王建东

（中国银联股份有限公司 上海市 201201）

Web应用程序是一种利用网络浏览器和网络技术在互联网上执行任务的计算机程序。各行各业的Web应用立足于发达的网络提供服务，实现系统互联。Web应用自身的Web技术特性以及天然的互联网可访问性，导致Web应用程序攻击面较大。而随着开源技术快速形成生态，企业用户引入开源技术已成大势所趋，Web应用中大量使用开源软件提升开发效率。不能忽略的是，使用开源软件可能会引入与应用系统业务无关的通用漏洞风险，应急人员一般对开源软件缺乏深入的理解，这为风险应急带来挑战。

1 问题背景

从Web应用角度看，与桌面应用相比，Web应用漏洞一旦公布，即面临漏洞被利用的现实风险，因为Web应用通常发布在互联网上，直接暴露于攻击者的面前。并且，Web应用使用大量的开源软件，大到Struts2、Spring等流行Web框架，小到XStream、jackson-databind等知名数据解析工具，各类开源软件都可能引入与系统无关的通用漏洞，导致风险应急工作繁重复杂。

从开源软件角度看，开源软件漏洞的披露与商业软件大不相同。商业软件通常在漏洞修复后由相关厂商点对点通知客户进行打补丁，这具有强烈的非公开性；或者定期在服务网站上发布补丁，这具有稳定的可预期性。而开源软件这两个特性均不具备。开源软件漏洞一般由其作者在项目网站或页面发布，对所有人包括攻击者是公开可见的，而且不可预期，随时都可能出现漏洞风险提示，对风险应急工作的实效性要求很高。……