员通常使用命令: /bin/su 或以 root 进入系统从而成为超级用户。在后面文章中以#表示应敲入必须由超级用户运行的命令,用$表示应敲入由所有其他用户运行的命令。

  3、文件系统安全

  (1)UNIX文件系统概述

  UNIX文件系统是UNIX系统的心脏部分,提供了层次结构的目录和文件。文件系统将磁盘空间划分为每1024个字节一组,称为块(block)(也有用512字节为一块的,如:SCO XENIX)。编号从0到整个磁盘的最大块数。

  全部块可划分为四个部分,块0称为引导块,文件系统不用该块;块1称为专用块,专用块含有许多信息,其中有磁盘大小和全部块的其它两部分的大小。从块2开始是i节点表,i节点表中含有i节点,表的块数是可变的,后面将做讨论。 i节点表之后是空闲存储块(数据存储块),可用于存放文件内容。

  文件的逻辑结构和物理结构是十分不同的,逻辑结构是用户敲入cat命令后所看到的文件,用户可得到表示文件内容的字符流。物理结构是文件实际上如何存放在磁盘上的存储格式。用户认为自己的文件是边疆的字符流,但实际上文件可能并不是以边疆的方式存放在磁盘上的,长于一块的文件通常将分散地存放在盘上。然而当用户存取文件时,UNIX文件系统将以正确的顺序取各块, 给用户提供文件的逻辑结构。

  当然,在UNIX系统的某处一定会有一个表,告诉文件系统如何将物理结构转换为逻辑结构。这就涉及到i节点了。i节点是一个64字节长的表,含有有关一个文件的信息,其中有文件大小,文件所有者,文件存取许可方式,以及文件为普通文件,目录文件还是特别文件等。在i节点中最重要的一项是磁盘地址表。 该表中有13个块号。前10个块号是文件前10块的存放地址。这10个块号能给出一个至多10块长的文件的逻辑结构,文件将以块号在磁盘地址表中出现的顺序依次取相应的块。

  当文件长于10块时又怎样呢?磁盘地址表中的第十一项给出一个块号,这个块号指出的块中含有256个块号,至此,这种方法满足了至多长于266块的文件(272,384字节)。如果文件大于266块,磁盘地址表的第十二项给出一个块号, 这个块号指出的块中含有256个块号,这256个块号的每一个块号又指出一块, 块中含256个块号,这些块号才用于取文件的内容。磁盘地址中和第十三项索引寻址方式与第十二项类似,只是多一级间接索引。

  这样,在UNIX系统中,文件的最大长度是16,842,762块,即17,246,988,288字节,有幸是是UNIX系统对文件的最大长度(一般为1到2M字节)加了更实际的限制,使用户不会无意中建立一个用完整个磁盘窨所有块的文件。

  文件系统将文件名转换为i节点的方法实际上相当简单。一个目录实际上是一个含有目录表的文件:对于目录中的每个文件,在目录表中有一个入口项, 入口项中含有文件名和与文件相应的i节点号。当用户敲入cat xxx时,文件系统就在当前目录表中查找名为xxx的入口项,得到与文件xxx相应的i节点号,然后开始取含有文件xxx的内容的块。

  (2)设备文件

  UNIX系统与边在本系统上的各种设备之间的通讯,通过特别文件来实现,就程序而言,磁盘是文件,MODEM是文件,甚至内存也是文件。所有连接到系统上的设备都在/dev目录中有一个文件与其对应。当在这些文件上执行I/O操作时,由UNIX系统将I/O操作转换成实际设备的动作。例如,文件/dev/mem是系统的内存,如果cat这个文件,实际上是在终端显示

  系统的内存。为了安全起见,这个文件对普通用户是不可读的。因为在任一给定时间,内存区可能含有用户登录口令或运行程序的口令,某部分文件的编辑缓冲区,缓冲区可能含有用ed -x命令解密后的文本,以及用户不愿让其他人存取的种种信息。

  在/dev中的文件通常称为设备文件,用ls /dev命令可以看看系统中的一些设备:

  acuo 呼叫自动拨号器

  console 系统控制台

  dsknn 块方式操作磁盘分区

  kmem 核心内存

  mem 内存

  lp 打印机

  mto 块方式操作磁带

  rdsknn 流方式操作的磁盘分区

  rmto 流方式操作的磁带

  swap 交换区

  syscon 系统终端

  ttynn 终端口 x25 网络端口

  等等

  (3)/etc/mknod命令

  用于建立设备文件。只有root能使用这个命令建立设备文件。其参数是文件名,字母c或b分别代表字符特别文件或块特别文件,主设备号,次设备号。块特别文件是像磁带,磁盘这样一些以块为单位存取数据的设备。字符特别文件是如像终端,打印机,MODEM,或者其它任何与系统通讯时,一次传输一个字符的设备,包括模仿对磁盘进行字符方式存取的磁盘驱动器。主设备号指定了系统子程序(设备驱动程序),当在设备上执行I/O时,系统将调用这个驱动程序。调用设备驱动程序时,次设备号将传递给该驱动程序(次设备规定具体的磁盘驱动器,带驱动器,信号线编号,或磁盘分区)。每种类型的设备一般都有自己的设备驱动程序。

  文件系统将主设备号和次设备号存放在i节点中的磁盘地址表内,所以没有磁盘空间分配给设备文件(除i节点本身占用的磁盘区外)。当程序试图在设备文件上执行I/O操作时,系统识别出该文件是一个特别文件,并调用由主设备号指定的设备驱动程序,次设备号作为调用设备驱动程序的参数。

  (4)安全考虑

  将设备处理成文件,使得UNIX程序独立于设备,即程序不必一定要了解正使用的设备的任何特性,存取设备也不需要记录长度,块大小,传输速度,网络协议等这样一些信息,所有烦人的细节由设备驱动程序去关心考虑,要存取设备,程序只须打开设备文件,然后作为普通的UNIX文件来使用。

  从安全的观点来看这样处理很好,因为任何设备上进行的I/O操作只经过了少量的渠道(即设备文件)。用户不能直接地存取设备。所以如果正确地设置了磁盘分区的存取许可,用户就只能通过UNIX文件系统存取磁盘。文件系统有内部安全机制(文件许可)。不幸的是,如果磁盘分区设备得不正确,任何用户都能够写一个程序读磁盘分区中的每个文件,作法很简单:读一i节点,然后以磁盘地址表中块号出现的顺序,依次读这些块号指出的存有文件内容的块。故除了root以外,决不要使盘分区对任何人可写。因为所有者,文件存取许可方式这样一些信息存放于i节点中,任何人只要具有已安装分区的写许可,就能设置任何文件的SUID许可,而不管文件的所有者是谁,也不必用chmod()命令,还可避过系统建立的安全检查。

  以上所述对内存文件mem,kmem和对换文件swap也是一样的。这些文件含有用户信息,一个"耐心"的程序可以将用户信息提取出来。

  要避免磁盘分区(以及其它设备)可读可写,应当在建立设备文件前先用umask命令设置文件建立屏蔽值。

  一般情况下,UNIX系统上的终端口对任何人都是可写的,从而使用户可以用write命令发送信息。虽然write命令易引起安全方面的问题,但大多数用户觉得用write得到其他用户的信息很方便,所以系统将终端设备的存取许可设置成对所有用户可写。 /dev目录应当是755存取许可方式,且属root所有。

  不允许除root外的任何用户读或写盘分区的原则有一例外,即一些程序(通常是数据库系统)要求对磁盘分区直接存取,解决这个问题的经验的盘分区应当由这种程序专用(不安装文件系统),而且应当告知使用这种程序的用户,文件安全保护将由程序自己而不是UNIX文件系统完成。

  (5)find命令

  find命令用于搜索目录树,并对目录树上的所有文件执行某种操作,参数是目录名表(指出从哪些起点开始搜索),还可给出一个或多个选项,规定对每个文件执行什么操作。

  find 。 -print 将列出当前工作目录下的目录树的每一个文件。

  find / -user bob -print 将列出在系统中可找到的属于bob用户的所有文件。

  find /usr/bob -perm 666 -print 将列出/usr/bob目录树下所有存取许可为666的文件。若将666改为-666则将列出所有具有包含了666在内的存取许可方式的文件(如777)。

  find /usr/bob -type b -print 将列出/usr/bob目录树下所有块特别文件(c为字符特别文件)。

  find / -user root -perm -4000 -exec ls -l {} ; 是一个较复杂一点的命令,-exec COMMAND ;允许对所找到的每个文件运行指定的命令COMMAND。若COMMAND中含有{},则{}将由find所找到的文件名替换。COMMAND必须以;结束。

  以上举例介绍find的用法,各选项可组合使用以达到更强的功能。

  (6)secure程序

  系统管理员应当做一个程序以定期检查系统中的各个系统文件,包括检查设备文件和SUID,SGID程序,尤其要注意检查SUID,SGID程序,检查/etc/passwd和/etc/group文件,寻找久未登录的户头和校验各重要文件是否被修改。 (源程序清单将在今后发表)

  (7)n

  check命令

  用于检查文件系统,只用一个磁盘分区名作为参数,将列出i节点号及相应的文件名。i节点相同的文件为建链文件。

  注意:所列出的清单文件名与mount命令的第一个域相同的文件名前部分将不会列出来。因为是做文件系统内部的检查,ncheck并不知道文件系统安装点以上部分的目录。

  也可用此命令来搜索文件系统中所有的SUID和SGID程序和设备文件,使用-s选项来完成此项功能。

  (8)安装和拆卸文件系统

  UNIX文件系统是可安装的,这意味着每个文件系统可以连接到整个目录树的任意节点上(根目录总是被安装上的)。安装文件系统的目录称为安装点。

  /etc/mount命令用于安装文件系统,用这条命令可将文件系统安装在现有目录结构的任意处。

  安装文件系统时,安装点的文件和目录都是不可存取的,因此未安装文件系统时,不要将文件存入安装点目录。文件系统安装后,安装点的存取许可方式和所有者将改变为所安装的文件根目录的许可方式和所有者。

  安装文件系统时要小心:安装点的属性会改变!还要注意新建的文件,除非新文件系统是由标准文件建立的,系统标准文件会设置适当的存取许可方式, 否则新文件系统的存取许可将是777! 可用-r选项将文件系统安装成只读文件系统。需要写保护的带驱动器和磁盘应当以这种方式来安装。

  不带任何参数的/etc/mount可获得系统中所安装的文件系统的有关信息。包括:文件系统被安装的安装点目录,对应/dev中的哪个设备,只读或可读写, 安装时间和日期等。

  从安全的观点来讲,可安装系统的危险来自用户可能请求系统管理员为其安装用户自己的文件系统。如果安装了用户的文件系统,则应在允许用户存取文件系统前,先扫描用户的文件系统,搜索SUID/SGID程序和设备文件。在除了root外任何人不能执行的目录中安装文件系统,用find命令或secure列出可疑文件,删除不属用户所有的文件的SUID/SGID许可。

  用户的文件系统用完后,可用umount命令卸下文件系统。并将安装点目录的所有者改回root,存取许可改为755。

  (9)系统目录和文件

  UNIX系统中有许多文件不允许用户写,如:/bin,/usr/bin,/usr/lbin, /etc/passwd, /usr/lib/crontab, /unix, /etc/rc, /etc/inittab这样一些文件和目录(大多数的系统目录),可写的目录允许移动文件,会引起安全问题。 统管理员应经常检查系统文件和目录的许可权限和所有者。可做一个程

  序根据系统提供的规则文件(在/etc/permlist文件中)所描述的文件所有者和许可权规则检查各文件。

  (源程序清单将在今后发表)

  注意:如果系统的安全管理不好,或系统是新安装的,其安全程序不够高, 可以用make方式在安全强的系统上运行上述程序,将许可规则文件拷贝到新系统来,再以设置方式在新系统上运行上述程序,就可提高本系统的安全程序。但要记住,两个系统必须运行相同的UNIX系统版本。

  4、作为root运行的程序

  在UNIX系统中,有些程序由系统作为root进程运行。这些程序并不总是具有SUID许可,因为其不少程序仅由root运行,系统管理员需要清楚这些程序做什么, 以及这些程序还将运行其它什么程序。

  (1)启动系统

  当某些UNIX系统(如SCO UNIX/XENIX)启动时,是以被称为单用户的方式运行,在这种方式中普通用户不能登录,唯有的进程是init,swapper,以及一些由系统管理员从控制台运行的进程。UNIX系统的单用户方式启动,使系统管理员能在允许普通用户登录以前,先检查系统操作,确保系统一切正常,当系统处于单用户方式时,控制台作为超级用户,命令揭示是"#",有些UNIX系统不要确认超级用户口令就认可控制台是root,给出#提示符。这就可能成为一个安全问题。

  (2)init进程

  UNIX系统总是以某种方式或称为某种级运行,系统有若干种运行级,这些运行级由init进程控制。

  UNIX系统启动时以单用户方式运行,也叫1级或S级。

  对于其他用户登录进入系统,UNIX有一种多用户运行方式,也叫2级。

  init进程控制系统运行级,它读入文件/etc/inittab,该文件详细地规定了哪些进程在哪一级运行。当root敲入init n(数字),系统就进入n级。init读该文件以确定终止哪些进程,启动哪些进程。

  有效的运行级的数值是从0到6与s。

  注意:由init建立的进程以UID为0运行(root)从/etc/inittab运行的程序也作为root运行,所以系统管理员要确保自己知道/etc/inittab中的程序做什么工作,确保这些程序以及这些程序所在的目录直到/和/etc/inittab除root外无人可写。

  (3)进入多用户

  当UNIX系统进入多用户方式时,将寝化一系列事件,接着开始执行gettys, 允许其他用户登录进入系统。如果再看看/etc/inittab文件,会看到gettys定义在运行级2,至少三个shell程序/etc/brc, /etc/bcheckrc, /etc/rc*也定义在运行级2。这些程序都在gettys启动前运行。

  这些shell程序作为root运行,也不能仅对root可写还应当检查shell程序运行的命令,因为这些命令也将作为root运行。

  (4)shutdown命令

  用shutdown命令关系统,shutdown shell程序发送警告通知所有用户离开系统,在"给定的期限时间"到了后,就终止进程,拆卸文件系统,进入单用户方式或关机状态。一旦进入单用户方式,所有的gettys停止运行,用户再不能登录。 进入关机状态后可将系统关电。 shutdown仅能由作为root登

  6、/etc/group文件

  /etc/group文件含有关于小组的信息,/etc/passwd中的每个GID在本文件中应当有相应的入口项,入口项中列出了小组名和小组中的用户。这样可方便地了解每个小组的用户,否则必须根据GID在/etc/passwd文件中从头至尾地寻找同组用户。

  /etc/group文件对小组的许可权限的控制并不是必要的,因为系统用UID,GID(取自/etc/passwd)决定文件存取权限,即使/etc/group文件不存在于系统中,具有相同的GID用户也可以小组的存取许可权限共享文件。

  小组就像登录用户一样可以有口令。如果/etc/group文件入口项的第二个域为非空,则将被认为是加密口令,newgrp命令将要求用户给出口令,然后将口令加密,再与该域的加密口令比较。 给小组建立口令一般不是个好作法。第一,如果小组内共享文件,若有某人猜着小组口令,则该组的所有用户的文件就可能泄漏;其次,管理小组口令很费事, 因为对于小组没有类似的passwd命令。可用/usr/lib/makekey生成一个口令写入

  /etc/group。

  以下情况必须建立新组:

  (1)可能要增加新用户,该用户不属于任何一个现有的小组。

  (2)有的用户可能时常需要独自为一个小组。

  (3)有的用户可能有一个SGID程序,需要独自为一个小组。

  (4)有时可能要安装运行SGID的软件系统,该软件系统需要建立一个新组。

  要增加一个新组,必须编辑该文件,为新组加一个入口项。

  由于用户登录时,系统从/etc/passwd文件中取GID,而不是从/etc/group中取GID,所以group文件和口令文件应当具有一致性。对于一个用户的小组,UID和GID应当是相同的。多用户小组的GID应当不同于任何用户的UID,一般为5位数,这样在查看/etc/passwd文件时,就可根据5位数据的GID识别多用户小组,这将减少增加新组,新用户时可能产生的混淆。

  7、增加,删除,移走用户

  (1)增加用户

  增加用户有三个过程:

  在/etc/passwd文件中写入新用户的入口项。

   为新登录用户建立一个HOME目录。

  在/etc/group中为新用户增加一个入口项。

  在/etc/passwd文件中写入新的入口项时,口令部分可先设置为NOLOGIN, 以免有人做为此新用户登录。在修改文件前,应mkdir /etc/ptmp,以免他人同时修改此文件。新用户一般独立为一个新组,GID号与UID号相同(除非他要加入目前已存在的一个新组),UID号必须和其他人不同,HOME目录一般设置在/usr或/home目录下建立一个以用户登录名为名称的目录做为其主目录。

  (2)删除用户

  删除用户与加用户的工作正好相反,首先在/etc/passwd和/etc/group文件中删除用户的入口项,然后删除用户的HOME目录和所有文件。

  rm -r /usr/loginname 删除整个目录树。

  如果用户在/usr/spool/cron/crontabs中有crontab文件,也应当删除。

  (3)将用户移到另一个系统

  这是一个复杂的问题,不只是拷贝用户的文件和用户在/etc/passwd文件中的入口项。首先一个问题是用户的UID和GID可能已经用于另一个系统,若是出现这种情况,必须给要移的用户分配另外的UID和GID,如果改变了用户的UID和GID,则必须搜索该用户的全部文件,将文件的原UID和GID改成新的UID和GID。

  用find命令可以完成这一修改:

  find . -user olduid -exec chown newuid {} ;

  find . -group oldgid -exec chgrp newgid {} ;

  也许还要为用户移走其它一些文件:

  /usr/mail/user和/usr/spool/cron/crontabs/user。

  如果用户从一个不是本系统管理员的系统移来,则应对该用户的目录结构运行程序来检查。一个不安全系统的用户,可能有与该用户其它文件存在一起的SUID/SGID程序,而这个SUID/SGID程序属于另一个用户。在这种情况下,如果用cpio或tar命令将用户的目录结构拷贝到本系统,SUID/SGID程序也将会拷贝到本系统而没有任何警告信息。应当在允许用户使用新系统以前先删除这种文件的SUID/SGID许可。总之,始终坚持检查所移用户的文件总是更安全些。也可以用su命令进入用户的户头,再拷贝用户文件,这样文件的所有者就是该用户, 而不是root。

  8、安全检查

  像find和secure这样的程序称为检查程序,它们搜索文件系统,寻找出SUID/SGID文件,设备文件,任何人可写的系统文件,设有口令的登录用户,具有相同UID/GID的用户等等。

  (1)记帐

  UNIX记帐软件包可用作安全检查工具,除最后登录时间的记录外,记

  帐系统还能保存全天运行的所有进程的完整记录,对于一个进程所存贮的信息包括UID,命令名,进程开始执行与结束的时间,CPU时间和实际消耗的时间,该进程是否是root进程,这将有助于系统管理员了解系统中的用户在干什么。acctcom命令可以列出一天的帐目表。有明,系统中有多个记帐数据文件,记帐信息保存在文件/usr/adm/pacct*中,/usr/adm/pacct是当前记录文件,/usr/adm/pacctn是以前的记帐文件(n为整型数)。若有若干个记帐文件要查看,可在acctcom命令中指定文件名: acctcom /usr/adm/pacct? /usr/adm/pacct

  要检查的问题的其中之一是:在acctcom的输出中查找一个用户过多的登录过程,若有,则说明可能有人一遍遍地尝试登录,猜测口令,企图非法进入系统。此外,还应查看root进程,除了系统管理员用su命令从终端进入root,系统启动,系统停止时间,以及由init(通常init只启动getty,login,登录shell),cron启动的进程和具有root SUID许可的命令外,不应当有任何root进程。 由记帐系统也可获得有关每个用户的CPU利用率,运行的进程数等统计数据。

  (2)其它检查命令

  *du:报告在层次目录结构(当前工作目录或指定目录起)中各目录占用的磁盘块数。可用于检查用户对文件系统的使用情况。

  *df:报告整个文件系统当前的空间使用情况。可用于合理调整磁盘空间的使用和管理。

  *ps:检查当前系统中正在运行的所有进程。对于用了大量CPU时间的进程,同时运行了许多进程的用户,运行了很长时间但用了很少CPU时间的用户进程应当深入检查。还可以查出运行了一个无限制循环的后台进程的用户,未注销户头就关终端的用户(一般发生在直接连线的终端)。

  *who:可以告诉系统管理员系统中工作的进展情况等等许多信息,检查用户的登录时间,登录终端。

  *su:每当用户试图使用su命令进入系统用户时,命令将在/usr/adm/sulog文件中写一条信息,若该文件记录了大量试图用su进入root的无效操作信息,则表明了可能有人企图破译root口令。

  *login:在一些系统中,login程序记录了无效的登录企图(若本系统的login程序不做这项工作而系统中有login源程序,则应修改login)。每天总有少量的无效登录,若无效登录的次数突然增加了两倍,则表明可能有人企图通过猜测登录名和口令,非法进入系统。

  这里最重要的一点是:系统管理没越熟悉自己的用户和用户的工作习惯,就越能快速发现系统中任何不寻常的事件,而不寻常的事件意味着系统已被人窃密。

  (3)安全检查程序的问题

  关于以上的检查方法的一个警告,若有诱骗,则这些方法中没有几个能防诱骗。如find命令,如果碰到路径名长于256个字符的文件或含有多于200个文件的目录,将放弃处理该文件或目录,用户就有可能利用建立多层目录结构或大目录隐藏SUID程序,使其逃避检查(但find命令会给出一个错误信息,系统管理员应手工检查这些目录和文件)。也可用ncheck命令搜索文件系统,但它没有find命令指定搜索哪种文件的功能。

  如果定期存取。profile文件,则检查久未登录用户的方法就不奏效了。而用户用su命令时,除非用参数-,否则su不读用户的。profile。

  有三种方法可寻找久未登录的帐户:

   UNIX记帐系统在文件/usr/adm/acct/sum/login中为每个用户保留了最后一次登录日期。用这个文件的好处是,该文件由系统维护,所以可完全肯定登录日期是准确的。缺点是必须在系统上运行记帐程序以更新loginlog文件,如果在清晨(午夜后)运行记帐程序,一天的登录日期可能就被清除了。

  /etc/passwd文件中的口令时效域将能告诉系统管理员,用户的口令是否过期了,若过期,则意味着自过期以来,户头再未被用过。这一方法的好处在于系统记录了久未用的户头,检查过程简单,且不需要记帐系统所需要的磁盘资源,缺点是也许系统管理员不想在系统上设置口令时效, 而且这一方法仅在口令的最大有效期(只有几周)才是准确的。

  系统管理员可以写一个程序,每天(和重新引导系统时)扫描/etc/wtmp, 自己保留下用户最后登录时间记录,这一方法的好处是不需要记帐程序, 并且时间准确,缺点是要自己写程序。

  以上任何方法都可和/usr/adm/sulog文件结合起来,查出由login或su登录户头的最后登录时间。 如果有人存心破坏系统安全,第一件要做的事就是寻找检查程序。破坏者将修改检查程序,使其不能报告任何异常事件,也可能停止系统记帐,删除记帐文件,使系统管理员不能发现破坏者干了些什么。

  (4)系统泄密后怎么办?

  发现有人已经破坏了系统安全的时候,这时系统管理员首先应做的是面对肇事用户。如果该用户所做的事不是蓄意的,而且公司没有关于"破坏安全"的规章,也未造成损坏,则系统管理员只需清理系统,并留心该用户一段时间。如果该用户造成了某些损坏,则应当报告有关人士,并且应尽可能地将系统恢复到原来的状态。

  如果肇事者

  是非授权用户,那就得做最坏的假设了:肇事者已设法成为root且本系统的文件和程序已经泄密了。系统管理员应当想法查出谁是肇事者,他造成了什么损坏?还应当对整个文件做一次全面的检查,并不只是检查SUID和SGID,设备文件。如果系统安全被一个敌对的用户破坏了,应当采用下面的步骤:

  关系统,然后重新引导,不要进入多用户方式,进入单用户方式。

  安装含有本系统原始UNIX版本的带和软盘。

  将/bin,/usr/bin,/etc,/usr/lib中的文件拷贝到一个暂存目录中。

  将暂存目录中所有文件的校验和(用原始版本的suM程序拷贝做校验和, 不要用/bin中的suM程序做)与系统中所有对就的文件的校验和进行比较,如果有任何差别,要查清差别产生的原因。如果两个校验和不同,是由于安装了新版本的程序,确认一相是否的确是安装了新版本程序。如果不能找出校验和不同的原因,用暂存目录中的命令替换系统中的原有命令。

  在确认系统中的命令还未被窜改之前,不要用系统中原命令。用暂存目录中的shell,并将PATH设置为仅在暂存目录中搜索命令。

  根据暂存目录中所有系统命令的存取许可,检查系统中所有命令的存取许可。

  检查所有系统目录的存取许可,如果用了perms,检查permlist文件是否被窜改过。

  如果系统UNIX(/unix)的校验和不同于原版的校验和,并且系统管理员从未修改过核心,则应当认为,一个非法者"很能干",从暂存缓冲区重新装入系统。系统管理员可以从逐步增加的文件系统备份中恢复用户的文件,但是在检查备份中的"有趣"文件之前,不能做文件恢复。

  改变系统中的所有口令,通知用户他们的口令已改变,应找系统管理员得到新口令。

  当用户来要新口令时,告诉用户发生了一次安全事故,他们应查看自己的文件和目录是否潜伏着危害(如SUID文件,特洛依木马,任何人可写的目录),并报告系统管理员任何异乎寻常的情况。

  设法查清安全破坏是如何发生的?如果没有肇事者说明,这也许是不可能弄清的。如果能发现肇事者如何进入系统,设法堵住这个安全漏洞。

  第一次安装UNIX系统时,可以将shell,sum命令,所有文件的校验和存放在安全的介质上(带,软盘,硬盘和任何可以卸下并锁焉起来的介质)。于是不必再从原版系统带上重新装入文件,可以安装备份介质,装入shell和sum,将存在带上的校验和与系统中文件的校验和进行比较。系统管理员也许想自己写一个计算校验和的程序,破坏者将不能知道该程序的算法,如果将该程序及校验和保存在带上,这一方法的保密问题就减小到一个物理的安全问题,即只需将带锁起来。

  9、加限制的环境

  (1)加限制的shell(rsh)

  该shell几乎与普通的shell相同,但是该shell的设计能限制一个用户的能力,不允许用户有某些标准shell所允许的行为:

  不能改变工作目录(cd)。

  不能改变PATH或SHELL shell变量。

  不能使用含有"/"的命令名。

  不能重定向输出(>和>>)。

  不能用exec执行程序。

  用户在登录时,招待。profile文件后系统就强加上了这些限制,如果用户在。profile文件正被解释时按了BREAK键或DELETE键,该用户将被注销。

  这些简单的限制,使用写受限制用户的。profile文件的系统管理员可以对用户能使用什么命令,进行完全的控制。

  应当注意:系统V加限制的shell实际上不是很安全,在敌对的用户时不要用。系统V版本2以后的版本中加限制的shell更安全些。但若允许受限制的用户使用某些命令(如env,cp,ln),用户将能逃避加限制的shell,进入非限制的shell。

  (2)用chroot()限制用户

  如果的确想限制一个用户,可用chroot()子程序为用户建立一个完全隔离的环境,改变了进程对根目录的概念,因此可用于将一个用户封在整个文件系统的某一层目录结构中,使用户无法用cd命令转出该层目录结构,不能存取文件系统中其余部分的任何文件。这种限制方式比加限制的shell好得多。用户使用的命令应由系统管理员在新的root目录中建立一个bin目录,并建立用户可用命令的链到系统的/bin目录中相应命令文件上(若在不同的文件系统则应拷贝命令文件)。

  还应建立新的passwd文件,保留系统登录户头(为了使ls -l正确地报告与受限制的子文件系统中的文件相关的正确登录名)和用户帐户,但系统帐户的口令改为NOLOGIN以使受限制的用户不能取得系统登录的真实口令,使"破密"程序的任何企图成为泡影。

  utmp文件是who所需要的,该文件含有系统中已登录用户的列表。

  新的/etc/profile文件也不是建链文件,以便受限制的用户可以执行不同的启动命令。

  /dev目录中的终端设备文件被链接到新的/dev目录下,因为命令who产生输出时要查看这些文件。

  在系统V及以后的UNIX版本中,login命令有chroot()的功能。如果口令文件中用户入口项的登录shell域(最后一个域)是*,login将调用chroot()把用户的根目录设置成为口令文件中用户入口项登录目录域指定的目录。然后再调用exec()执行login,新的login将在新子系统文件中执行该用户的登录。

  chroot()并不是把root封锁在一个子文件系统中,所以给受限制用户用的命令时应加以考虑,具有root的SUID许可的程序可能会给予用户root的能力。应当将这种可能减低到最小程度,交给用户使用的命令应当取自清除了SUID陷井的系统命令。链接文件可减少磁盘占用区,但要记住,当与敌对用户打交道时链接到chroot目录结构(尤其是命令)的系统文件是很危险的。

  如果建立一个像这样的限制环境,应确保对安装到新的/bin的每条命令都做过测试,有些程序可能有系统管理员未曾想到的出乎意料的执行结果。为了使这些命令能运行,还得在加限制的子文件系统中加服务目录或文件如:/tmp,/etc/termcap,/usr/lib/terminfo,/dev/mem,/dev/kmem,/dev/swap,用户所登录的/dev中的tty文件以及/unix。

  有些程序在子文件系统中运行时不会很好,如果将假脱机程序和网络命令拷贝到加限制的子文件系统中,并放在为两条命令专建的目录层结构下,它们可能也运行不了。

  10、小系统安全

  任何足够小,运行于办公室的UNIX系统就是小系统。这类小系统也包括所有台式UNIX机器。根据安全观点,使小系统很特别而值得特别的有以下几点:

  小系统的用户比大系统的用户少,通常是很小一组用户,使系统管理员能熟悉每个人,安全问题可以直接地面对面处理。

  由于小UNIX系统管理更简单,可能只需要一个系统管理员,因而维护系统安全的责任只有一个人担负。

  如果既是用户又是系统管理员,将不能花大量时间考虑系统安全。

  如果自己拥有系统并且是系统管理员,就可能有权直接将违反规的用户从系统中删除,而没有几个大系统的管理员能有这种权利。

  如果自己是系统的唯一用户,则将既是用户又是管理员,维护系统安全的任务就很简单了,只须确保系统中所有登录户头的口令是好的。

  如果不能将系统锁起来,就把敏感的数据存放在软盘上,把软盘锁起来。

  即使系统中有若干个用户,但如果系统的终端之产是有线连接,并且用户们保持门上锁,则系统也将是安全的,至少在本组用户内是安全的。

  小系统通常有可移动的介质(软盘),可用mount命令将其安装到系统上,提供一种安全的方法让用户自己在系统上安装软盘,否则系统管理员要一天到晚地干这些琐碎的安装盘事务。允许用户安装软盘的通常做法是给用户一个SUID程序,该程序基本完成与系统管理员安装用户软盘同样的操作, 首先检查软盘上有无SUID/SGID/设备文件,若发现任何奇怪的文件,则拒绝安装该软盘。

  当小系统开电源后,系统一般在从硬盘引导以前,先试图从软盘引导。这就意味着计算机将首先试图从软盘装入程序,若软盘不在驱动器中,系统将从硬盘装入UNIX内核。软盘几乎可以含有任何程序,包括在控制台启动root shell的UNIX系统版本。如果破坏者有一把螺丝起子和有关系统内部的一些知识,则即便系统有被认为防止安全事故发生的特殊"微码"口令, 也可能被诱骗去从软盘引导。

  即使小系统晚上不锁,凡从不将个人的或秘密的信息存放在大系统上的人他们不可能认识所有系统上的用户),也不会想把这样的信息存放在小系统上。

  小系统的系统管理员在使用UNIX系统方面常不如大系统管理员有经验,而安全地管理系统需要一定的使用系统的知识。

  11、物理安全

  对于运行任何操作系统的小型或大型计算机,物理安全都是一个要考虑的重要问题,物理安全包括:锁上放置计算机的屋子,报警系统,警卫,所有安置在不能上锁的地方的通讯设施,包括有线通讯线,电话线,局域网,远程网,应答MODEM,钥匙或信用卡识别设备,给用户的口令和钥匙分配,任何前置通讯设施的加密装置, 文件保护,备份或恢复方案(称为安全保险方案,用作应付偶然的或蓄意的数据或计算设备被破坏的情况),上锁的输出仃,上锁的废物箱和碎纸机。

  物理安全中所饮食的总考虑应是:在安全方案上所付出的代价不应当多于值得保护的(硬件或软件的)价值。

  下面着重讨论保护用户的各种通讯线。对于任何可在不上锁的地方存取的系统,通讯是特别严重的安全薄弱环节。当允许用户通过挂到地方电话公司的拨号MODEM存取系统时,系统的安全程度就将大大地削弱,有电话和MODEM的任何人就可能非法进入该系统。应当避免这一情况,要确保MODEM的电话号码不被列于电话薄上,并且最好将电话号码放在不同于本公司普通电话号码所在的交换机上。总之,不要假设没人知道自己的拨入号码!大多数家庭计算机都能编程用一个MODEM整天地依次调用拨号码,记录下连接上其它MODEM的号码。如果可能,安装一个局域PBX,使得对外界的拨号产生一秒钟的拨号蜂音,并且必须输入一个与MODEM相关联的扩展号码。

  12、用户意识

  UNIX系统管理员的职责之一是保证用户安全。这其中一部分工作是由用户的管理部门来完成,但是作为系统管理员,有责任发现和报告系统的安全问题,因为系统管理员负责系统的运行。

  避免系统安全事故的方法是预防性的,当用户登录时,其shell在给出提示前先执行/etc/profile文件,要确保该文件中的PATH指定最后搜索当前工作目录, 这样将减少用户能运行特洛依木马的机会。

  将文件建立屏蔽值的设置放在该文件中也是很合适的,可将其值设置成至少将防止用户无意中建立任何人都能写的文件(022/026)。要小心选择此值,如果限制太严,则用户会在自己的。profile中重新调用umask以抵制系统管理员的意愿, 如果用户大量使用小组权限共享文件,系统管理员就一要设置限制小组存取权限的屏蔽值。系统管理员必须建立系统安全和用户的"痛苦量"间的平衡(痛苦量是安全限制引起的愤怒的函数)。定期地用grep命令查看用户。profile文件中的umask,可了解系统安全限制是否超过了用户痛苦极限。

  系统管理员可每星期随机抽选一个用户,将该用户的安全检查结果(用户的登录情况简报,SUID/SGID文件列表等)发送给他的管理部门和他本人。主要有四个目的:

  大多数用户会收到至少有一个文件检查情况的邮件,这将引起用户考虑安全问题(虽然并不意味着用户们会采取加强安全的行动)。

  有大量可写文件的用户,将一星期得到一次邮件,直到他们取消可写文件的写许可为止。冗长的烦人的邮件信息也许足以促使这些用户采取措施, 删除文件的写许可。

  邮件将列出用户的SUID程序,引起用户注意自己有SUID程序,使用户知道是否有不是自己建立的SUID程序。

  送安全检查表可供用户管理自己的文件,并使用户知道对文件的管理关系到数据安全。如果系统管理员打算这样做,应事先让用户知道,以便他们了解安全检查邮件的目的。 发送邮件是让用户具有安全意识,不要抱怨发送邮件。

  管理意识是提高安全性的另一个重要因素。如果用户的管理部门对安全要求不强烈,系统管理员可能也忘记强化安全规则。最好让管理部门建立一套每个人都必须遵守的安全标准,如果系统管理员在此基础上再建立自己的安全规则,就强化了安全。管理有助于加强用户意识,让用户明确,信息是有价值的资产。

  系统管理员应当使安全保护方法对用户尽可能地简单,提供一些提高安全的工具,如:公布锁终端的lock程序,让用户自己运行secure程序,将pwexp(检查用户口令信息的程序)放入/etc/profile中,使用户知道自己的口令时间。多教给用户一些关于系统安全的知识,确保用户知道自己的许可权限和umask命令的设置值。如果注意到用户在做蠢事,就给他们一些应当怎样做才对的提示。用户知道的关于安全的知识越多,系统管理员在保护用户利益方面做的事就越少。

  13、系统管理员意识

  (1)保持系统管理员个人的登录安全

  若系统管理员的登录口令泄密了,则窃密者离窃取root只有一步之遥了, 因为系统管理员经常作为root运行,窃密者非法进入到系统管理员的户头后, 将用特洛依木马替换系统管理员的某些程序,系统管理员将作为root运行这些已被替换的程序。正是因为这个原因,在UNIX系统中,管理员的户头最常受到攻击。即使su命令通常要在任何都不可读的文件中记录所有想成为root的企图, 还可用记帐数据或ps命令识别运行su命令的用户。也是如此,系统管理员作为root运行程序时应当特别小心,因为最微小的疏忽也可能"沉船"。下列一些指导规则可使系统管理员驾驶一艘"坚固的船":

  不要作为root或以自己的登录户头运行其他用户的程序,首先用su命令进入用户的户头。

  决不要把当前工作目录排在PATH路径表的前边,那样实际是招引特洛依木马。当系统管理员用su命令进入root时,他的PATH将会改变,就让PATH保持这样,以避免特洛依木马的侵入。

  敲入/bin/su执行su命令。若有su源码,将其改成必须用全路径名运行(即su要确认argv[0]的头一个字符是"/"才运行)。随着时间的推移,用户和管理员将养成敲/bin/su的习惯。

  不要未注销户头就离开终端,特别是作为root用户时更不能这样。当系统管理员作为root用户时,命令提示符是"#",这个提示符对某些人来说可能是个红灯标志。

  不允许root在除控制台外的任何终端登录(这是login的编译时的选项),

  如果没有login源码,就将登录名root改成别的名,使破坏者不能在root登录名下猜测各种可能的口令,从而非法进入root的户头。 录名下猜测各种可能的口令,从而非法进入root的户头。

  经常改变root的口令。

  确认su命令记下的想运行su企图的记录/usr/adm/sulog,该记录文件的许可方式是600,并属root所有。这是非法者喜欢选择来替换成特洛依木马的文件。

  不要让某人作为root运行,即使是几分钟,即使是系统管理员在一旁注视着也不行!

  (2)保持系统安全

  考虑系统中一些关键的薄弱环节:

  a、系统是否有MODEM?电话号码是否公布?

  b、系统是否连接到?还有什么系统也连接到该网络?

  c、系统管理员是否使用未知来处或来处不可靠的程序?

  d、系统管理员是否将重要信息放在系统中?

  e、系统的用户是熟悉系统的使用还是新手?

  f、用户是否很重视关心安全?

  g、用户的管理部门是否重视安全?

  保持系统文件安全的完整性。检查所有系统文件的存取许可,任何具有SUID许可的程序都是非法者想偷换的选择对象。

  要特别注意设备文件的存取许可。

  要审查用户目录中具有系统ID/系统小组的SUID/SGID许可的文件。

  在未检查用户的文件系统的SUID/SGID程序和设备文件之前,不要安装用户的文件系统。

  将磁盘的备份存放在安全的地方。

  设置口令时效,如果能存取UNIX的源码,将加密口令和信息移到仅对root可读的文件中,并修改系统的口令处理子程序。这样可增加口令的安全。修改passwd,使passwd能删去口令打头和末尾的数字,然后根据spell词典和/etc/passwd中用户的个人信息,检查用户的新口令,也检查用户新口令中子串等于登录名的情况。如果新口令是spell词典中的单词,或/etc/passwd中的入口项的某项值,或是登录名的子串,passwd将不允许用户改变口令。

  记录本系统的用户及其授权使用的系统。

  查出久未使用的登录户头,并取消该户头。

  确保没有无口令的登录户头。

  启动记帐系统。

  查出不寻常的系统使用情况,如大量的占用磁盘,大量的使用CPU时间,大量的进程,大量的使用su的企图,大量无效的登录,大量的到某一系统的网络传输,奇怪的uucp请求。

  修改shell,使其等待了一定时间而无任务时终止运行。

  修改login,使其打印出用户登录的最后时间,三次无效登录后,将通讯线挂起,以便系统管理员能检查出是否有人试图非法进入系统。确保login不让root在除控制台外的任何地方登录。

  修改su,使得只有root能以过期口令通过su进入某一户头。

  当安装来源不可靠的软件时,要检查源码和makefile文件,查看特殊的子程序调用或命令。

  即使是安装来源可靠的软件,也要检查是否有SUID(SGID)程序,确认这些许可的确是必要的。如果可能,不要让这些程序具有系统ID(或组)的SUID(SGID)许可,而应该建立一个新用户(或给)供该软件运行。

  如果系统在办公室中,门应上锁,将重要数据保存在软盘上或带上,并锁起来。

  将secure,perms和任何其它做安全检查的shell程序存取许可置为仅执行, 更好的是将这些shell程序存于可拆卸的介质上。

  记住,只要系统有任何人都可调用的拨号线,系统就不可能真正的安全。系统管理员可以很好地防止系统受到偶然的破坏。但是那些有耐心,有计划, 知道自己在干什么的破坏者,对系统直接的有预谋的攻击却常常能成功。

  如果系统管理员认为系统已经泄密,则应当设法查出肇事者。若肇事者是本系统的用户,与用户的管理部门联系,并检查该用户的文件,查找任何可疑的文件,然后对该用户的登录小心地监督几个星期。如果肇事者不是本系统的用户,可让本公司采取合法的措施,并要求所有的用户改变口令,让用户知道出了安全事故,用户们应当检查自己的文件是否有被窜改的迹象。 如果系统管理员认为系统软件已被更改了,就应当从原版系统带(或;软盘)上重装入所有系统软件,保持系统安全比道歉更好。