当前，信息化系统在给人们日常工作和生活带来巨大便利的同时，其安全性也一直受到信息失泄密、黑客等挑战。定期为信息系统进行安全评估是保障信息系统正常运行的前提。国内针对信息系统安全评估的工作开展时间不长，安全评估研究仍不成熟，相关技术仍严重滞后于信息化建设。目前对信息系统安全评估的研究主要停留在采用手工问卷调查，配合漏洞扫描工具等方法，还没有一款针对信息系统安全评估实际需求的自动化评估工具。此外，为了提高办公效率，目前各单位都有门户网站，由于这些网站是自行研发实现的，其Web应用程序的安全性更加难以保证。现有的评估工具缺乏对单位网站，尤其是自建网站Web应用程序的安全评估。基于上述问题，本文以河南省科技攻关项目“基于Web的信息系统安全自评估平台”为依托，对平台研发所涉及到的信息系统安全评估的相关标准、方法和工具进行了讨论，对评估指标体系设计、基于插件技术的系统安全性扫描、Web网站安全评估模型等问题，特别是对Web应用程序安全中的SQL注入和XSS漏洞的动态检测问题进行了深入研究和实现。