web安全综合评估工具包含哪些通用核心模块

web安全综合评估工具包含以下这些通用核心模块：

• 搜集与分析信息模块：首先尽可能多地收集有关目标应用程序的信息。使用搜索工具、扫描器或发送简单的HTTP请求等方法，这些方法都可能迫使应用程序通过回送错误消息、暴露版本信息等方式泄露信息。通过接收来自应用程序的响应来收集信息，这些信息可能会暴露配置或服务器管理中的漏洞。

• 核心引擎模块：保存程序的基本配置信息，如HTTP版本、代理服务器地址等。用户可以手工修改这些配置信息，也可以通过命令行参数来进行调整。程序的核心及入口功能是读取用户给定的配置信息，找到所有插件并依次执行每个插件，扫描目标Web站点。

• 规则库模块：扫描规则数据库是整个程序的“知识库”。不同的插件通过装入不同的规则数据库，向服务器发送不同的请求，然后把接收到的响应信息与该规则匹配。如果响应与规则能够匹配上，则该服务器存在与这条规则相关的安全漏洞，否则不存在相关漏洞。除此之外，用户还可以将自定义的规则插入现有的规则库或创建自己的规则库。

• 扫描插件模块：插件执行Web安全评测工具的主要任务，基本可以分为3类：核心插件，用于实现执行读取配置文件、解析数据库、设置代理服务器和扫描端口等核心功能；用于具体插件，用于实现不同的扫描功能、生成扫描日志等；插件配置及描述文件，用来指定扫描过程中插件的执行顺序。

• 底层通信模块：提供与HTTP服务器进行交互的绝大多数API并实现其功能，包括支持HTTP0.9/1.0/1.1协议、支持持久性连接、支持代理、支持SSL和支持NTLM认证等。

• 生成检测报告模块：扫描过后通过Web页面生成测试站点的安全风险评估报告，报告要明确地告知用户该测试站点在安全上与安全标准的符合性，而且还要围绕着站点所提供的功能，指出该站点存在的漏洞、威胁及相关风险，并提供相应的解决及改进方案。同时，也可以包含评估报告格式转换工具，将评估报告转换输出为常见的HTML格式或PDF格式等。