Web應(yīng)用安全評(píng)估方法研究.pdf

1、隨著互聯(lián)網(wǎng)技術(shù)的快速發(fā)展，Web應(yīng)用在社會(huì)生產(chǎn)生活中各個(gè)領(lǐng)域得以廣泛應(yīng)用，然而Web應(yīng)用程序面臨嚴(yán)重的安全威脅，因此如何高效地對(duì)Web應(yīng)用進(jìn)行安全漏洞檢測(cè)和安全風(fēng)險(xiǎn)評(píng)估顯得尤為重要。
　　Web應(yīng)用安全評(píng)估方法主要分為兩部分：應(yīng)用滲透測(cè)試對(duì)Web應(yīng)用進(jìn)行漏洞檢測(cè)，然后根據(jù)漏洞報(bào)告進(jìn)行安全評(píng)估。在滲透測(cè)試階段主要進(jìn)行信息收集和分析以及攻擊測(cè)試，首先，通過網(wǎng)絡(luò)爬蟲對(duì)目標(biāo)站點(diǎn)進(jìn)行爬取，獲取相關(guān)URL信息，同時(shí)收集目標(biāo)站點(diǎn)的內(nèi)容管理系統(tǒng)信

2、息以及服務(wù)器端口、操作系統(tǒng)信息；然后將這些信息與攻擊模式庫以及漏洞庫進(jìn)行匹配，構(gòu)造并生成相應(yīng)的攻擊腳本進(jìn)行攻擊測(cè)試；再根據(jù)服務(wù)器返回的狀態(tài)信息判定漏洞是否存在并生成漏洞報(bào)告。安全評(píng)估階段充分借鑒CVSS的思想，分別對(duì)單個(gè)漏洞和系統(tǒng)整體漏洞實(shí)施評(píng)估?？紤]到CVSS中基本指標(biāo)組定義的相關(guān)指標(biāo)較為籠統(tǒng)，對(duì)漏洞的描述不夠具體和細(xì)化，因此將其分為兩組，分別表示漏洞基本影響和漏洞利用概率，然后將每組指標(biāo)的取值進(jìn)行排列組合，得到細(xì)化的CVSS基本指標(biāo)