1、长的惊险…..有创意啊
2、你小时候被猪亲过吧?
3、你长的很爱国很敬业很有骨气
4、长得真有创意，活得真有勇气！
5、你长的真tm后现代
6、你长的好象车祸现场
7、你长的外形不准 比例没打好
8、你干嘛用P股挡住脸啊！
9、我觉得世界上就只有两种人能吸引人，一种是特漂亮的 一种就是你这样的
10、你的长相很提神的说!!
11、你需要回炉重造
12、他们怎么能管你叫猪呢？？这太不像话了！总不能人家长的像什么就叫人家什么吧！怎么能说你长得像猪呢？那是侮辱了猪。
13、K，你你好长得太好认了。
14、长的很科幻,长的很抽象!
15、见过丑的，没见过这么丑的。乍一看挺丑，仔细一看更丑！
16、长的很无辜，长的对不起人民对不起党。
17、你长的拖慢网速，你长的太耗内存
18、你光着身子追我两公里 我回一次头都算我是流氓!
19、大哥，把你脸上的分辨率调低点好吗？
20、你长的违章!
21、国际脸孔世界通用
22、很惋惜的看着他说：”手术能整回来吗？”
23、你的长相突破了人类的想象…
24、你长的很野兽派嘛！！
25、你还没有进化完全，长的象人真的难为你了。
26.我想看着你说话，可你为什么把脸埋在你的P股里？…哦？对不起，我不知道那是你的脸，那你的P股哪儿去了？
27.我也不想打击你了。你去动物园看看有没有合适的工作适合你，你这样在街上乱跑很容易被警察射杀的。
28、MMD,我从没见过长的这么有考古价值的.
29、长的飞沙走石 鬼斧神工
月度归档： 2006 年 3 月
“跑调”的普通话
1.有一位广东人说：“站在床(船)上望娇妻(郊区)，越看越美丽。”
2.有一位男顾客问女服务员：“睡觉(水饺)一晚(碗)多少钱?”
3.有一位哨兵站岗发现远处来了一个人，马上向领导报告：“前面来了一个营(人)。”
4.某班长命令全班战士向目标射击，他的口令是“全体杀鸡(射击)!”
5.一位讲师在讲政治经济学时老是讲到“西游记”，大家都不明白，后来才知道他讲的是“私有制”。
6.朋友们在一块儿吃饭，先上一盘田螺，主人夹起一颗一看说：“公的(空的)!”便弃之，又夹起一个又说：“又是公的(空的)!”朋友非常惊讶，心想：“真厉害，连田螺的公母都看得出来!”
7.两位朋友在一起吃饭，广西人有点感冒，发现自己坐在空调风口下，便说：“我感冒，不能坐在疯狗(风口)边。”说完就换座了。另一位朋友不乐意了：“啥意思?”
九种越吃越瘦的好东西
茶叶 茶叶含有多酚类儿茶素以及咖啡因,还含有多种维生素,具兴奋神经,抗疲劳,抗氧化,抗癌症等多种功效。因此具有解腻减肥的功能。乌龙茶,绿茶等都是减肥良品,可以长期饮用,副作用少。 冬瓜 冬瓜不含脂肪而含钠盐,且含有丙醇二酸,有利尿去湿之功效,自古就被认为减肥秒品。肥胖的
人体内大多集有较多水分,肌肉软弱不实,民间常用冬瓜煮汤饮服,减肥效果明显,对肾脏病,糖尿病者也大有好处。 黄瓜 黄瓜水分高,含有多种维生素,且含有一种可抑制糖类转化为脂肪的丙醇二酸,长吃黄瓜可减肥。
木瓜 含有丰富的维生素C,β-胡萝卜素以及独特的木瓜蛋白酶,味甘性平,可以清除因吃肉而积聚在皮下的脂肪。木瓜肉所含的果胶更是优良的洗肠剂,让肠胃畅通无阻。
西芹 西芹含有丰富纤维,可以加速肠胃的蠕动,促进消化。此外,西芹含有大量的钙质,可以“强化筋骨”,含有钾,可减少体内的水分积聚。
辣椒 辣椒可促进肠蠕动和消化液的分泌,加快新陈代谢,虽然可以减肥,但多食副作用大,刺激肠胃不舒服。
菠菜 含热量底,而维生素及铁质含量极其丰富。菠菜中植酸含量高,不宜与豆腐同吃,菠菜以生吃最有益,烹调也不宜过久,以免损耗营养。
咖啡 含咖啡因,可兴奋神经和加快新陈代谢,但最好不要加糖饮用。
各种粗粮 含丰富的膳食纤维及B族维生素,饱腹,润肠,通便。
高清电视-HDMI标准
一、 数字电视设备的成长
随着我国数字产业的不断增长和用户们对高清电视的期待，促使了数字电视销量飞快地增长，同时也带动了家庭数字外设装置的快速成长。每当消费者购买新的数字电视设备时，也就可能同时购买其它数码装置，例如数码相机、DVD录放机等等，用来传输或保存优质的数字内容。如何确保数字电视与家庭影院设备具有互相联系的功能，使人们能够享受更优质的数字化生活，是目前数字电视发展的一大课题。在最近接触到的影音器材中，很多都已经具备HDMI接口，它成为了新一代高清晰电视的必备接口。
二、高清晰度多媒体接口的特点
HDMI是基于DVI技术制定的，它可以看作是DVI技术的强化与延伸，两者可以兼容。HDMI在保证高品质的情况下能够以数码形式传输未经压缩的高分辨率视频和多声道音频数据。HDMI可以满足1080p的分辨率，并且支持所有的HDTV等标准，还支持DVD Audio等最先进的数字音频格式，支持多声道96kHz或立体声192kHz数码音频传递，而且只用一条HDMI线连接，可以用于免除数码音频接线。与此同时HDMI标准所具备的额外扩展空间，它允许应用在日后升级的音频或视频的格式中。与DVI相比HDMI接口的体积要更小而且支持同时传输音频及视频信号。但是每根DVI的线缆长度不能够超过8米否则会影响到显示画面的质量，而HDMI基本上没有对线缆的长度限制要求。使用一条HDMI缆线就完全可以代替13条模拟传输线，能解决家庭娱乐系统背后连线杂乱纠结的问题。HDMI可搭配宽带数字内容以保护(High-bandwidth Digital Content Protection；HDCP)，用来防止具有著作权的影音内容遭到未经授权的复制。也是因为这项保护机制，好莱坞对这项技术十分的看好。HDMI的规格包含针对消费电子和PC用的两种连接器，这样的话相信不久之后HDMI这项技术将会被PC业界广泛采用。数字音频/视频接口HDMI将取代目前的所使用DVI接口，成为下一代数字接口的标准。
HDMI接口可以支持高达5Gbps的传输率，完全可以应付一个1080p的视频和一个8声道的音频信号。它最远可传输至15米远，而由于一个1080p的视频和8声道的音频信号的所需的数据要少于4GB/s，HDMI可以很轻松的完成，并且还会有很大的剩余空间。这允许它能够用一个电缆分别连接DVD播放器，接收器和PRR。
HDMI是一种未压缩的电子产品接口标准，它可以把高清晰度的视频信号与多频道音频信号融合到一根电缆上，让家电厂商设计的数字电视能够在未来的几年中与未来的数字装置兼容，并增加支持数字所需要的内容格式。
三、高清显示接口的未来
HDMI这个标准的用途十分广阔，能够成功地解决困扰消费电子产业的许多问题。HDMI标准是采用-请使用文明用语-S技术，其影音内容传输带宽达到每秒数千兆，并且具有Intel的HDCP内容保护技术，对消费电子产业链中每一成员而言，HDMI标准为其提供了十分理想的解决方案，由此产生的结果是整齐美观的线缆和接头组装，而且在一般的消费者看来也会觉得便于使用。另一方面，按照DVD拷贝管制协会(CCA)的规定，只有配置了DVI-HDCP或HDMI-HDCP输出端子的DVD机，才可以播放CSS保护内容并且画质高于480p/576p。此外，Cable Labs在其Open Cable计划中规定，所有高画质的数字电视盒(HD-STBs)必须具备上面所提到的两个输出端子。而且美国的FCC也有相关规定：在2005年7月以后销售的所有具数字有线功能的电视，均必须具有这两个输入端子。2005年1月19日，代表欧洲信息通信技术与消费电子产业的组织EICTA在布鲁塞尔宣布：任何显示设备只有通过HDMI或DVI数字接口接收高分辨率内容的传输，而且其HDMI或DVI输入端子必须支持HDCP才可以贴有“HD Ready”标志。正是有了这些规定才进一步巩固了HDMI在市场上的地位。
形形色色的间谍装备
更多请查看http://pop.pcpop.com/060308/2060162.html
Linux下的后门和日志工具
攻入Linux系统后，很多入侵者往往就开始得意忘形了。这其中还有一个原因，就是技术性也要求更高了。下面，我们来看看一些常用的经典工具。 1、从这里延伸：后门和连接工具
（1）Httptunnel
Tunnel的意思是隧道，通常HTTPTunnel被称之为HTTP暗道，它的原理就是将数据伪装成HTTP的数据形式来穿过防火墙，实际上，它是在HTTP请求中创建了一个双向的虚拟数据连接来穿透防火墙。说得简单点，就是说在防火墙两边都设立一个转换程序，将原来需要发送或接受的数据包封装成HTTP请求的格式骗过防火墙，所以它不需要别的代理服务器而直接穿透防火墙。
HTTPTunnel包括两个程序：htc和hts，其中htc是客户端，而hts是服务器端，我们现在来看看我是如何用它们的。比如开了FTP的机器的IP是192.168.10.231，本地机器IP是192.168.10.226，因为防火墙的原因，本地机器无法连接到FTP上。怎么办？现在就可以考虑使用HTTPTunnel了。过程如下：
第一步：在本地机器上启动HTTPTunnel客户端。用Netstat看一下本机现在开放的端口，会发现8888端口已在侦听。
第二步：在对方机器上启动HTTPTunnel的服务器端，并执行命令“hts -f localhost:21 80”，这个命令的意思是说，把本机的21端口发出去的数据全部通过80端口中转一下，并且开放80端口作为侦听端口，再用Neststat看一下他的机器，就会发现80端口现在也在侦听状态。
第三步：在本地机器上用FTP连接本机的8888端口，会发现已经连上对方的机器了。那么，为什么人家看到的是127.0.0.1，而不是192.168.10.231呢？因为我们现在是连接本机的8888端口，防火墙肯定不会有反应，如果没往外发包，局域网的防火墙肯定就不知道了。现在连接上本机的8888端口以后，FTP的数据包不管是控制信息还是数据信息，都被htc伪装成HTTP数据包然后发过去，在防火墙看来，这都是正常数据，相当于欺骗了防火墙。
需要说明的是，这一招的使用需要其他机器的配合，就是说要在他的机器上启动一个hts，把他所提供的服务，如FTP等重定向到防火墙所允许的80端口上，这样才可以成功绕过防火墙！肯定有人会问，如果对方的机器上本身就有WWW服务，也就是说他的80端口在侦听，这么做会不会冲突？HTTPTunnel的优点就在于，即使他的机器以前80端口开着，现在也不会出现什么问题，重定向的隧道服务将畅通无阻！
（2）Tcp_wrapper
Tcp_wrapper是Wietse Venema开发的一个免费软件。Tcp_wrapper的诞生有个小小的故事，大约1990年，作者所在大学的服务器屡屡受到一个外来黑客侵入，因为受害主机的硬盘数据屡次被rm -rf/命令整个抹掉，所以找寻线索极为困难，直到有一天晚上作者在工作的过程中无意中发现这个黑客在不断的finger 受害主机、偷窥受害者的工作。于是，一个想法诞生了：设计一个软件，使它可以截获发起finger请求的IP，用户名等资料。Venema很快投入了工作，而Tcp_wrapper也由此诞生！此后，Tcp_wrapper随着广泛的应用逐渐成为一种标准的安全工具。通过它，管理员实现了对inetd提供的各种服务进行监控和过滤。
Tcp_wrapper编译安装成功后，会生成一个tcpd程序，它可以在inetd.conf这个控制文件中取代in.telnetd的位置，这样，每当有telnet的连接请求时，tcpd即会截获请求，先读取管理员所设置的访问控制文件，合乎要求，则会把这次连接原封不动的转给真正的in.telnetd程序，由in.telnetd完成后续工作。如果这次连接发起的ip不符合访问控制文件中的设置，则会中断连接请求，拒绝提供telnet服务。Tcp_wrapper访问控制的实现是依靠两个文件:hosts.allow，hosts.deny来实现的。如果我们编辑/etc/syslog.conf文件时，加入了日志纪录功能，即：
#tcp wrapper log
local3.info /var/log/tcplog
编辑结束后，保存文件，在/var/log下会生成tcplog文件，注意这个文件的读写属性， 应该只对root有读写权限。然后ps -ef | grep syslogd，找出syslogd的进程号，kill -HUP 重启syslogd进程使改动生效。 在这里，我们可以预先看一看以后生成的tcplog文件内容，如下：
Jul 31 22:00:52
www.test.org in.telnetd[4365]: connect from 10.68.32.1
Jul 31 22:02:10 www.test.org in.telnetd[4389]: connect from 10.68.32.5
Jul 31 22:04:58 www.test.org in.ftpd[4429]: connect from 10.68.32.3
Aug 2 02:11:07 www.test.org in.rshd[13660]: connect from 10.68.32.5
Aug 2 02:11:07 www.test.org in.rlogind[13659]: connect from 10.68.32.1 从上面我们可以看到，在安装了Tcp_wrapper的主机上，系统的每一次连接，Tcp_wrapper都做了纪录，它的内容包括时间、服务、状态、ip等，对攻击这有很大的参考价值，不过，一定要记得清除日志了。
（3）rootkit工具：LRK
Rootkit出现于二十世纪90年代初，它是攻击者用来隐藏自己的踪迹和保留root访问权限的工具。通常，攻击者通过远程攻击或者密码猜测获得系统的访问权限。接着，攻击者会在侵入的主机中安装rootkit，然后他会通过rootkit的后门检查系统，看是否有其他的用户登录，如果只有自己，攻击者就开始着手清理日志中的有关信息。通过rootkit的嗅探器获得其它系统的用户和密码之后，攻击者就会利用这些信息侵入其它的系统。
如果攻击者能够正确地安装rootkit并合理地清理了日志文件，系统管理员就会很难察觉系统已经被侵入，直到某一天其它系统的管理员和他联系或者嗅探器的日志把磁盘全部填满，他才会察觉已经大祸临头了。不过，在系统恢复和清理过程中，大多数常用的命令例如ps、df和ls已经不可信了。许多rootkit中有一个叫做FIX的程序，在安装rootkit之前，攻击者可以首先使用这个程序做一个系统二进制代码的快照，然后再安装替代程序。FIX能够根据原来的程序伪造替代程序的三个时间戳(atime、ctime、mtime)、date、permission、所属用户和所属用户组。如果攻击者能够准确地使用这些优秀的应用程序，并且在安装rootkit时行为谨慎，就会让系统管理员很难发现。
下面我们介绍一个非常典型的针对Linux系统的LRK版本6。Linux Rootkit 6是一个开放源码的rootkit，经过多年的发展，Linux Rootkit的功能越来越完善，具有的特征也越来越多。下面我们简单地介绍一下Linux Rootkit包含的各种工具。
首先是隐藏入侵者行踪的程序。为了隐藏入侵者的行踪，Linux Rootkit IV的作者可谓煞费心机，编写了许多系统命令的替代程序，使用这些程序代替原由的系统命令，来隐藏入侵者的行踪。这些程序包括：
ls、find、du 这些程序会阻止显示入侵者的文件以及计算入侵者文件占用的空间。在编译
之前，入侵者可以通过ROOTKIT_FILES_FILE设置自己的文件所处的位置，默认是/dev/ptyr。注意如果在编译时使用了SHOWFLAG选项，就可以使用ls -/命令列出所有的文件。这几个程序还能够自动隐藏所有名字为：ptyr、hack.dir和W4r3z的文件。
ps、top、pidof 这几个程序用来隐藏所有和入侵者相关的进程。
netstat 隐藏出/入指定IP地址或者端口的网络数据流量程。
killall 不会杀死被入侵者隐藏的进程。
ifconfig 如果入侵者启动了嗅探器，这个程序就阻止PROMISC标记的显示，使系统管理员难以发现网络接口已经处于混杂模式下。
crontab 隐藏有关攻击者的crontab条目。
tcpd 阻止向日志中记录某些连接。
syslogd 过滤掉日志中的某些连接信息。
其次是后门程序。木马程序可以为本地用户提供后门；木马网络监控程序则可以为远程用户提供inetd、rsh、ssh等后门服务，具体因版本而异。随着版本的升级，Linux Rootkit IV的功能也越来越强大，特征也越来越丰富。一般包括如下网络服务程序：
chfn 提升本地普通用户权限的程序。运行chfn，在它提示输入新的用户名时，如果用户输入rookit密码，他的权限就被提升为root。
chsh 提升本地用户权限的程序。运行chsh，在它提示输入新的shell时，如果用户输入rootkit密码，他的权限就被提升为root。
passwd 和上面两个程序的作用相同。在提示你输入新密码时，如果输入rookit密码，权限就可以变成root。
login 允许使用任何帐户通过rootkit密码登录。如果使用root帐户登录被拒绝，可以尝试一下rewt。当使用后门时，这个程序还能够禁止记录命令的历史记录。
inetd 特洛伊inetd程序，为攻击者提供远程访问服务。
rshd 为攻击者提供远程shell服务。攻击者使用rsh -l rootkitpassword host command命令就可以启动一个远程root shell。
sshd 为攻击者提供ssh服务的后门程序。
再就是工具程序。所有不属于以上类型的程序都可以归如这个类型，它们实现一些诸如：日志清理、报文嗅探以及远程shell的端口绑定等功能，包括：
fix 文件属性伪造程序。
linsniffer 报文嗅探器程序。
sniffchk 一个简单的bash shell脚本，检查系统中是否正有一个嗅探器在运行。
login 允许使用任何帐户通过rootkit密码登录。如果使用root帐户登录被拒绝，可以尝试一下rewt。当使用后门时，这个程序还能够禁止记录命令的历史记录。
z2 utmp/wtmp/lastlog日志清理工具。可以删除utmp/wtmp/lastlog日志文件中有关某个用户名的所有条目。不过，如果用于Linux系统需要手工修改其源代码，设置日志文件的位置。
bindshell 在某个端口上绑定shell服务，默认端口是12497。为远程攻击者提供shell服务。
（4）netcat
这是一个简单而有用的工具，能够通过使用TCP或UDP协议的网络连接去读写数据。它被设计成一个稳定的后门工具，能够直接由其它程序和脚本轻松驱动。同时，它也是一个功能强大的网络调试和探测工具，能够建立你需要的几乎所有类型的网络连接，还有几个很有意思的内置功能。
2、查找Linux下的蛛丝马迹：日志工具
对于高明的攻击者来说，进入系统后，还应了解自己的“蛛丝马迹”并清除这些痕迹，自然就要了解一些日志工具了。
（1）logcheck
logchek 可以自动地检查日志文件，定期检查日志文件以发现违反安全规则以及异常的活动。它先把正常的日志信息剔除掉，把一些有问题的日志保留下来，然后把这些信息 email 给系统管理员。logcheck 用 logtail 程序记住上次已经读过的日志文件的位置，然后从这个位置开始处理新的日志信息。logcheck 主要由下面几个主要的文件：
logcheck.sh 可执行的脚本文件，记录logcheck检查那些日志文件等，我们可以把它加入crontab中定时运行。
logcheck.hacking 是logcheck 检查的模式文件。和下面的文件一起，按从上到下的顺序执行。这个文件表明了入侵活动的模式。
logcheck.violations 这个文件表示有问题，违背常理的活动的模式。优先级小于上面的那个模式文件。
logcheck.violations.ignore 这个文件和上面的logcheck.violations的优先是相对的，是我们所不关心的问题的模式文件。
logcheck.ignore 这是检查的最后一个模式文件。如果没有和前三个模式文件匹配，也没有匹配这个模式文件的话，则输出到报告中。
Logtail 记录日志文件信息。
Logcheck首次运行时读入相关的日志文件的所有内容，Logtail会在日志文件的目录下为每个关心的日志文件建立一个logfile.offset 的偏移量文件，以便于下次检查时从这个偏移量开始检查。Logcheck执行时，将未被忽略的内容通过邮件的形式发送给 logcheck.sh 中 系统管理员指定的用户。
（2）logrotate
一般Linux 发行版中都自带这个工具。它可以自动使日志循环，删除保存最久的日志，它的配置文件是 /etc/logrotate.conf，我们可以在这个文件中设置日志的循环周期、日志的备份数目以及如何备份日志等等。在/etc/logrotate.d目录下，包括一些工具的日志循环设置文件，如syslog等，在这些文件中指定了如何根据/etc/logrotate.conf做日志循环，也可以在这里面添加其他的文件以循环其他服务的日志。
（3）swatch
swatch 是一个实时的日志监控工具，我们可以设置感兴趣的事件。Swatch 有两种运行方式：一种可以在检查日志完毕退出，另一种可以连续监视日志中的新信息。Swatch提供了许多通知方式，包括email、振铃、终端输出、多种颜色等等。安装前，必须确保系统支持perl。swatch 软件的重点是配置文件swatchmessage，这个文本文件告诉 swatch 需要监视什么日志，需要寻找什么触发器，和当触发时所要执行的动作。当swatch发现与swatchmessage中定义的触发器正则表达式相符时，它将执行在 swatchrc中定义的通知程序。
当然，上面所介绍的软件只是Linux大海中的几只美丽的贝壳，随着越来越多的用户加入到Linux大军中，我们相信，优秀的Hack也将越来越多，这反过来也将促进Linux操作系统逐步走向成熟，我们拭目以待。
搭建系统安全：手把手教你选购防火墙
防火墙的分类及特点
对于市面上种类品牌繁多的防火墙，选购者们是不是会很头疼呢？究竟是看重这个防火墙厂商的知名度还是它的功能？到底国内防火墙好还是国外防火墙更优秀？他们都各自有什么优势呢？
不同环境的网络，对于防火墙的要求各不一样。比如说IDS功能、VPN功能，对于一些小型的公司来说就不需要这些功能。再比如说流量和性能、处理能力之间的关系，究竟多大规模的网络，多大的流量需要多大的性能和多强的处理能力才算是合适呢？那么就需要选购者对于防火墙的选型方面仔细考虑了。
首先大概说一下防火墙的分类。就防火墙的组成结构而言，可分为以下三种：
第一种：软件防火墙
这里指的是网络版的软件防火墙而不是个人防火墙。个人防火墙在网上有很多可以免费下载的，不需要花钱买。软件防火墙运行于特定的计算机上，它需要客户预先安装好的计算机操作系统的支持，一般来说这台计算机就是整个网络的网关。软件防火墙就象其它的软件产品一样需要先在计算机上安装并做好配置才可以使用。防火墙厂商中做网络版软件防火墙最出名的莫过于Checkpoint。
第二种：硬件防火墙
这里说的硬件防火墙是指所谓的硬件防火墙。之所以加上”所谓”二字是针对芯片级防火墙说的了。它们最大的差别在于是否基于专用的硬件平台。目前市场上大多数防火墙都是这种所谓的硬件防火墙，他们都基于PC架构，就是说，它们和普通的家庭用的PC没有太大区别。在这些PC架构计算机上运行一些经过裁剪和简化的操作系统，最常用的有老版本的Unix、Linux和FreeBSD系统。
第三种：芯片级防火墙
它们基于专门的硬件平台，没有操作系统。专有的ASIC芯片促使它们比其他种类的防火墙速度更快，处理能力更强，性能更高。做这类防火墙最出名的厂商莫过于NetScreen.其他的品牌还有FortiNet,算是后起之秀了。
对防火墙的分类有了初步的了解之后，选购者比较关心的就是下面所说的――这三种防火墙各自的优缺点以及这几种防火墙对于不同的网络环境的应用有何不同。弄清楚这些才能对防火墙本身有个比较好的了解，对于选购也是及其有帮助的。
在防火墙的应用上，除了防火墙的基本功能之外，还根据企业用户的需要添加了许多其他的扩展功能。
通常有NAT、DNS、VPN、IDS等。由于软件防火墙和硬件防火墙是运行于一定操作系统上的特定软件，所以一些防火墙所需要实现的功能就可以像大家普遍使用的软件一样，分成许多个模块。一些防火墙的厂商也是这样做的，他们将一些扩展的功能划分出来，如果需要使用则另行购买安装。例如IDS功能，有些公司已经购买了专业的IDS产品，那么防火墙上单加了一个IDS的功能则显得有些多余。那么就可以不再购买防火墙中IDS的部分。
芯片级防火墙的核心部分就是ASIC芯片，所有的功能都集成做在这一块小小的芯片上，可以选择这些功能是否被启用。由于有专用硬件的支持，在性能和处理速度上高出前两种防火墙很多，在拥有全部功能后处理速度还是比较令人满意的。
大多数人在选购防火墙的时候会着重于这个防火墙相对于其他防火墙都多出什么功能，性能高多少之类的问题。但对于防火墙来说，自身的安全性决定着全网的安全性。
由于软件防火墙和硬件防火墙的结构是软件运行于一定的操作系统之上，就决定了它的功能是可以随着客户的实际需要而做相应调整的，这一点比较灵活。当然了，在性能上来说，多添加一个扩展功能就会对防火墙处理数据的性能产生影响，添加的扩展功能越多，防火墙的性能就越下降。
由于前两种防火墙运行于操作系统之后，所以它的安全性很大程度上决定于操作系统自身的安全性。无论是UNIX、Linux、还是FreeBSD系统，它们都会有或多或少的漏洞，一旦被人取得了控制权，整个内网的安全性也就无从谈起了，黑客可以随意修改防火墙上的策略和访问权限，进入内网进行任意破坏。由于芯片级防火墙不存在这个问题，自身有很好的安全保护，所以较其他类型的防火墙安全性高一些。
芯片级防火墙专有的ASIC芯片，促使它们比其他种类的防火墙速度更快，处理能力更强。专用硬件和软件强大的结合提供了线速处理深层次信息包检查、坚固的加密、复杂内容和行为扫描功能的优化。不会在网络流量的处理上出现瓶颈。
防毒对于一个企业来说也是必不可少的。芯片级防火墙的后起之秀Fortinet就可以在网关处结合FortiContent技术为各种网络数据交易和企业网络进行高级别的病毒安全防护,保护内部网络的安全。大部分防火墙都可以与防病毒软件搭配实现扫毒功能，而扫毒功能通常是由其他的server来实现处理的。如此互动，与在防火墙在进行流量处理的同时就完成的扫毒功能相比自然是差了许多。
在小型且不需要其他特殊功能的网络来说，硬件防火墙无非是比较好的选择。由于不需要扩展功能，或者扩展功能用的比较少，另行购买的模块就少，在价格上和使用方面就比芯片级要合算。
在了解了防火的种类以及它们各自的优缺点之后，在具体进行选购时，还应该就每台防火墙的各项参数指示进行对比，从众多的型号中选出真正适合自己企业的防火墙，这将是我们下一部分所要讲述的内容。
防火墙选型中的关键――参数详解
在防火墙的选型中离不开那些参数，而搞懂那些参数意味着选购者能买到一款称心如意的防火墙。
并发会话数
并发会话连接数指的是防火墙或代理服务器对其业务信息流的处理能力，是防火墙能够同时处理的点对点会话连接的最大数目，它反映防火墙对多个连接的访问控制能力和连接状态跟踪能力。这个参数的大小可以直接影响到防火墙所能支持的最大信息点数。
大多数人也许不明白，普通会话数会有几千到几十万不等，那么是不是内网中的机器数量跟会话数有直接联系呢？想到这里，其实答案马上就能出来了。举例说明，一个并发会话数代表一台机器打开的一个窗口或者一个页面。那么内网中一台机器同时开很多页面，并且聊天工具或者网络游戏同时进行着，那么这一台机器占用的会话数就会有几十到几百不等。内网中同时在线的机器数量越多，需要的会话数就越多。所以，根据防火墙的型号不同，型号越大，并发会话数就会越多。
在一些防火墙中还有另外一个概念，那就是每秒新建会话数。假设在第一时间，已经占用了防火墙的全部会话数，在下一秒，就要等待防火墙处理完之前不需要的会话数才能让需要的人继续使用剩余的会话数。那么这个每秒新增会话数就很重要了。如果每秒新增会话数不够的话，剩下的人就要等待有新的会话数出来。那么就会体现为上网速度很慢。了解了这一情况，选购者就不会承担这个防火墙导致网速变慢的黑锅了。
性能
防火墙的性能对于一个防火墙来说是至关重要的，它决定了每秒钟可能通过防火墙的最大数据流量，以bps为
单位。从几十兆到几百兆不等，千兆防火墙还会达到几个G的性能。关于性能的比较，参看防火墙的彩页介绍就可以比较的出来，比较明了。
工作模式
目前市面上的防火墙都会具备三种不同的工作模式，路由模式、NAT模式还有透明模式。
透明模式时，防火墙过滤通过防火墙的封包，而不会修改数据包包头中的任何源或目的地信息。所有接口运行起来都像是同一网络中的一部分。此时防火墙的作用更像是Layer 2(第2层)交换机或桥接器。在透明模式下，接口的IP地址被设置为0.0.0.0，防火墙对于用户来说是可视或”透明”的。
处于”网络地址转换(NAT)”模式下时，防火墙的作用与Layer 3(第3层)交换机(或路由器)相似，将绑定到外网区段的IP封包包头中的两个组件进行转换：其源IP地址和源端口号。防火墙用目的地区段接口的IP地址替换发送封包的主机的源IP地址。另外，它用另一个防火墙生成的任意端口号替换源端口号。
路由模式时，防火墙在不同区段间转发信息流时不执行NAT；即，当信息流穿过防火墙时，IP封包包头中的源地址和端口号保持不变。与NAT不同，不需要为了允许入站会话到达主机而建立路由模式接口的映射和虚拟IP地址。与透明模式不同，内网区段中的接口和外网区段中的接口在不同的子网中。
管理界面
管理一个防火墙的方法一般来说是两种：图形化界面(GUI)和命令行界面(CLI)。
图形界面最常见的方式是通过web方式(包括http和https)和java等程序编写的界面进行远程管理；命令行界面一般是通过console口或者telnet/ssh进行远程管理。
接口
防火墙的接口也分为以太网口(10M)、快速以太网口(10/100M)、千兆以太网口(光纤接口)三种类型。防火墙一般都预先设有具有内网口、外网口和DMZ区接口和默认规则，有的防火墙也预留了其它接口用于用户自定义其它的独立保护区域。防火墙上的RS232 Console口主要用于初始化防火墙时的进行基本的配置或用于系统维护。另外有的防火墙还有可能提供PCMCIA插槽、IDS镜像口、高可用性接口(HA)等，这些是根据防火墙的功能来决定的。
策略设置
防火墙提供具有单个进入和退出点的网络边界。由于所有信息流都必须通过此点，因此可以筛选并引导所有通过执行策略组列表(区段间策略、内部区段策略和全局策略)产生的信息流。
策略能允许、拒绝、加密、认证、排定优先次序、调度以及监控尝试从一个安全区段流到另一个安全区段的信息流。可以决定哪些用户和信息能进入和离开，以及它们进入和离开的时间和地点。
简单的说，防火墙应该具有灵活的策略设置，针对源和目的IP地址、网络服务以及时间几个方面实施不同的安全策略。
内容过滤
面对当前互联网上的各种有害信息，有的防火墙还增加了URL阻断、关键词检查、Java Apple、ActiveX和恶意脚本过滤等。
入侵检测
黑客普通攻击的实时检测。实时防护来自IP Source Routing、IP Spoofing、SYN flood、ICMP flood、UDP flood、Address sweep、Tear drop attack、Winnuke attack、Port Scan Attack、Ping of Death、Land attack、拒绝服务和许多其他的攻击。并且在检测到有攻击行为时能通过电子邮件或其它方式通知系统管理员。
用户认证
完善的用户认证机制，可以指定内部用户必须经过认证，方可访问不可信网络。防火墙可以限定只有授权用户可以通过防火墙进行一些有限制的活动，可以使用内建用户数据库、外部Raduis数据库或IP/MAC绑定等多数认证方式。
对于内部网络的安全又多了一层保障。
虚拟专用网VPN
在网络之间或网络与客户端之间进行安全通讯。可以支持的最大VPN数目，支持的加密方式(手工密钥、IKE、PKI、DES、3DES和AES加密等)，是否支持完全的正反向加密，是否有冗余的VPN网关。
一般异地办公的网络都会注意这点。尤其是加密方式。不过硬的加密方式会导致黑客窃取机密文件等。所以加密的方式越高级越好。
日志/监控
防火墙对受到的攻击和通过防火墙的请求应具有完备的日志功能，包括安全日志、时间日志和传输日志。最好可以通过同步分析软件同步到指定主机上，实现对日志的详尽审计。
高可用性
提高可*性和负载分配。HA端口：专用于两点间通讯连接。分两种工作方式：一是两台防火墙同时工作，共同负担网络流量，在其中一台防火墙中断的同时，另外一台自动接管所有任务，保证不会发生网络中断；另外一种是在同一时间只使用其中一台防火墙，当其不能正常工作时，另外一台防火墙立刻接管当前的防火墙，不会造成网络中断。
写在最后
掌握了文章中提到的这些关键性要素对于选购防火墙的标准相信就可以有一个明确的概念了，也希望能通过本文帮助您选购到称心的防火墙产品！
世界三大酷刑
有一青人外出旅行，深夜里来到一户人家要求食宿，开门的老先生说：「可以，但是你不能对我女儿不轨，否则就以世界三大酷刑伺候！」
年青人想想自己又饿又累，哪能乱来啊所以就答应他了。进门後，吃晚餐时看到他女儿。哇~惊为天人。
饭後，两个人聊起天来，越聊越开心，就就就…。
隔天早上，年青人一醒来，发现有块巨大石头压在胸口上，上面还有一张纸条写著：「第一大酷刑：巨石压身」。年青人不屑地把石头扔出窗外，石头破窗而出，年青人起身一看，窗边又有张字条。写著：「第二大酷刑：你右边的蛋蛋绑在石头上」。年青人一想不对，赶紧跟著往窗外跳下去！然後，又从窗外的墙壁上看到第三张字条。「第三大酷刑：你左边的蛋蛋跟床脚绑在一起」
最好脱的内裤
用Sniffer和ARP分析网络问题
电信网络内部一套112测试系统，涉及到一系列服务器和测试头（具有TCP/IP三层功能的终端），原有的拓扑在电信内网（DCN）中。由于测试范围的扩大，有些机房没有内网接入点，变通的方案是在城域网上建立一个VPN，将那些没有DCN接入点的测试头设备接在此VPN上，然后此VPN通过一个防火墙（PIX）与DCN做接口。可以将这些测试头看作一些提供测试服务的服务器，使用NAT静态转换将这些测试头映射为DCN内网网段上的IP地址，内网的一些客户端使用这些映射后的地址访问测试头。
方案实施后，用DCN内网设备访问有些测试头，时通时不通，对这些局点的112测试工作带来了极大的困扰。通过使用Sniffer抓包工具，结合对ARP协议的理解，逐步分析出了故障的真正原因，解决了问题。这个分析解决问题的思路本人自己觉得有归纳总结的必要，所以成文推荐给大家，共同学习。
故障现象说明
112系统的部分网络拓扑图如图1所示。
故障现象
1.DCN中的112CLIENT有时访问不到测试头A。112CLIENT ping 不通测试头A，网关F上也ping 不通测试头A。
2. F上始终有ARP记录：例如嘉兴某NPORT测试头A
Internet 10.0.2.70 118 0090.e809.b82f ARPA FastEthernet0/1
3. 如果F上clear arp，则112CLIENT再ping，可以ping通。
4. 如果不采取步骤3，用DCN内机器telnet 134.100.200.10（测试头B），再用B来ping 10.0.2.70(测试头A)，能ping通。再用112CLIENT ping A，能ping通。
5. 将测试头换下，换上同IP地址笔记本电脑，没有任何问题。
对问题的预先判断中，有两种倾向性猜测，如下：
◆ A：NPORT测试头的TCP/IP实现不规范。测试头是厂家应局方要求加工组装的，其TCP/IP协议簇的实现是建立在NPORT MOXA卡上的，主要是为了实现TCP/IP与SERIAL协议之间的转换。而这种实现的可靠性并没有100%的把握。如果是这个原因，需厂家解决。
◆ B：宽带交换机的设置不科学。交换机的ARP条目失效时间对其ARP对照表有很大影响，设的太短，很快就失效，包过来后就会不知道流向哪个端口，会被交换机丢弃。宽带交换机属于数据部门维护，一般情况下不会提供给我们口令，没有确实的判断，他们一般不愿意改交换机设置。
所以确实的定位问题的所在，是我们解决故障的先决条件。
查找故障源
在不能确定故障源的情况下，我们同时从以上两种倾向性猜测的角度出发，力图从两个方向做出解释，最后找出符合实际的故障点。
首先，改变拓扑结构如图2所示，网关接口之一连接一台共享带宽的HUB，HUB上的两个端口分别连接宽带部分和一台运行Sniffer的电脑。这样，Sniffer能“抓”到所有宽带与网关F之间的包。
针对现象一：IDSCLIENT ping不通测试头A
测试动作一：
1）网关F上有A的ARP记录。
112_edge#sh arp | include 10.0.2.70
Internet 10.0.2.70 3 0090.e809.b82f ARPA FastEthernet0/1
2）用内网的IDSCLIENT来ping A，结果ping不通。
用Sniffer抓包，从图3中可以清楚地看出，ICMP探测包从网关F准确地向目的A 10.0.2.70（09B82F）发送,但A没有回响应包。所以结果为ping不通。
基于两种猜测，故障的原因可能解释有：
解释A：应该为A的ARP缓存中没有网关F的ARP记录，所以A找不到网关的MAC地址，而且它对这种“找不到网关的MAC地址”不作为（NPORT测试头对ARP的实现不完善）。
解释B：连接测试头A的宽带交换机中的MAC对端口的对应记录过期，在MAC地址表中目的MAC地址无对应端口，交换机丢掉此包。
针对现象二：将测试头换下，换上同IP地址笔记本电脑，没有任何问题。
测试动作二：
1）A的位置换上一台电脑hongjing（IP与A一致）,且让网关F有hongjing的ARP记录。
112_edge#sh arp | include 10.0.2.70
Internet 10.0.2.70 3 000b.dbe0.1de9 ARPA FastEthernet0/1
2）IDSCLIENT2(134.100.5.52) ping 10.0.2.70(HONGJING),能ping通。
基于两种猜测，故障的原因的解释有：
解释A：包从网关F中发过来，ICMP探测包准确的发送到目的A 10.0.2.70,hongjing同样由于本机ARP缓存中没有网关F的记录，不能立即发送ICMP回应包。但hongjing没有“不作为”，而是根据ICMP包的源IP地址跟自己的掩码判断此ICMP查询包发自广播域外，所以hongjing当机立断，向本广播域发起ARP查询，要查出网关10.0.0.1的MAC地址，查到后，将ICMP回应包发送到10.0.0.1,所以网络能通。
对比动作一，动作二的网络包分析，不难发现问题所在。相同的条件与情况下，产生“通”与“不通”的两种结果，关键在于测试头（A）与电脑（hongjing）对ICMP查询包的“态度”不一样所致。电脑hongjing的态度“积极”，当没有该包的传递者F的MAC地址时，会想方设法找到“回答”的路径，并“回答”。而测试头A的态度“消极”，收到询问包时，发现自己没有该包传递者F的MAC地址时，没有采取任何措施，保持“沉默”，所以没回答。
解释B：笔记本电脑hongjing一接上交换机后立刻发出广播包，通知局域网内其他机器，hongjing的MAC地址是多少。此时，交换机记下hongjing-MAC与端口的映射。所以包从网关F过来后，能到达测试头A。
针对现象三：“如果F上clear arp，则112CLIENT再ping ，可以ping通”
测试动作三：
登录网关F,执行clear arp命令，然后在内网中，用IDSCLIENT ping A，结果可以ping通。
基于两种猜测的原因解释：
解释A：本来由于测试头的“消极”，是不通的。但网关F上执行了clear arp命令后，网关F由于ARP地址影射清空，F不知网关的MAC，会向广播域发送ARP包，该包中包含了自己的MAC地址。根据RFC826，虽然广播域中的机器不会回应此包，但会将F的MAC地址记录到ARP缓存中，所以能使得本不通的112CLIENT pingA能ping通。
解释B：网关F上执行了clear arp命令后，网关F由于ARP地址映射清空，F不知网关的MAC，会向广播域发送ARP包，该包中包含了自己的MAC地址。测试头A上连的交换机会将F的MAC地址和相关端口绑定；A回应此ARP请求时，交换机又会将NPORT测试头A的MAC地址与相关端口绑定。所以后续的连接能通。
针对现象四：“用DCN内机器telnet 134.100.200.10（测试头B），再用B来ping 10.0.2.70(测试头A)，能ping通。再用112CLIENT ping A，能ping通。” 测试动作四：
用内网机器IDSCLIENT telnet 到134.100.5.66，然后从134.100.5.66上ping 测试头B，结果本来ping不通的，现在可以ping通了。
基于两种猜测的原因解释：
解释A：此现象用猜测A解释不了。
解释B：测试头B向测试头A ping时，先会发ARP广播，测试头B回应此ARP请求。这个过程中，A上连的交换机会将A<->相应端口，B<->相应端口的记录记在地址端口映射表。
所以F到A的包就能通了。
至此，可以排除猜测A。同时，由于同一批次的NPORT测试头在其他地区及内网用的比较正常，所以，倾向于猜测B。为进一步证实猜测B，进一步做了以下测试。
做动作一的时候，在交换机与A间抓包。看是否有源地址为F的物理地址，目的地址为A的物理地址的包从交换机端口出来，结果确实无包被监听到，所以，从理论上得出，猜测B是正确的。从理论上定位出正确的故障原因后，我们理直气壮的联系数据部门，请他们修改了部分交换机的ARP失效时间。经过一段时间的检验，系统运行良好，原有故障消失。
本次排障工作中，我们坚持理论指导实践，对每种可能的故障原因进行不偏不倚的分析，在客观公正不带主观臆想的前提下，对每种观点进行逐步考察，终于确定故障点，解决了问题。