Логи форума ругаются на что-то типа SQL инъекции - что проверить?

Зашёл сегодня в логи форума, там какие-то подозрительные строки вылезли, похоже на попытки SQL-инъекций по паттернам запросов. Форум на обычной CMS, версия не самая свежая, настройки защиты особо не трогал. Думаю, сначала фильтрацию входных данных пересмотреть - по идее там должна быть нормальная защита, но срабатывает не всегда. Вопрос, стоит ли копаться в самом движке, если правила есть, но толком не помогают? Ещё стоит глянуть конфиг веб-сервера, например mod_security если Apache или что-то аналогичное для nginx. Кто-то сталкивался? Помогает базовый WAF или лучше сразу всучить что-то посерьёзнее?

У меня был похожий случай, когда форум тоже начал жаловаться на странные запросы - это был старый phpBB, где пара плагинов втянула в уязвимости. Пробовал сначала банальные вещи: проверить все input-поля, особенно поиск и комментарии, руками отправлял "опасные" нагрузки, чтобы понять, как ведёт себя движок, и наткнулся на отсутствие нормального экранирования в паре ключевых функций. Пытался поставить mod_security с самым базовым профилем - сработал, но постоянные ложные срабатывания раздражали, а ещё пара обманок обходилась легко. После этого начал юзать OWASP CRS, но там требовалось донастроить правила под конкретный движок, потому что из коробки много мусора и регулярных блоков легитимного трафика.

Потом копался уже глубже, посмотрел логи ошибок базы, поспрашивал у хостинга, бегал по командам типа mysql -explain, чтобы понять, какие запросы вызывают подозрение. Выяснилось, что часть плохих запросов - просто сканеры, которые пытаются найти дырки в старых версиях модулей, а реально уязвимостей с эксплоитом в живой базе почти не было - фильтрация сработала частично, просто фильтры не видели всего. Тут помогло кастомное написание функций фильтрации входящих данных и ужесточении запросов на уровне приложения, а не только на стороне веб-сервера. Пришлось поиграться с подготовленными выражениями и отказаться от прямой конкатенации, что немного напрягает из-за старого кода, но иначе никак.