用途：通过 WAF 日志检测 SQL 注入攻击活动，适用于安全事件调查、构建检测规则与威胁狩猎查询、SOC 分析师执行结构化分析流程，以及验证针对相关攻击技术的安全监控覆盖情况。
主要能力：解析 ModSecurity 审计日志与 JSON 格式 WAF 事件日志；用 15 种以上正则模式检测 SQLi 载荷；按 OWASP 注入类型分类（经典、盲注、基于时间、UNION 型）；通过 IP 聚类识别持续攻击者；关联多请求注入活动；根据响应码计算攻击成功概率。
使用方式：前置条件包括熟悉安全运营概念与工具、具备可安全执行的测试或实验环境、Python 3.8+ 及所需依赖、以及对任何测试活动的适当授权。先安装依赖：pip install requests。然后收集 WAF 日志（ModSecurity 审计日志、AWS WAF JSON 日志或 Cloudflare 防火墙事件），运行 agent 进行解析与分析：python scripts/agent.py --log-file /var/log/modsec_audit.log --format modsecurity --output sqli_report.json。
限制：相关资料未提供具体检测规则清单、价格、平台支持范围与效果保证，使用前需自行确认环境与授权要求。