随着Web站点日益增多,各类Web应用漏洞的数量也在不断增长。攻击者可通过Web应用漏洞窃取敏感信息,盗用用户账户甚至夺取管理员权限,严重威胁Web应用的安全。漏洞扫描技术是网络管理员通过扫描工具对网站进行模拟攻击的一种测试技术。应用漏洞扫描技术,可以发现网站中存在的缺陷并及时进行修补,在一定程度上提高了网站的安全性。本文研究了Web安全测试中的关键技术,参照OWASP TOP 10,对常见Web应用漏洞的分类、成因以及危害进行了详细的分析。在此基础之上,实现了一个轻量级、多功能的Web应用漏洞扫描器。论文主要成果如下:1.在对国内外常用漏洞扫描技术进行分析和研究的基础上,设计了Web应用漏洞扫描器的整体架构。扫描器架构主要分为两部分:主体模块和扫描插件模块。主体模块用于渗透技术中信息收集的工作,主要功能有CDN检测、端口扫描、应用指纹识别和网站目录爬取;扫描插件模块用于对不同Web漏洞进行检测,主要包括SQL注入漏洞检测、跨站脚本攻击检测、Webshell密码爆破、备份文件扫描和邮箱地址扫描等功能。2.对照Web应用漏洞扫描器的架构设计,实现了各个模块的功能。论文详细描述了各模块的实现方法,并参照渗透测试技术中的检测方法,给出关键算法。Web应用漏洞扫描器使用跨平台语言Python开发,可在多种操作系统上的运行,提高了扫描器的可移植性。3.对Web应用漏洞扫描器的漏洞扫描功能进行了评测。首先,使用国产漏洞靶场Webug3.0中存在漏洞的网站当作目标网站,对Web应用漏洞扫描器各个功能的有效性进行了验证;其次,在实际项目应用中,对上海市黄浦区某学校网站进行漏洞扫描,本扫描器共扫描出SQL注入漏洞4处、跨站脚本攻击12处,邮箱地址泄露3处,说明本扫描器具有一定的实用价值。综上所述,本文设计的Web应用漏洞扫描器可以为测试人员的渗透测试工作提供帮助,以较小的成本快速寻找网站中的漏洞,为网站的安全性带来保障。