为什么我们说传统防火墙阻止不了这类攻击呢?因为这类攻击伪装成正常流量，没有特别大的数据包，地址和内容也没有可疑的不相配，所以不会触发警报。最让人害怕的一个例子就是SQL指令植入式攻击(SQL injection)。在这种攻击中，黑客利用你自己的其中一张HTML表单，未经授权就查询数据库。另一种威胁就是命令执行。只要Web应用把命令发送到外壳程序，狡猾的黑客就可以在服务器上随意执行命令。另一些攻击比较简单。譬如说，HTML注释里面往往含有敏感信息，包括不谨慎的编程人员留下的登录信息。
WEB应用防火墙的出现就是为了专门解决这方面难题的，这种防火墙专门针对Web应用进行全面防护的设备，部署一个立体防护的层次，使其能自动智能化地对黑客的这些攻击手段进行判别和防护应用防火墙通过执行应用会话内部的请求来处理应用层，它专门保护Web应用通信流和所有相关的应用资源免受利用Web协议或应用程序漏洞发动的攻击。应用防火墙可以阻止将应用行为用于恶意目的的浏览器和HTTP攻击，一些强大的应用防火墙甚至能够模拟代理成为网站服务器接受应用交付，形象的来说相当于给原网站加上了一个安全的绝缘外壳。
应用防火墙实现的原理在于应用层访问控制列表，这不同于IPS和传统防火墙。整个应用层的访问控制列表所面对的对象是大家一般所熟知网站的地址，网站的参数，在整个网站互动过程中所提交一些内容，包括HTTP协议报文内容，由于对HTTP协议完全认知，通过这个协议分析就可知道它是恶意攻击还是非恶意攻击，IPS只是做部分的扫描，而应用防火墙会做完全深层次的扫描。
Gartner统计：目前75%攻击转移到应用层，当企业的网站不断遭到攻击，原有的防火墙已经不能满足企业对网络攻击的防御。因为应用层面非常广，比如说Web应用，邮件应用，中间件应用等，应用在不断增多，导致现在很多攻击在应用层。客户原有的防火墙，IPS不能进行全面的防御了。这就是博威特现在推出应用防火墙的初衷，即帮助客户完全挡住应用层的攻击。
文章来源于领测软件测试网 https://www.ltesting.net/
