撞库攻击典型特征是同一ip在60秒内对/login等路径发起≥10次请求，status多为401/403，args含重复弱口令键值对且ua常为python-requests或为空；sql注入则表现为长args、含%27等编码字符或sleep(等函数，伴随500或200但body_bytes_sent异常。
直接看 $args 和状态码组合，别等攻击成功再响应
撞库和SQL注入在Nginx日志里不会“打报告”，但它们的行为模式非常固定：撞库是高频、短路径、401/403集中爆发；SQL注入则偏爱长参数、含关键字、伴随500或200但响应体异常。单看IP或单看关键词都容易误判，必须把 $args、$status、$body_bytes_sent 三者串起来看。
撞库攻击的典型日志特征怎么抓
撞库不是乱试，是拿已知账号密码对目标登录接口批量爆破，所以日志里会暴露极强的规律性：
- 同一IP在60秒内对
/login、/auth、/wp-login.php等路径发起 ≥10 次请求，且$status大部分是401或403 -
$args里反复出现类似user=admin&pass=123456、username=test&password=qwerty这种结构化键值对，但值高度重复或来自常见弱口令列表 - User-Agent 频繁出现
python-requests、curl、sqlmap，或干脆为空/极简（如-） - 不带Referer或Referer为非本站域名，且
$request_uri中无session token、CSRF token等正常登录必带参数
SQL注入的可疑请求怎么快速筛出来
真正危险的SQL注入请求，往往藏在大量200响应里——它已经绕过WAF，正在试探数据库结构或盲注延时。关键不是找“union select”，而是找“不像业务请求”的组合：
- 用
awk '$7 ~ /%27|%22|%3B|%00|%2527/ {print $1, $4, $7, $9, $10}' /var/log/nginx/access.log找含编码单引号、分号、NULL字节的请求，再人工看上下文是否合理 - 查
sleep(、benchmark(、extractvalue(等函数调用：grep -i "sleep\|benchmark\|extractvalue" /var/log/nginx/access.log | awk '$9 == "500" || $9 == "200" && $10 > 10000'（$10是$body_bytes_sent，>10KB可能是报错回显） - 匹配
union select时注意空格变形：grep -iE "(union[[:space:]+%20+|+|%2b]+select|select[[:space:]+%20+|+|%2b]+from)" /var/log/nginx/access.log - 警惕超长
$args：awk 'length($7) > 300 {print $1, length($7), substr($7,1,100)}' /var/log/nginx/access.log—— 正常登录参数极少超过200字符
为什么不能只靠 grep 关键词就封 IP
误杀成本远高于漏判。真实业务里，select 可能出现在产品名（如 ?category=select-brand），union 可能是URL里的城市名（/city/union-city）。单纯匹配字符串会把大量合法请求干掉。
真正有效的判断要叠加三重信号：
- 该IP是否同时触发撞库（高频401）和SQL注入（含
%27+sleep(）两类行为 - 请求中
$args的编码深度：比如%2527（%27的二次编码）比单纯%27更可疑 - 同一IP在1分钟内既有
POST /login（撞库），又有GET /api/user?id=1%27%20and%20sleep(5)%3B--（盲注），基本可判定为复合攻击
复杂点在于：撞库和SQL注入可能由不同工具发起，IP也未必相同。真正要盯住的，是那些在登录接口失败后，立刻转向用户查询接口并插入payload的请求链路——这才是人肉或半自动攻击的真实节奏。
