| 状态码分布 | 第 9 列为状态码（默认 combined 格式） |
|---|---|
| 高频来源 | 首列 IP 排序计数 |
| 高频路径 | 结合 $7 请求行统计 |
| UA 特征 | sqlmap、masscan、Go-http-client 等 |
状态码与来源聚合
状态码与来源聚合
awk '{print $9}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head
awk '$9 == 404 {print $7}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -n 20404 多不一定是攻击（改版、外链失效也会有）；结合单 IP 的 404 集中度与请求节奏再定性。