#!/usr/bin/env bash
# さくらインターネット レンタルサーバー向けログの確認スクリプト
# ホームフォルダで実行し ~/log/access_*.gz から「過去N日分」を対象に検索する
# N は第2引数で指定するか、未指定なら端末(/dev/tty)から対話入力する。
# gz ファイルをストリーム解凍して cat | grep "/batch/v1" を探す
#
# 実行例:
#   ./check-log-and-file-sakura.sh                         (対話入力)
#   ./check-log-and-file-sakura.sh /batch/v1 7             (引数で指定)
#   curl -s <URL> | bash                                   (対話入力: /dev/tty から読む)
#   curl -s <URL> | bash -s -- /batch/v1 7                 (引数で指定・非対話)

# set -u : 未定義の変数を参照した時点でエラー終了させる安全装置。
# タイプミスした変数が「空文字」として黙って処理されるのを防ぐ。
# 例えば $log_dir を打ち間違えると、"$HOME/log" のつもりが
# ルート近くを検索してしまう…といった事故を未然に止められる。
set -u

# 検索パターン（第1引数で上書き可。デフォルト /batch/v1）
# "${1:-/batch/v1}" は「第1引数があればそれを、無ければ /batch/v1 を使う」
# という bash のデフォルト値展開。wp2shell の攻撃起点である
# REST API のバッチエンドポイント /batch/v1 を既定値にしている。
# パーマリンク有効時の /wp-json/batch/v1 も、?rest_route=/batch/v1 も、
# どちらも「/batch/v1」という文字列を含むため、この1パターンで両方拾える。
pattern="${1:-/batch/v1}"

# 対象日数（第2引数で指定可。未指定なら端末から対話入力）
# ここではまだ空のまま受け取り、後段で「対話入力するか・エラーにするか」を分岐する。
days="${2:-}"

# ログディレクトリ
# さくらのレンタルサーバーでは、コントロールパネルでアクセスログの保存を
# 有効にすると、ホームディレクトリ直下の ~/log/ に gzip 圧縮された
# アクセスログ（access_*.gz）が保存される。
log_dir="$HOME/log"

# 日数が引数で渡されなければ端末(/dev/tty)から対話入力する。
#
# ここがこのスクリプトの一番のポイント。
# 「curl -s <URL> | bash」で実行した場合、bash の標準入力(stdin)には
# curl が取ってきた“スクリプト本体”が流れ込んでいる。
# そのため普通に read で stdin から読もうとすると、ユーザーの入力ではなく
# スクリプトの続きの行を「入力」として食べてしまい、対話できない。
#
# そこで stdin ではなく /dev/tty（= いま操作している端末そのもの）から
# 読むことで、パイプ実行でもプロンプトを表示して入力を受け取れる。
#
# /dev/tty から読むことで curl | bash でも stdin(=スクリプト本体)を消費せずに済む。
# [ -r /dev/tty ] は端末が無くても真になるため、実際に開けるかで判定する
# （2>/dev/null を先に置き、制御端末が無い場合の open エラーも抑止する）。
#
# 「: 2>/dev/null < /dev/tty」の「:」は何もしない組み込みコマンド。
# つまり「/dev/tty を実際に開いてみて、開けたら真」というテストとして
# 使っている。cron など端末の無い環境では開けないので偽になり、
# その場合は対話をあきらめてエラー終了する。
if [ -z "$days" ]; then
    if : 2>/dev/null < /dev/tty; then
        # read も同じく < /dev/tty で端末から直接読む。
        # -r はバックスラッシュをエスケープ扱いしない指定、
        # -p はプロンプト文字列の表示。未入力(Enterのみ)なら 7 日にする。
        read -r -p "過去何日分のログを対象にしますか？ (例: 7 / Enterで7) : " days < /dev/tty
        days="${days:-7}"
    else
        echo "エラー: 非対話実行では日数を第2引数で指定してください (例: ... | bash -s -- \"$pattern\" 7)" >&2
        exit 1
    fi
fi

# 入力チェック（正の整数のみ）
# case のパターン ''|*[!0-9]* は「空文字」または
# 「数字(0-9)以外の文字を1つでも含む」場合にマッチする。
# つまり "7" のような正の整数だけを通し、"abc" や "-1"、"7; rm -rf ~"
# のような値はここで弾く。$days は後で find のオプションに渡すため、
# 数字以外を混入させないことがそのまま安全性につながる。
case "$days" in
    ''|*[!0-9]*)
        echo "エラー: 日数は正の整数で入力してください: $days" >&2
        exit 1
        ;;
esac

# --- 対象ファイルの選択 -------------------------------------------------
# mtime が過去 N 日以内の access_*.gz を集める（新しい順は sort で整える）。
# find -mtime -N は FreeBSD / GNU 双方で使え、ファイル名の書式に依存しない。
#
# さくらのレンタルサーバーは FreeBSD ベースのため、GNU 拡張オプションに
# 頼らない書き方にしている。またログのファイル名（日付部分の書式）を
# パースするのではなく、ファイルの更新時刻(mtime)で絞ることで、
# 命名規則が変わっても動く作りにしている。
# ----------------------------------------------------------------------
files=()
# find の結果を1行ずつ配列 files に詰めていく。
# 「while read ... done < <(find ...)」はプロセス置換と呼ばれる書き方で、
# 「find ... | while read」とせずこの形にしているのは、パイプだと while が
# サブシェルで動いてしまい、ループを抜けた後に配列が空に戻ってしまうため。
# IFS= と read -r の組み合わせは、パスに空白等が含まれても崩れないための定石。
while IFS= read -r f; do
    files+=("$f")
done < <(find "$log_dir" -type f -name 'access_*.gz' -mtime -"$days" 2>/dev/null | sort)

# 対象が1件も無ければ、その旨を表示して終了する。
# ログ保存が無効・保存期間切れ・日数指定が短すぎる、などが考えられる。
if [ "${#files[@]}" -eq 0 ]; then
    echo "エラー: 過去 ${days} 日以内に $log_dir/access_*.gz が見つかりません" >&2
    exit 1
fi

# 何を・どの範囲で検索するのかを実行前に明示する。
# 「どのログファイルが対象になったか」が見えると、
# ログ保存期間が足りているかの確認にもなる。
echo "対象期間     : 過去 ${days} 日"
echo "対象ファイル : ${#files[@]} 件"
printf '  %s\n' "${files[@]}"
echo "検索パターン : $pattern"
echo --------------------------------------------------

# gz をストリーム解凍（ディスクに展開しない）して grep（解凍は1回のみ）
#
# gzip -dc は「-d: 解凍」「-c: 標準出力へ」の組み合わせで、
# 展開結果をファイルに書き出さずそのまま grep へパイプで流す。
# レンタルサーバーのディスク容量を消費せず、一時ファイルの
# 消し忘れも起きない。複数ファイルをまとめて渡せるので解凍は1回で済む。
#
# grep の「--」は「これ以降はオプションではなく検索パターン」という区切り。
# 検索パターンを自由に指定できる仕様のため、仮に「-e」などハイフン始まりの
# 文字列が渡されても、grep のオプションとして誤解釈されないようにしている。
#
# 末尾の「|| true」は、マッチ0件のとき grep が終了コード1を返す仕様への対処。
# ここでスクリプトが「失敗」扱いにならないよう握りつぶし、
# 0件かどうかの判定は次の if で行う。
matches=$(gzip -dc "${files[@]}" | grep -- "$pattern" || true)

# マッチした行があればそのまま表示し、行数を数える。
# echo ではなく printf '%s\n' を使うのは、ログの中身に
# 「-n」などechoがオプションと解釈しうる文字列や、環境差のある
# エスケープ処理が混ざっても、内容をそのまま安全に出力するため。
# wc -l の出力に付く余白は tr -d ' ' で取り除いている。
count=0
if [ -n "$matches" ]; then
    printf '%s\n' "$matches"
    count=$(printf '%s\n' "$matches" | wc -l | tr -d ' ')
fi

echo --------------------------------------------------
# マッチ件数 0 → 対象期間のログに /batch/v1 へのアクセスは記録されていない。
# 1件以上   → アクセスがあったということ。ただし「攻撃が成功した」ことを
#             意味するわけではない点に注意（スキャナ等の探索アクセスも多い）。
echo "マッチ件数 : $count"