Log de acesso web
Uma linha por requisição ao site, com endereço, caminho pedido, código de resposta e tamanho.
Todo servidor web guarda um log de acesso, uma linha por requisição. Um formato comum é assim:
198.51.100.23 - - [18/Oct/2026:14:31:44 -0300] "GET /backup/clientes.sql HTTP/1.1" 200 8734521 "-" "python-requests/2.31"
Os campos que importam: o endereço que fez o pedido (no começo), o caminho pedido (dentro das aspas, depois de GET), o código de resposta e o tamanho em bytes da resposta (os dois números depois das aspas). Vale conhecer os códigos: 200 é sucesso, 404 é não encontrado, 500 é erro do servidor.
Dois sinais aparecem muito em ataque. Primeiro, caracteres estranhos na parte depois de ? (a query string), como aspas e símbolos fora do comum, às vezes escritos como %27 ou %20: é alguém testando entradas que o site não espera. Segundo, uma resposta 500 seguida de 200 no mesmo recurso: o servidor errou com a entrada torta e depois respondeu, sinal de que a sonda encontrou um jeito que funciona. O tamanho também conta: uma resposta muito maior que todas as outras pode ser um arquivo inteiro saindo.