这里补充一下过waf的知识
结合之前学习的过安全狗，看了许少的模拟面试的回答
1.内联注释 第一种类/*！ 第二种/*！加数字，如果大于（还是小于）mysql的版本号，这里注释的语句就还可以用
2.跑关键字字典，然后跑关键字组合
3.参数污染，假注释
文件上传：
1.前端校验的话可以直接通过burp改包，先上传他限定的格式，然后改包成我们想写的后缀
2.content-type，也是通过burp改包，content-type这种是根据我们上传的不同内容type类型会有所变化，但是同样可以在burp中修改成它规定的格式
黑名单检测：把不允许上传的后缀写在数组中进行匹配
绕过：
upload-labs中出现的方法
在后缀后面加. .（点空格点）
在后缀后面双写::$DATA
.htaceess文件攻击
.htaccess文件作为局部变量作用文件成功作用的两个条件
1.Allow Override All
2.LoadMoudule rewrite_module modules/mod_rewrite.so#rewrite模块为开启状态
如果不知道上面模块在哪个配置文件，可以用phpstorm打开phpstudy文件全局搜索（ctrl+shift+F）
?实现方法
新建一个.htaccess命名文件，再在文件添加
<FilesMatch "一个命名">
SetHandler application/x-httpd-php
</FilesMatch>
再在该路径下新建一个上面命名的.txt文本，里面加入php的代码即可解析成功
补充一个链接：?