现在，运用进犯软件，进犯者不需要对网络协议有深化的了解，即可完结比如更换Web网站主页、盗取办理员暗码、损坏整个网站数据等进犯。而这些进犯过程中发作的网络层数据，和正常数据没有什么区别。

很多用户以为，在网络中不断布置防火墙、侵略检测体系(IDS)、人侵防护体系(IPS)等设备，能够进步网络的安全性。可是为何依据运用的进犯事情依然不断发作?其底子的原因在于传统的网络安全设备关于运用层的进犯防备，效果非常有限。现在大多防火墙都是作业在网络层，经过对网络层的数据过滤(依据TCP/IP报文头部的ACL)完结拜访操控的功用；经过状况防火墙确保内部网络不会被外部网络不合法接人。一切的处理都是在网络层，而运用层进犯的特征在网络层次上是无法检测出来的。IDS、IPS经过运用深包检测的技术查看网络数据中的运用层流量，与进犯特征库进行匹配，然后辨认出已知的网络进犯，到达对运用层进犯的防护。可是关于未知进犯和将来才会呈现的进犯，以及经过灵活编码和报文分割来完结的运用层进犯，DS和IPS不能有用防护。

常见的Web进犯分为两类:一是运用Web服务器的缝隙进行进犯，如CGI缓冲区溢出，目录遍历缝隙运用等进犯；二是运用网页本身的安全缝隙进行进犯，如SQL注人，跨站脚本进犯等。
常见的针对Web运用的进犯有:
仓库中的歹意指令。缓冲区溢出一进犯者 运用超出缓冲区巨细的恳求和结构的二进制代码让服务器履行谥出Cookie冒充一精心修正Cookie数据进行用户冒充。认证躲避一进犯者运用 不安全的证书和身份办理。
强制拜访一拜访 未授权的网页。不合法输人一在动态网页的输人中运用各种不合法数据， 获取服务器锹感數据。
躲藏变量幕改一一对网页中的躲藏变量进行修正，诈骗服务器程序拒绝服务进犯一结构很多的不合法恳求，使Web服务器不能呼应正常用户的拜访。
跨站脚本进犯一提交不合法脚本， 其他用户阅读时盗取用户账号等信息。SQL注人一结构 SQL代码让服务器履行，获取敏感数据。下面罗列简略的两个进犯手法进行阐明。SQL注入:
关于和后台数据库发作交互的网页，假如没有对用户输人数据的合法性进行全面的判别，就会使运用程序存在安全隐患。用户能够在提交正常数据的URL或者表单输人框中提交-段精心结构的数据库查询代码，使后台运用履行进犯者的SQL代码，进犯者依据程序回来的成果，取得某些他想知道的敏感数据，如办理员暗码，保密商业材料等。
跨站脚本进犯:
因为网页能够包含由服务器生成的、而且由客户机阅读器解释的文本和HTML标记。假如不可信的内容被引人到动态页面中，则无论是网站还是客户机都没有满足的信息辨认这种状况并采纳维护措施。进犯者假如知道某一网站 上的运用程序接纳跨站点脚 本的提交，他就能够在网上上提交能够完结进犯的脚本，如JavaScript. VBScript、 ActiveX、HTML或Flash等内容，普通用户一旦点击了网页上这些进犯者提交的脚本，那么就会在用户客户机上履行，完结从截获账户、更改用户设置、盗取和篡改Cookie到虚伪广告在内的种种进犯行为。
跟着进犯运用层发展，传统网络安全设备不能有用解决现在的安全要挟，网络中的运用布置面对的安全问题有必要经过一一种全新规划的安全防火墙-一运用防火墙来解决。运用防火墙经过履行运用会话内部的恳求来处理运用层。运用防火墙专门维护Web运用通信流和一切相关的运用资源免受运用Web协议发起的进犯。运用防火墙能够阻挠将运用行为用于歹意目的的阅读器和HTTP进犯。这些进犯包含运用特别字符或通配符修正数据的数据进犯，设法得到指令串或逻辑句子的逻辑内容进犯，以及以账户、文件或主机为主要方针的方针进犯。