質問者にログを出す気がないようなので、一般的な話をします。
自分のサイトにどのようなアクセスがあるのか、それが攻撃なのかどうかを判断するには、アクセスログを正しく見る知識が必要です。具体例を上げながら見てみましょう。
52.230.152.48 - - [15/Aug/2024:08:30:10 +0900] "GET /robots.txt HTTP/1.1" 404 196 "-" "Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; GPTBot/1.0; +https://openai.com/gptbot)"
これは私のサイトの生ログです。Apache HTTP Serverのデフォルトであるcombinedフォーマットになっており、通常は次のように定義されています。(Apache HTTP Serverのログフォーマットは細かくカスタマイズ可能なため、同じApache HTTP Serverでも下記とは異なる場合があります。)
LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined
ここを参考に各項目が何を意味するのかを書いてきます。
- %h アクセス元。サイトにアクセしてきたクライアントのホスト名になるが、逆引きが無効、または、逆引きが失敗した場合は、ホスト名では無くIPアドレスになる。
- %l identを使用したときのリモート名。通中はidentを使わないため、常に「-」になる。
- %u 認証をしたときユーザー名。BASIC認証などでApache HTTP Server上で認証したユーザーのみ表示できる。CGI/PHPが独自に認証したユーザーはApache HTTP Serverにはわからないため表示されない。
- %t アクセスした時の日時。
- %r HTTPプロトコルの最初の行。通常は"メソッド パスとクエリ HTTP/バージョン"になる。つまり、ここから、アクセスのメソッド(GET、POST等)、パスとクエリ(/パス?クエリ)、HTTPプロトコルのバージョンがわかる。
- %>s 返したステータス。内部でリダイレクトした場合は、最後のステータスになる。
- %b 返したバイト数。
- %{Referer}i リクエストのリファラー。
- %{User-Agent}i リクエストのユーザーエージェント。
これらから、先程ログを分析すると「"Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; GPTBot/1.0; +https://openai.com/gptbot)"のユーザーエージェントを名乗る52.230.152.48から2024年8月15日8時30分10秒(日本時間)にHTTP/1.1のプロトコルで/robots.txtへGETのリクエストが送られ、404のステータスと共に196バイト返した。」となります。
さて、これが攻撃なのか、対応が必要なのかを判断するのですが、その判断基準は「想定通りのレスポンスを返しているか?」です。今回のアクセスは/robots.txtに対するGETでした。このサイトにはrobots.txtを置いていないので、404 Not Foundを返すのが正しい動作の筈です。ログでは404のステータスコードを返していましたので、想定通りのレスポンスを返したと言えます。よって、特に何もする必要はありません。
これが、404以外だったらどうなるでしょうか?例えば500であれば、何か想定外のCGI/PHPが動作している可能性があります。存在しないはずなのに200を返すのもおかしいことです。サイトの設定によりますが、アクセスを想定していないパスへのアクセスというのは、コンテンツが存在しない(404)、アクセスそのものを許可していない(403)、トップなどに戻す(301や302)等になります。それら以外であれば、想定外の動作が起きた可能性があります。
それらのパスへのアクセスが200や500だったとき、どのような動作を起こすのか問うことは、サイト上に置かれたプログラムを解析するしかありません。開発環境で同じようアクセスをしてみて、デバッグするしか無いでしょう。解析の結果、任意実行や情報漏洩につながる可能性があれば、早急に対応が必要です。そういった危険性はない場合でも、想定外の動作なんで、いつかは修正すべきです。
なお、インターネットにサイトを公開している場合、特定のCGI/PHPでの既知の脆弱性を突いた攻撃は大量に来ます。それら一つ一つが自分のサイトを狙ったモノで、攻撃が成功しているか調べることは時間がかかりすぎるため、現実的ではありません。そのため、AIを用いたログ分析で、怪しいログだけ抽出し、警告してくれるという製品もあるようです。
以上になりますが、「『/if(now()=sysdate(),sleep(15),0)』からの攻撃」といわれても、具体的にログを見ないと、それがどういう意味を表すのかがわかりません。ましてや、それが想定した通りのレスポンスを返しているかどうかは、サイトを置いた本人以外はわかりません。よって、必要かどうかは何も分からないとしか言いようがありません。