随着WEB应用的普及,黑客利用WEB应用漏洞发动的攻击越来越多,造成了巨大的危害。WEB应用的安全问题已经成为网络应用的主要问题之一,目前的检测系统还不够完善,其存在一些问题如只能够探测已知漏洞、扫描不够全面、漏洞检测存在一定的盲目性。科学地、高效地、准确地测试评估WEB应用的安全性十分必要,是所有WEB应用系统所面临的重要课题。因此,对WEB应用安全测试评估技术展开全面的研究具有重要的理论意义和实用价值。本文在充分研究安全漏洞检测原理及关键技术的基础上,提出了一种基于数据采集的WEB应用安全测试评估模型。安全测试评估模型中的基于数据采集的WEB应用遍历模型能够自动、完整、全面地遍历WEB整个应用,同时提取到WEB应用协议数据,这些协议数据能够帮助理解整个WEB应用,同时有助于发现WEB应用的未知漏洞。基于数据采集的WEB应用安全测试模型有机地将白盒测试元素溶入到黑盒测试当中,能够较好地提高漏洞探查的针对性和准确性、提高测试评估的效能,能够较为行之有效地模拟黑客攻击。提出了一个全新的漏洞规则库优化机制——反馈机制,及其相应的反馈动态优化算法。通过反馈机制能够更好地优化漏洞规则库,使漏洞规则库更好地反映现实漏洞的变化规律;研究了OCTAVE风险评估方法,并应用于WEB应用系统安全的风险评估;最后详细地设计和实现了WEB应用安全测试评估原型系统,该系统能够扫描探测多种类型的WEB应用系统漏洞,特别是与具体WEB应用相关的漏洞;能够给出较为完整详细的WEB应用安全漏洞检测评估报告。