Repérer le modèle

Une injection SQL laisse généralement des caractères spécifiques dans les logs de votre serveur web : ', --, ;, UNION SELECT.

Commande de détection :

grep -E "UNION|SELECT|--|'" /var/log/nginx/access.log.

Si vous voyez ces éléments dans vos logs provenant d'une seule IP, quelqu'un sonde votre base de données.