常见的WAF攻击类型

SQL注入、跨站脚本攻击、网页木马上传、命令/代码注入、文件包含、敏感文件访问、第三方应用漏洞攻击、CC攻击、恶意爬虫扫描、跨站请求伪造等攻击，保护Web服务安全稳定。

个人觉得：

waf攻击的防御具有事后性，除非一些已经成熟的攻击类型和防御办法可以通过预制规则的方式建立起来。
对web流量的防御，其实是对HTTP的请求内容做解析并处理，这里的处理是通过正则匹配的方式检查body，以及对http头部字段的各种检测。
WAF攻击产生的本质是HTTP协议的复杂，和设计的不健全，WAF防火墙存在的意义就是对HTTP协议的安全性补充，根据请求头和body对HTTP进行额外的硬性的补充。属于典型的设计阶段缺陷，在实现阶段使用额外的负荷去修补。

waf防火墙能防御的主要攻击类型如下：

SQL注入：因为没有对表单做细致的过滤和检查，导致用户输入的内容在数据库层面被拼装成非法的SQL语句，而导致漏洞的出现。举例: and 1 = 1； —
XSS 跨站脚本攻击（本来是CSS，但因为跟web css格式重名，改成了XSS）：跨站脚本攻击分两种，

反射型（攻击者给客户端发送恶意链接，待客户端正常访问服务器后，恶意代码将其访问信息发送到恶意网站）
存储型（攻击者向服务器存储具有恶意代码的内容、链接，正常用户点击之后访问恶意网站并提交自己的信息）。
DOM XSS，基于javascript 对DOM innerHTML 的修改能力在正常的html文件中嵌入对恶意网站的链接。

DDoS攻击，通过大量无效访问导致服务器瘫痪，通常是耗尽服务器计算资源或者带宽（通常是带宽， 比如TCP半连接）。
CC攻击：DDoS攻击的一种，目标是网页。也就是利用了服务器端对请求的计算密集型处理而耗干CPU的形式。
文件包含，敏感文件访问：通过遍历的方式获取文件目录结构。
恶意爬虫：模拟人的浏览器行为，通过发送HTTP请求来获取网页内容。