#!/bin/bash
# ============================================================
#  🔐 해시 기반 파일 무결성 검증 (Integrity Baseline)
#  서버 배포 경로: /home/altablue/integrity_baseline.sh
#
#  WordPress 코어 파일 등의 SHA256 해시 베이스라인을 생성하고
#  주기적으로 비교하여 변조를 감지합니다.
#
#  사용법:
#    ./integrity_baseline.sh --init          # 베이스라인 최초 생성
#    ./integrity_baseline.sh --verify        # 베이스라인 대비 검증
#    ./integrity_baseline.sh --update        # 베이스라인 갱신
#    ./integrity_baseline.sh --status        # 현재 상태 확인
# ============================================================

set -uo pipefail

# ── 설정 로드 ─────────────────────────────────────
CONFIG_FILE="/etc/security-watchdog/config"
if [ ! -f "$CONFIG_FILE" ]; then
    echo "❌ 설정 파일을 찾을 수 없습니다: $CONFIG_FILE"
    exit 1
fi
source "$CONFIG_FILE"

# ── 경로 설정 ─────────────────────────────────────
SCRIPT_DIR="$(cd "$(dirname "$0")" && pwd)"
NOTIFY="$SCRIPT_DIR/telegram_notify.sh"
LOG_FILE="${LOG_DIR}/integrity.log"

mkdir -p "$LOG_DIR" "$BASELINE_DIR"

# ── 로그 함수 ─────────────────────────────────────
log() {
    echo "[$(date '+%Y-%m-%d %H:%M:%S')] $*" | tee -a "$LOG_FILE"
}

# ── 사이트 루트 디렉토리 자동 탐지 ───────────────
# nginx 설정에서 root 디렉토리 추출
get_site_roots() {
    local roots=()

    # 방법 1: nginx 설정 파일에서 root 추출
    if [ -d "/etc/nginx/sites-enabled" ]; then
        while IFS= read -r root; do
            root=$(echo "$root" | sed 's/;$//' | xargs)
            if [ -d "$root" ]; then
                roots+=("$root")
            fi
        done < <(grep -rh '^\s*root\s' /etc/nginx/sites-enabled/ 2>/dev/null | awk '{print $2}' | sort -u)
    fi

    # 방법 2: WATCH_DIRS 내 WordPress 사이트 자동 탐지
    if [ ${#roots[@]} -eq 0 ]; then
        for dir in "${WATCH_DIRS[@]}"; do
            if [ ! -d "$dir" ]; then
                continue
            fi
            while IFS= read -r wp_config; do
                roots+=("$(dirname "$wp_config")")
            done < <(find "$dir" -maxdepth 2 -name "wp-config.php" -type f 2>/dev/null)
        done
    fi

    printf '%s\n' "${roots[@]}" | sort -u
}

# ── 사이트별 베이스라인 파일 경로 ─────────────────
get_baseline_file() {
    local site_root="$1"
    local site_name
    site_name=$(echo "$site_root" | sed 's|/|_|g' | sed 's|^_||')
    echo "${BASELINE_DIR}/${site_name}.baseline"
}

# ── 파일 해시 생성 ────────────────────────────────
generate_hash() {
    local file="$1"
    if [ -f "$file" ] && [ -r "$file" ]; then
        sha256sum "$file" 2>/dev/null | cut -d' ' -f1
    fi
}

# ── 베이스라인 초기화 ─────────────────────────────
init_baseline() {
    log "🔐 베이스라인 초기화 시작"

    local site_count=0
    local file_count=0

    while IFS= read -r site_root; do
        if [ -z "$site_root" ]; then
            continue
        fi

        ((site_count++))
        local baseline_file
        baseline_file=$(get_baseline_file "$site_root")
        local site_name
        site_name=$(basename "$site_root")

        log "  📂 사이트: $site_name ($site_root)"

        # 베이스라인 파일 초기화
        cat > "$baseline_file" << EOF
# Integrity Baseline
# Site: $site_root
# Created: $(date '+%Y-%m-%d %H:%M:%S')
# Format: SHA256_HASH|FILE_PATH|FILE_SIZE|FILE_PERMS|MODIFIED_TIME
EOF

        # WordPress 코어 파일 해시
        for pattern in "${INTEGRITY_PATTERNS[@]}"; do
            while IFS= read -r -d '' file; do
                local hash size perms mtime
                hash=$(generate_hash "$file")
                size=$(stat -c%s "$file" 2>/dev/null || echo "0")
                perms=$(stat -c%a "$file" 2>/dev/null || echo "000")
                mtime=$(stat -c%Y "$file" 2>/dev/null || echo "0")

                if [ -n "$hash" ]; then
                    echo "${hash}|${file}|${size}|${perms}|${mtime}" >> "$baseline_file"
                    ((file_count++))
                fi
            done < <(find "$site_root" -path "*/$pattern" -type f -print0 2>/dev/null)
        done

        # 추가: 루트 디렉토리의 .php 파일
        while IFS= read -r -d '' file; do
            local hash size perms mtime
            hash=$(generate_hash "$file")
            size=$(stat -c%s "$file" 2>/dev/null || echo "0")
            perms=$(stat -c%a "$file" 2>/dev/null || echo "000")
            mtime=$(stat -c%Y "$file" 2>/dev/null || echo "0")

            if [ -n "$hash" ]; then
                echo "${hash}|${file}|${size}|${perms}|${mtime}" >> "$baseline_file"
                ((file_count++))
            fi
        done < <(find "$site_root" -maxdepth 1 -name "*.php" -type f -print0 2>/dev/null)

        # 추가: .htaccess 파일
        if [ -f "$site_root/.htaccess" ]; then
            local hash size perms mtime
            hash=$(generate_hash "$site_root/.htaccess")
            size=$(stat -c%s "$site_root/.htaccess" 2>/dev/null || echo "0")
            perms=$(stat -c%a "$site_root/.htaccess" 2>/dev/null || echo "000")
            mtime=$(stat -c%Y "$site_root/.htaccess" 2>/dev/null || echo "0")
            echo "${hash}|${site_root}/.htaccess|${size}|${perms}|${mtime}" >> "$baseline_file"
            ((file_count++))
        fi

        log "    ✅ 베이스라인 생성 완료: $(grep -c '|' "$baseline_file" 2>/dev/null)개 파일"

    done < <(get_site_roots)

    log "🔐 베이스라인 초기화 완료: ${site_count}개 사이트, ${file_count}개 파일"

    "$NOTIFY" "INFO" "🔐 <b>무결성 베이스라인 생성 완료</b>

📂 사이트: ${site_count}개
📄 파일: ${file_count}개
📁 저장 경로: ${BASELINE_DIR}"
}

# ── 무결성 검증 ───────────────────────────────────
verify_baseline() {
    log "🔍 무결성 검증 시작"

    local total_checked=0
    local modified_count=0
    local missing_count=0
    local new_count=0
    local modified_files=()
    local missing_files=()

    # 베이스라인 파일 순회
    for baseline_file in "${BASELINE_DIR}"/*.baseline; do
        if [ ! -f "$baseline_file" ]; then
            continue
        fi

        local site_root
        site_root=$(grep "^# Site:" "$baseline_file" | head -1 | sed 's/^# Site: //')

        if [ -z "$site_root" ] || [ ! -d "$site_root" ]; then
            log "  ⚠️ 사이트 디렉토리 없음: $site_root"
            continue
        fi

        local site_name
        site_name=$(basename "$site_root")

        # 베이스라인 엔트리 검증
        while IFS='|' read -r expected_hash filepath expected_size expected_perms expected_mtime; do
            # 주석 및 빈 줄 건너뛰기
            [[ "$expected_hash" =~ ^#.*$ ]] && continue
            [ -z "$expected_hash" ] && continue

            ((total_checked++))

            if [ ! -f "$filepath" ]; then
                # 파일 누락 (삭제됨)
                ((missing_count++))
                missing_files+=("$filepath")
                log "  ❌ 파일 누락: $filepath"
                continue
            fi

            # 현재 해시 계산
            local current_hash
            current_hash=$(generate_hash "$filepath")

            if [ "$current_hash" != "$expected_hash" ]; then
                # 해시 불일치 (변조됨)
                ((modified_count++))
                local current_size
                current_size=$(stat -c%s "$filepath" 2>/dev/null || echo "0")
                local current_perms
                current_perms=$(stat -c%a "$filepath" 2>/dev/null || echo "000")

                modified_files+=("$filepath (크기: ${expected_size}→${current_size}, 권한: ${expected_perms}→${current_perms})")
                log "  🔴 변조 감지: $filepath"
                log "      원본 해시: $expected_hash"
                log "      현재 해시: $current_hash"
            fi

        done < "$baseline_file"

        # 새로 생성된 파일 확인 (베이스라인에 없는 파일)
        while IFS= read -r -d '' file; do
            local in_baseline=false
            if grep -q "|${file}|" "$baseline_file" 2>/dev/null; then
                in_baseline=true
            fi

            if [ "$in_baseline" = "false" ]; then
                ((new_count++))
                log "  🆕 새 파일: $file"
            fi
        done < <(find "$site_root" -maxdepth 1 -name "*.php" -type f -print0 2>/dev/null)

    done

    log "🔍 검증 완료: ${total_checked}개 확인, ${modified_count}개 변조, ${missing_count}개 누락, ${new_count}개 신규"

    # 결과 알림
    if [ "$modified_count" -gt 0 ] || [ "$missing_count" -gt 0 ]; then
        local alert_level="WARNING"
        if [ "$modified_count" -gt 0 ]; then
            alert_level="CRITICAL"
        fi

        local detail_msg=""

        if [ "$modified_count" -gt 0 ]; then
            detail_msg="${detail_msg}
🔴 <b>변조된 파일 (${modified_count}개):</b>"
            local count=0
            for f in "${modified_files[@]}"; do
                ((count++))
                if [ "$count" -le 10 ]; then
                    detail_msg="${detail_msg}
  • <code>${f}</code>"
                fi
            done
            if [ "$count" -gt 10 ]; then
                detail_msg="${detail_msg}
  ... 외 $((count - 10))개"
            fi
        fi

        if [ "$missing_count" -gt 0 ]; then
            detail_msg="${detail_msg}

❌ <b>삭제된 파일 (${missing_count}개):</b>"
            local count=0
            for f in "${missing_files[@]}"; do
                ((count++))
                if [ "$count" -le 10 ]; then
                    detail_msg="${detail_msg}
  • <code>${f}</code>"
                fi
            done
            if [ "$count" -gt 10 ]; then
                detail_msg="${detail_msg}
  ... 외 $((count - 10))개"
            fi
        fi

        "$NOTIFY" "$alert_level" "🔐 <b>무결성 검증 결과</b>

📊 <b>검증 요약:</b>
━━━━━━━━━━━━━━━━━━━━
📄 검사 파일: ${total_checked}개
🔴 변조: ${modified_count}개
❌ 누락: ${missing_count}개
🆕 신규: ${new_count}개
${detail_msg}"
    else
        log "✅ 모든 파일 무결성 확인"
        # 정상일 때는 별도 알림 안 보냄 (로그만 기록)
    fi
}

# ── 베이스라인 갱신 ───────────────────────────────
update_baseline() {
    log "🔄 베이스라인 갱신 시작"

    # 기존 베이스라인 백업
    local backup_dir="${BASELINE_DIR}/backup_$(date +%Y%m%d_%H%M%S)"
    mkdir -p "$backup_dir"
    cp "${BASELINE_DIR}"/*.baseline "$backup_dir/" 2>/dev/null

    log "  📦 기존 베이스라인 백업: $backup_dir"

    # 새 베이스라인 생성
    init_baseline

    "$NOTIFY" "INFO" "🔄 <b>베이스라인 갱신 완료</b>
📦 이전 베이스라인 백업: <code>${backup_dir}</code>"
}

# ── 상태 확인 ─────────────────────────────────────
show_status() {
    echo "🔐 무결성 베이스라인 상태"
    echo "━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━"
    echo "📁 저장 경로: $BASELINE_DIR"
    echo ""

    if [ ! "$(ls -A "$BASELINE_DIR"/*.baseline 2>/dev/null)" ]; then
        echo "⚠️ 베이스라인이 생성되지 않았습니다."
        echo "   생성하려면: $0 --init"
        return
    fi

    for baseline_file in "${BASELINE_DIR}"/*.baseline; do
        local site_root
        site_root=$(grep "^# Site:" "$baseline_file" | head -1 | sed 's/^# Site: //')
        local created
        created=$(grep "^# Created:" "$baseline_file" | head -1 | sed 's/^# Created: //')
        local file_count
        file_count=$(grep -c '|' "$baseline_file" 2>/dev/null || echo 0)

        echo "📂 사이트: $(basename "$site_root")"
        echo "   경로: $site_root"
        echo "   생성: $created"
        echo "   파일: ${file_count}개"
        echo ""
    done
}

# ── 메인 ──────────────────────────────────────────
case "${1:-}" in
    --init|-i)
        init_baseline
        ;;
    --verify|-v)
        verify_baseline
        ;;
    --update|-u)
        update_baseline
        ;;
    --status|-s)
        show_status
        ;;
    --help|-h)
        echo "🔐 해시 기반 파일 무결성 검증"
        echo ""
        echo "사용법:"
        echo "  $0 --init      베이스라인 최초 생성"
        echo "  $0 --verify    베이스라인 대비 검증"
        echo "  $0 --update    베이스라인 갱신 (백업 후)"
        echo "  $0 --status    현재 상태 확인"
        echo "  $0 --help      도움말"
        ;;
    *)
        echo "❌ 옵션을 지정해주세요. --help 로 사용법 확인"
        exit 1
        ;;
esac