Web應用防火墻通常會被部署在Web客戶端與Web服務器之間，以過濾來自服務器的惡意流量。而作為一名滲透測試人員，想要更好的突破目標系統，就必須要了解目標系統的WAF規則。如今，許多WAF都是基于簽名的。下圖簡單描繪了一個Web應用防火墻的工作流程：

什么是基于簽名的防火墻？

在基于簽名的防火墻中你可以自定義簽名，如果你知道某種網絡攻擊遵循某種類型的模式或簽名。那么你就可以定義匹配模式過濾掉它們，例如：

Payload:-

上面定義的是一種常見的XSS payload，我們知道所有這類攻擊都可能包含- >“