多少做安全很多年的人提到安全的时候都是说不要这样不要那样，包括SDL等都是告诉说要想安全编程不能使用什么函数什么函数，其实从逻辑思维角度去理解，就很容易知道这些解决方案没有解决实质问题，到底达到什么标准是安全的？这些只是罗列了一堆不安全因素，只能是减少了一些安全漏洞，当然这些列得越多，漏洞数量是大量减少了，但从严密的数学思维角度来说，是没有解决问题的。所以我说SDL没有本质上的提高安全，不是说一点用没有，而是高手一样可以找到很多漏洞。其实从我的个人角度来说，根本不该说这些，意识到这些的人越少越好。

       本人很早就基于对安全的理解总结了套理论（归结起来其实很简单)，当然限于目前还是本人的饭碗，不能轻易透露。用这套理论，很好找漏洞。其中很多漏洞用SDL理论根本没办法找出来。比如iis上仍然存在的一个UNICODE漏洞，用SDL去理解根本没有漏洞，常规的代码检查也是查不出来的，但用我的理论就很显然的能找到这个漏洞。

       本人基于这些理解，很长一段时间windows通杀、网络里面自由通行。多年前使用的0day有unicode、decode、cgi、webdav、asp、smbreplay、msg、upnp、ras、dns、wins等等。dcom公布之前就有通杀的msg漏洞。