喻 潇，王 捷，刘 畅

（国网湖北省电力公司电力科学研究院，湖北 武汉 430077）

基于可视化的Web漏洞分析

喻 潇，王 捷，刘 畅

（国网湖北省电力公司电力科学研究院，湖北 武汉 430077）

从基于可视化的角度详细分析Web漏洞，通过逻辑匹配、构造参数请求、执行结果、对比、报文交互记录等分析方法，再辅以可导出的场景文件，使得信息安全人员能够更及时、准确地掌握漏洞，从而提高信息安全人员解决Web漏洞的效率。

可视化；Web漏洞；信息安全

0 前言

随着Web安全问题的日益严重，为提前发现潜在的信息安全隐患[1]，及时开展安全加固，保障Web应用的正常开展，一般来说，网络安全人员都会借助扫描工具来测试评估网站系统、业务应用等风险性，如何发现漏洞、识别漏洞以及定位漏洞存在于Web页面的具体位置，以及什么样的验证场景可以确定漏洞真实存在，是网络安全人员面对扫描结果时最棘手的问题。

1 现状分析

对于大部分Web安全人员而言，扫描工具输出的报告大都不易理解，大量漏洞存在于URL、弱点参数以及扫描器自身所构造的各种请求等问题，导致安全人员必须进行二次解读，无法第一时间识别漏洞风险分布，及时修复安全漏洞，Web应用安全得不到有效保障。同时，由于Web网站和应用环境的不同，加上安全漏洞的种类繁多，扫描工具必然也存在一定的误报率，为保证漏洞发现的准确性，增强扫描报告内容的高可信度，扫描工具必须清晰表明：漏洞是如何被发现的、具体详情如何、什么样的场景存在该漏洞以及如何重现漏洞发现场景进行二次验证等情况。……