随着互联网技术的快速发展,Web应用在社会生产生活中各个领域得以广泛应用,然而Web应用程序面临严重的安全威胁,因此如何高效地对Web应用进行安全漏洞检测和安全风险评估显得尤为重要。Web应用安全评估方法主要分为两部分:应用渗透测试对Web应用进行漏洞检测,然后根据漏洞报告进行安全评估。在渗透测试阶段主要进行信息收集和分析以及攻击测试,首先,通过网络爬虫对目标站点进行爬取,获取相关URL信息,同时收集目标站点的内容管理系统信息以及服务器端口、操作系统信息;然后将这些信息与攻击模式库以及漏洞库进行匹配,构造并生成相应的攻击脚本进行攻击测试;再根据服务器返回的状态信息判定漏洞是否存在并生成漏洞报告。安全评估阶段充分借鉴CVSS的思想,分别对单个漏洞和系统整体漏洞实施评估。考虑到CVSS中基本指标组定义的相关指标较为笼统,对漏洞的描述不够具体和细化,因此将其分为两组,分别表示漏洞基本影响和漏洞利用概率,然后将每组指标的取值进行排列组合,得到细化的CVSS基本指标值,以此进行单个漏洞评估。通过将系统中全部漏洞分成低危、中危、高危三种等级,赋予每种等级漏洞有不同的权重因子,进而得到系统的整体评估分值。实验结果表明,系统在检测漏洞方面具有漏报率低而且高效的优点,同时新的评估方法更加客观和全面。