"Les firewalls applicatifs (situés entre le net et les serveurs web) sont configurés pour filtrer HTTP, sauf quand la requête provient d'un réseau "de confiance" (127.0.0.1, LAN, etc.).
Ils sont tellement cons qu'il suffit de prétendre faire partie des murs (avec un header du genre: X-forwarded-for, X-remote-IP, X-originating-IP...) pour que ces firewalls applicatifs vous laissent passer !"

DOC : http://h30499.www3.hp.com/t5/Fortify-Application-Security/Bypassing-web-application-firewalls-using-HTTP-headers/ba-p/6418366
(Permalink)