直接grep含/phpmyadmin/index.php的POST请求并筛选状态码200且高频IP，即可识别典型暴力破解痕迹，因失败登录常返回200而非401/403，需结合1分钟内50+次请求、错误提示文本及UA一致性等行为模式综合判断。
怎么看 access.log 里有没有 phpMyAdmin 暴力破解
直接 grep 含 /phpmyadmin/index.php 的 POST 请求，再筛出状态码为 200 且高频出现的 IP —— 这就是最典型的爆破痕迹。因为失败登录不返回 401/403，而是渲染错误页面并返回 200，所以不能靠响应码过滤，得看行为模式。
常见错误现象：
- 同一 IP 在 1 分钟内发了 50+ 次
POST /phpmyadmin/index.php - 日志中反复出现
"Wrong username or password"、"Access denied"等 HTML 片段（需 access.log 启用%{Content-Length}o或配合 error_log） - 大量请求 User-Agent 高度一致（如
python-requests/2.28.0），或为空、极简
Apache 和 Nginx 日志格式差异怎么影响分析
Apache 默认 access.log 通常含完整请求行和状态码，但不含响应体；Nginx 默认 access.log 同样不记录响应内容，且默认不记录 POST body —— 所以单靠标准 access.log 很难确认“是否失败”，只能靠频率 + URL + 状态码组合推测。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- Apache：用
SetEnvIfNoCase Request_URI "^/phpmyadmin/index\.php$" pma_login+CustomLog ... env=pma_login单独切出登录请求流 - Nginx：必须自定义
log_format，加入$request_body（仅限调试，生产禁用）或更稳妥地启用error_log记录 PHP 报错，例如匹配PHP message: Login failed for.*from <host></host> - 若无法改日志格式，就放弃“精准判断失败”，转而监控
POST /phpmyadmin/index.php的 200 响应频次，阈值设为 10 次/分钟/IP
用 fail2ban 实时封禁前必须验证的三件事
fail2ban 不会自动识别 phpMyAdmin 爆破，硬套 apache-auth 或 sshd filter 必然失效。要让它工作，得先确认：
-
failregex能真正匹配你的 access.log 行 —— 用fail2ban-regex /var/log/apache2/access.log /etc/fail2ban/filter.d/phpmyadmin-apache.conf测试，别跳过这步 - 日志路径在
jail.local里写对了：logpath = /var/log/apache2/access.log（Apache）或/var/log/nginx/access.log（Nginx），路径错一个字符就静默失效 -
<host></host>宏能准确定位 IP：如果日志开头是虚拟主机名（如example.com ::1 - ...），就得把failregex开头改成^\S+ <host> -</host>，否则永远抓不到 IP
为什么单纯看 404 请求反而容易漏掉真实攻击
攻击者扫目录时确实会触发大量 404（比如 /phpmyadmin/setup.php、/pma/），但这只是侦察阶段；真正爆破集中在 /phpmyadmin/index.php，且返回 200。如果你只监控 404，等于盯着敲门声，却忽略屋里正在撬锁的人。
更隐蔽的情况是：攻击者用代理池轮换 IP，单个 IP 请求量压到 5–8 次/分钟，刚好卡在多数阈值下方。这时候必须结合 User-Agent 指纹（如固定用 sqlmap 或某款爆破工具）、Referer 为空、请求头缺少 Accept-Language 等弱信号交叉判断 —— 日志分析从来不是单维度的事。
