Apacheログから攻撃を見つけよ

grep -i で union や select を含む行を探しますが、通常のアクセスにも同じ語を含むものがあります。IP アドレスごとに分けて見ましょう

ステータスコードに注目します。403 で止められたスキャナーと、UNION SELECT が 200 で通った攻撃者を区別します

攻撃者の UNION SELECT の中の CHAR(...) は10進の文字コードの並びです。URL デコードしてから、1つずつ文字に戻します