随着Internet的普及和发展以及Web应用技术的发展和研究的深入,已经有越来越多的Web应用系统被部署在Internet上以提供各式各样的应用服务,由于Web应用提供的服务的开放性使其时刻面临着潜在的恶意攻击者的威胁；而从另一个方面来说由于Web应用设计者的经验或者其他因素,使得Web应用系统对信息的保密和系统的安全考虑不太完备,或者存在一定的设计缺陷、编码缺陷、或者在维护中出现配置缺陷,这些情况造成了造成现在Web应用面临的攻击与破坏事件层出不穷。由于其地位的重要性以及面临安全威胁的严峻性,Web安全问题已引起人们的极大重视,但是传统的安全保证技术,如防火墙,IDS,IPS只能在面对攻击时可能起到效果,而在平常的使用过程中无法确认其安全状态,而且Web应用程序以及运行Web应用程序的服务器也都存在平常使用中无法检查其安全防护功能的问题。在这样的背景下,进行Web应用进行安全评测就有很强的现实意义。为了解决这些问题,本文以Web应用安全评测为研究目的,研究了国内外已有的通用的以及专门针对Web应用的信息安全评估、安全测评标准以及技术,借鉴现有的检测框架,提出了一个通用的Web应用安全评估通用框架；并且结合对Web应用所面临的安全威胁,将针对Web应用的安全评测分为三个层次：Web应用程序层,Web应用服务层,以及底层的网络边界层。分别针对这三个层面的内容进行Web安全测评的研究,并在最后提出一个Web应用安全测评管理平台,将这些研究内容按照前面提出的检测框架整合在此平台中,以实现对Web应用的安全测评工作。本文主要工作和研究成果如下所示：1.在网络边界层,研究了Web应用拓扑结构安全评测的相关技术,使用邻接矩阵来描述拓扑结构,使用二叉决策图来描述可能存在的约束问题,将拓扑结构安全评测问题分解为不包含逻辑约束的拓扑安全评测、包含逻辑约束的拓扑安全评测两种大的类型,并在解决前一个问题的基础上,研究对约束进行化简,并依照约束将其反映至邻接矩阵中从而解决解决Web应用拓扑结构安全评测的问题。以此来作为对Web应用安全评测中网络边界安全评估中的重要内容。2.在Web应用程序层面上研究了Web应用黑盒测试相关技术,实现了一套通过状态机对Web程序进行记录建模并根据实际标准的要求具体化功能和安全需求,然后通过远程的黑盒测试对Web应用进行测试并获取具体的检测结果的检验方法,同时在这个方法中引入了一个自学习的输入处算法来发现更多的状态和安全问题。3.在Web应用服务层面研究了Web应用服务配置的安全评测技术,通过Web应用服务的配置以及对应的配置检查项的描述方法进行研究,并在这些研究定义的基础上将Web应用服务配置分为命令行接口型的配置以及文本型的配置两种类型,分别针对这两种类型的配置形式提出了对其进行配置安全性评测的方法,并研究了在此基础上的具有通用性的结果评估方法。4.在对三个层面的技术进行研究之后,提出了一个Web应用安全评测管理平台的结构和具体的模块设计,这个评测管理平台基于Web应用安全评估通用框架、实现了Web应用安全评测的整体流程,并在最大程度上实现了评测的自动化操作。