WAF作用在浏览器和应用程序之间,使他只能够看得见用户提交的相关信息,而用户提交信息往往只是数据库SQL语句的一个碎片,缺乏对于数据库SQL的全局认知,更加不用说SQL语句的上下文关系了。WAF只能做一些基于常规异常特征以及出现过的特征进行识别和过滤,使WAF的SQL注入攻击防御效果依赖于攻击者的水平和创意,只要攻击者具有一定的创意,WAF很难防御SQL注入攻击。 数据库防火墙作用在应用服务器和数据库服务器之间,看到的是经过了复杂的业务逻辑处理之后最后生成的完整SQL语句,也就是说是攻击者的最终表现形态。由于看到的是缺乏变化的最终形态,使数据库防火墙可以比较WAF采用更加积极的防御策略,比如黑