Web应用漏洞扫描系统的设计与实现.docxVIP

I Web应用漏洞扫描系统的设计与实现 摘 要 近年来，计算机技术得到了飞速的发展，网络几乎已经成为了人 们生活的一部分，这使网络安全变得愈加重要。在参与上海市某企业 的黄浦教育网站安全测评项目中，作者发现目前已有的一些 Web 应 用漏洞扫描工具并不能满足企业的实际需求。企业在实际业务场景中 通常需要 Web 应用漏洞扫描工具在保证一定的扫描准确率的情况下 具备尽可能高的扫描效率，从而提高工作效率，节约企业成本。 本文针对目前Web 应用漏洞扫描工具存在的一些问题，包括扫描 效率不高、工具耦合度高和部分工具不支持解析 JS 等，并结合企业 实际需求，提出了一种新的 Web 应用漏洞扫描系统设计方案。该方 案的设计目标是在保证一定的扫描准确率的情况下，尽可能的提高系 统的扫描效率。 系统整体采用B/S 架构，前端负责接收用户输入和展示扫描情况， 后端负责爬虫和检测。系统利用消息中间件RabbitMQ 解耦爬虫模块 与检测模块，爬虫模块和检测模块均采用集群的方式设计实现，充分 利用集群的计算能力来提高系统整体的扫描效率。最后，本文通过实 验表明该系统架构能够有效的缩短扫描时间，满足企业的实际需求。 本文主要进行以下几方面的工作：1.对SQL 注入漏洞和XSS 跨站 脚本漏洞的产生原因、漏洞特点和检测方法作了深入的研究；2.研究 了当前已有的一些 Web 应用漏洞扫描工具，分析了这些工