#!/bin/bash
# ============================================================
#  🔑 WordPress 코어 체크섬 검증 (WP Checksum Verify)
#  서버 배포 경로: /home/altablue/wp_checksum_verify.sh
#
#  WordPress.org 공식 API에서 제공하는 체크섬과
#  로컬 코어 파일의 MD5 해시를 비교하여 변조를 탐지합니다.
#
#  사용법:
#    ./wp_checksum_verify.sh --verify     # 모든 사이트 코어 파일 검증
#    ./wp_checksum_verify.sh --cache      # 체크섬 캐시 갱신
#    ./wp_checksum_verify.sh --status     # 검증 상태 확인
# ============================================================

set -uo pipefail

# ── 설정 로드 ─────────────────────────────────────
CONFIG_FILE="${CONFIG_FILE:-/etc/security-watchdog/config}"
if [ ! -f "$CONFIG_FILE" ]; then
    echo "❌ 설정 파일을 찾을 수 없습니다: $CONFIG_FILE"
    exit 1
fi
source "$CONFIG_FILE"

# ── 경로 설정 ─────────────────────────────────────
SCRIPT_DIR="$(cd "$(dirname "$0")" && pwd)"
NOTIFY="$SCRIPT_DIR/telegram_notify.sh"
LOG_FILE="${LOG_DIR}/wp_checksum.log"
VERIFIED_FILES_LIST="${BASELINE_DIR}/wp_verified_files.txt"

# 캐시 유효 시간 (초) — 24시간
CACHE_MAX_AGE=86400

mkdir -p "$LOG_DIR" "$BASELINE_DIR"

# ── 로그 함수 ─────────────────────────────────────
log() {
    echo "[$(date '+%Y-%m-%d %H:%M:%S')] $*" | tee -a "$LOG_FILE"
}

# ── 필수 도구 확인 ────────────────────────────────
check_dependencies() {
    local missing=()

    if ! command -v curl &>/dev/null; then
        missing+=("curl")
    fi
    if ! command -v python3 &>/dev/null; then
        missing+=("python3")
    fi
    if ! command -v md5sum &>/dev/null; then
        missing+=("md5sum")
    fi

    if [ ${#missing[@]} -gt 0 ]; then
        log "❌ 필수 도구가 설치되지 않았습니다: ${missing[*]}"
        echo "❌ 필수 도구가 설치되지 않았습니다: ${missing[*]}"
        echo "   설치: sudo apt install ${missing[*]}"
        exit 1
    fi
}

# ── WordPress 버전 추출 ───────────────────────────
# wp-includes/version.php 에서 $wp_version 값을 추출
get_wp_version() {
    local site_root="$1"
    local version_file="${site_root}/wp-includes/version.php"

    if [ ! -f "$version_file" ]; then
        log "  ⚠️ version.php 없음: $version_file"
        return 1
    fi

    local version
    version=$(grep -oP "\\\$wp_version\s*=\s*'[^']+'" "$version_file" | grep -oP "'[^']+'" | tr -d "'")

    if [ -z "$version" ]; then
        log "  ⚠️ WordPress 버전을 추출할 수 없습니다: $version_file"
        return 1
    fi

    echo "$version"
}

# ── 체크섬 다운로드 및 캐시 ───────────────────────
# WordPress.org API에서 체크섬 JSON을 다운로드하고 캐시에 저장
fetch_checksums() {
    local version="$1"
    local cache_file="${BASELINE_DIR}/wp_checksums_${version}.json"

    # 캐시 유효성 확인 (24시간)
    if [ -f "$cache_file" ]; then
        local cache_mtime
        cache_mtime=$(stat -c%Y "$cache_file" 2>/dev/null || echo 0)
        local now
        now=$(date +%s)
        local age=$(( now - cache_mtime ))

        if [ "$age" -lt "$CACHE_MAX_AGE" ]; then
            log "  💾 캐시 사용 (${age}초 경과): $cache_file"
            echo "$cache_file"
            return 0
        fi
        log "  🔄 캐시 만료 (${age}초 경과), 재다운로드"
    fi

    # API에서 체크섬 다운로드
    local api_url="https://api.wordpress.org/core/checksums/1.0/?version=${version}&locale=ko_KR"
    log "  🌐 체크섬 다운로드: $api_url"

    local http_code
    http_code=$(curl -s -o "$cache_file" -w "%{http_code}" --connect-timeout 10 --max-time 30 "$api_url" 2>/dev/null)

    if [ "$http_code" != "200" ]; then
        log "  ❌ API 요청 실패 (HTTP $http_code): $api_url"
        rm -f "$cache_file" 2>/dev/null
        return 1
    fi

    # JSON 유효성 기본 검증
    if ! python3 -c "import json,sys; json.load(open(sys.argv[1]))" "$cache_file" 2>/dev/null; then
        log "  ❌ 유효하지 않은 JSON 응답: $cache_file"
        rm -f "$cache_file" 2>/dev/null
        return 1
    fi

    log "  ✅ 체크섬 다운로드 완료: $cache_file"
    echo "$cache_file"
    return 0
}

# ── 캐시 갱신 (모든 사이트) ───────────────────────
refresh_cache() {
    log "🔄 체크섬 캐시 갱신 시작"

    check_dependencies

    local refreshed=0
    local failed=0
    local versions_done=()

    for dir in "${WATCH_DIRS[@]}"; do
        if [ ! -d "$dir" ]; then
            continue
        fi

        while IFS= read -r wp_config; do
            local site_root
            site_root=$(dirname "$wp_config")
            local version
            version=$(get_wp_version "$site_root") || continue

            # 동일 버전 중복 갱신 방지
            local already_done=false
            for v in "${versions_done[@]+"${versions_done[@]}"}"; do
                if [ "$v" = "$version" ]; then
                    already_done=true
                    break
                fi
            done
            if [ "$already_done" = "true" ]; then
                continue
            fi

            # 기존 캐시 삭제 후 강제 재다운로드
            rm -f "${BASELINE_DIR}/wp_checksums_${version}.json" 2>/dev/null

            if fetch_checksums "$version" >/dev/null; then
                ((refreshed++))
                versions_done+=("$version")
            else
                ((failed++))
            fi
        done < <(find "$dir" -maxdepth 3 -name "wp-config.php" -type f 2>/dev/null)
    done

    log "🔄 캐시 갱신 완료: ${refreshed}개 버전 갱신, ${failed}개 실패"

    if [ "$failed" -gt 0 ]; then
        "$NOTIFY" "WARNING" "🔄 <b>체크섬 캐시 갱신</b>

✅ 성공: ${refreshed}개 버전
❌ 실패: ${failed}개 버전"
    else
        log "  ✅ 모든 캐시 갱신 성공"
    fi
}

# ── 개별 사이트 검증 ──────────────────────────────
verify_site() {
    local site_root="$1"
    local site_name
    site_name=$(basename "$site_root")

    log "  📂 사이트 검증: $site_name ($site_root)"

    # WordPress 버전 추출
    local version
    version=$(get_wp_version "$site_root")
    if [ $? -ne 0 ] || [ -z "$version" ]; then
        log "  ⚠️ WordPress 버전 확인 불가, 건너뜀: $site_root"
        return 1
    fi
    log "    📌 WordPress 버전: $version"

    # 체크섬 JSON 가져오기 (캐시 또는 다운로드)
    local cache_file
    cache_file=$(fetch_checksums "$version")
    if [ $? -ne 0 ] || [ -z "$cache_file" ] || [ ! -f "$cache_file" ]; then
        log "  ❌ 체크섬을 가져올 수 없습니다 (v$version)"
        return 1
    fi

    # JSON에서 체크섬 파싱: "MD5해시 파일경로" 형식으로 출력
    local checksum_list
    checksum_list=$(python3 -c "
import json, sys
d = json.load(open(sys.argv[1]))
checksums = d.get('checksums', {})
for k, v in checksums.items():
    print(f'{v} {k}')
" "$cache_file" 2>/dev/null)

    if [ -z "$checksum_list" ]; then
        log "  ❌ 체크섬 파싱 실패: $cache_file"
        return 1
    fi

    local total_files=0
    local matched_count=0
    local modified_count=0
    local missing_count=0
    local modified_files=()
    local missing_files=()
    local verified_paths=()

    # 각 파일의 MD5 체크섬 비교
    while IFS=' ' read -r expected_md5 rel_path; do
        [ -z "$expected_md5" ] && continue
        [ -z "$rel_path" ] && continue

        ((total_files++))

        local full_path="${site_root}/${rel_path}"

        if [ ! -f "$full_path" ]; then
            ((missing_count++))
            missing_files+=("$rel_path")
            continue
        fi

        # 로컬 파일 MD5 해시 계산
        local local_md5
        local_md5=$(md5sum "$full_path" 2>/dev/null | cut -d' ' -f1)

        if [ "$local_md5" = "$expected_md5" ]; then
            ((matched_count++))
            verified_paths+=("$full_path")
        else
            ((modified_count++))
            modified_files+=("$rel_path")
            log "    🔴 변조 감지: $rel_path"
            log "       공식 MD5: $expected_md5"
            log "       로컬 MD5: $local_md5"
        fi
    done <<< "$checksum_list"

    # wp-admin, wp-includes 내 공식 목록에 없는 추가 파일 탐지
    local extra_count=0
    local extra_files=()

    for check_dir in "wp-admin" "wp-includes"; do
        local abs_dir="${site_root}/${check_dir}"
        if [ ! -d "$abs_dir" ]; then
            continue
        fi

        while IFS= read -r -d '' file; do
            local rel
            rel="${file#${site_root}/}"

            # 체크섬 목록에 있는지 확인
            if ! echo "$checksum_list" | grep -qF " ${rel}"; then
                ((extra_count++))
                extra_files+=("$rel")
            fi
        done < <(find "$abs_dir" -type f -name "*.php" -print0 2>/dev/null)
    done

    # 검증된 파일 목록 기록 (다른 스크립트에서 활용)
    for vp in "${verified_paths[@]+"${verified_paths[@]}"}"; do
        echo "$vp" >> "$VERIFIED_FILES_LIST"
    done

    log "    📊 결과: 전체=${total_files}, 일치=${matched_count}, 변조=${modified_count}, 누락=${missing_count}, 추가=${extra_count}"

    # 결과를 stdout으로 반환 (호출자에서 집계용)
    echo "SITE:${site_name}"
    echo "ROOT:${site_root}"
    echo "VERSION:${version}"
    echo "TOTAL:${total_files}"
    echo "MATCHED:${matched_count}"
    echo "MODIFIED:${modified_count}"
    echo "MISSING:${missing_count}"
    echo "EXTRA:${extra_count}"

    if [ ${#modified_files[@]} -gt 0 ]; then
        echo "MODIFIED_FILES:"
        for f in "${modified_files[@]}"; do
            echo "  ${f}"
        done
    fi

    if [ ${#missing_files[@]} -gt 0 ]; then
        echo "MISSING_FILES:"
        for f in "${missing_files[@]}"; do
            echo "  ${f}"
        done
    fi

    if [ ${#extra_files[@]} -gt 0 ]; then
        echo "EXTRA_FILES:"
        for f in "${extra_files[@]}"; do
            echo "  ${f}"
        done
    fi

    echo "---"
}

# ── 체크섬 검증 완료 여부 확인 ────────────────────
# 다른 스크립트(malware_scanner.sh 등)에서 호출하여
# 특정 파일이 공식 코어 파일인지 빠르게 판별
is_checksum_verified() {
    local filepath="$1"

    if [ ! -f "$VERIFIED_FILES_LIST" ]; then
        return 1
    fi

    if grep -qxF "$filepath" "$VERIFIED_FILES_LIST" 2>/dev/null; then
        return 0
    fi

    return 1
}

# ── 전체 검증 실행 ────────────────────────────────
verify_all() {
    log "🔑 WordPress 코어 체크섬 검증 시작"

    check_dependencies

    local scan_start
    scan_start=$(date +%s)

    # 검증 목록 초기화
    > "$VERIFIED_FILES_LIST"

    local site_count=0
    local total_modified=0
    local total_missing=0
    local total_extra=0
    local total_matched=0
    local all_modified_details=""
    local overall_status="CLEAN"

    # WATCH_DIRS 내 WordPress 사이트 탐색
    for dir in "${WATCH_DIRS[@]}"; do
        if [ ! -d "$dir" ]; then
            continue
        fi

        while IFS= read -r wp_config; do
            local site_root
            site_root=$(dirname "$wp_config")
            ((site_count++))

            # 사이트 검증 실행
            local result
            result=$(verify_site "$site_root")

            # 결과 파싱
            local modified
            modified=$(echo "$result" | grep "^MODIFIED:" | head -1 | cut -d: -f2)
            local missing
            missing=$(echo "$result" | grep "^MISSING:" | head -1 | cut -d: -f2)
            local extra
            extra=$(echo "$result" | grep "^EXTRA:" | head -1 | cut -d: -f2)
            local matched
            matched=$(echo "$result" | grep "^MATCHED:" | head -1 | cut -d: -f2)
            local site_name
            site_name=$(echo "$result" | grep "^SITE:" | head -1 | cut -d: -f2)
            local version
            version=$(echo "$result" | grep "^VERSION:" | head -1 | cut -d: -f2)

            modified=${modified:-0}
            missing=${missing:-0}
            extra=${extra:-0}
            matched=${matched:-0}

            total_modified=$((total_modified + modified))
            total_missing=$((total_missing + missing))
            total_extra=$((total_extra + extra))
            total_matched=$((total_matched + matched))

            # 변조된 파일 상세 수집 (텔레그램 알림용)
            if [ "$modified" -gt 0 ]; then
                overall_status="CRITICAL"
                local mod_files
                mod_files=$(echo "$result" | sed -n '/^MODIFIED_FILES:/,/^---$\|^[A-Z_]*:/p' | grep "^  " | head -10)
                all_modified_details="${all_modified_details}
📂 <b>${site_name}</b> (v${version}):
${mod_files}"
            elif [ "$missing" -gt 0 ] && [ "$overall_status" = "CLEAN" ]; then
                overall_status="WARNING"
            fi

        done < <(find "$dir" -maxdepth 3 -name "wp-config.php" -type f 2>/dev/null)
    done

    local scan_end
    scan_end=$(date +%s)
    local duration=$((scan_end - scan_start))

    # 검증된 파일 목록 정렬 및 중복 제거
    if [ -f "$VERIFIED_FILES_LIST" ]; then
        sort -u "$VERIFIED_FILES_LIST" -o "$VERIFIED_FILES_LIST"
        local verified_total
        verified_total=$(wc -l < "$VERIFIED_FILES_LIST")
        log "  📋 검증 목록 생성: ${verified_total}개 파일 → $VERIFIED_FILES_LIST"
    fi

    log "🔑 검증 완료: ${site_count}개 사이트, 일치=${total_matched}, 변조=${total_modified}, 누락=${total_missing}, 추가=${total_extra} (${duration}초)"

    # 결과에 따른 알림
    if [ "$overall_status" = "CRITICAL" ]; then
        # 변조 파일 발견 — CRITICAL 알림
        "$NOTIFY" "CRITICAL" "🔑 <b>WordPress 코어 변조 감지!</b>

📊 <b>검증 결과:</b>
━━━━━━━━━━━━━━━━━━━━
📂 사이트: ${site_count}개
✅ 일치: ${total_matched}개
🔴 변조: ${total_modified}개
❌ 누락: ${total_missing}개
🆕 추가: ${total_extra}개
⏱️ 소요: ${duration}초

🔴 <b>변조된 파일:</b>
${all_modified_details}"

    elif [ "$overall_status" = "WARNING" ]; then
        # 누락 파일만 있음 — WARNING 알림
        "$NOTIFY" "WARNING" "🔑 <b>WordPress 코어 파일 누락 감지</b>

📊 <b>검증 결과:</b>
━━━━━━━━━━━━━━━━━━━━
📂 사이트: ${site_count}개
✅ 일치: ${total_matched}개
❌ 누락: ${total_missing}개
🆕 추가: ${total_extra}개
⏱️ 소요: ${duration}초"

    else
        # 모두 정상 — 로그만 기록 (텔레그램 알림 없음, 노이즈 감소)
        log "  ✅ 모든 코어 파일 체크섬 일치"
    fi

    # 사이트를 찾지 못한 경우
    if [ "$site_count" -eq 0 ]; then
        log "  ⚠️ WordPress 사이트를 찾을 수 없습니다"
        echo "⚠️ WATCH_DIRS 내에서 wp-config.php를 찾을 수 없습니다."
        echo "   감시 대상: ${WATCH_DIRS[*]}"
    fi
}

# ── 상태 확인 ─────────────────────────────────────
show_status() {
    echo "🔑 WordPress 코어 체크섬 검증 상태"
    echo "━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━"
    echo ""

    # 캐시된 체크섬 파일 표시
    echo "📦 캐시된 체크섬:"
    local cache_count=0
    for cache_file in "${BASELINE_DIR}"/wp_checksums_*.json; do
        if [ ! -f "$cache_file" ]; then
            continue
        fi
        ((cache_count++))

        local version
        version=$(basename "$cache_file" | sed 's/wp_checksums_//;s/\.json//')
        local cache_mtime
        cache_mtime=$(stat -c%Y "$cache_file" 2>/dev/null || echo 0)
        local now
        now=$(date +%s)
        local age=$(( now - cache_mtime ))
        local age_hours=$(( age / 3600 ))
        local age_status="✅"
        if [ "$age" -ge "$CACHE_MAX_AGE" ]; then
            age_status="⚠️ 만료"
        fi

        local file_count
        file_count=$(python3 -c "
import json, sys
d = json.load(open(sys.argv[1]))
print(len(d.get('checksums', {})))
" "$cache_file" 2>/dev/null || echo "?")

        echo "   ${age_status} v${version} — ${file_count}개 파일, ${age_hours}시간 전 갱신"
    done
    if [ "$cache_count" -eq 0 ]; then
        echo "   (없음) — --cache 또는 --verify 로 생성하세요"
    fi
    echo ""

    # 검증 목록 상태
    echo "📋 검증 목록:"
    if [ -f "$VERIFIED_FILES_LIST" ]; then
        local verified_count
        verified_count=$(wc -l < "$VERIFIED_FILES_LIST" 2>/dev/null || echo 0)
        local list_mtime
        list_mtime=$(stat -c%Y "$VERIFIED_FILES_LIST" 2>/dev/null || echo 0)
        local list_date
        list_date=$(date -d "@${list_mtime}" '+%Y-%m-%d %H:%M:%S' 2>/dev/null || echo "알 수 없음")
        echo "   ✅ ${verified_count}개 파일 검증 완료"
        echo "   📅 마지막 갱신: ${list_date}"
        echo "   📁 경로: $VERIFIED_FILES_LIST"
    else
        echo "   (없음) — --verify 로 생성하세요"
    fi
    echo ""

    # 감지된 사이트 목록
    echo "📂 WordPress 사이트:"
    local found_sites=0
    for dir in "${WATCH_DIRS[@]}"; do
        if [ ! -d "$dir" ]; then
            continue
        fi
        while IFS= read -r wp_config; do
            local site_root
            site_root=$(dirname "$wp_config")
            local site_name
            site_name=$(basename "$site_root")
            local version
            version=$(get_wp_version "$site_root" 2>/dev/null) || version="확인 불가"
            ((found_sites++))
            echo "   📂 ${site_name} — v${version} (${site_root})"
        done < <(find "$dir" -maxdepth 3 -name "wp-config.php" -type f 2>/dev/null)
    done
    if [ "$found_sites" -eq 0 ]; then
        echo "   (없음)"
    fi
    echo ""

    # 최근 로그
    echo "📝 최근 검증 로그:"
    if [ -f "$LOG_FILE" ]; then
        tail -5 "$LOG_FILE" | sed 's/^/   /'
    else
        echo "   (로그 없음)"
    fi
}

# ── 메인 ──────────────────────────────────────────
case "${1:-}" in
    --verify|-v)
        verify_all
        ;;
    --cache|-c)
        refresh_cache
        ;;
    --status|-s)
        show_status
        ;;
    --help|-h)
        echo "🔑 WordPress 코어 체크섬 검증"
        echo ""
        echo "사용법:"
        echo "  $0 --verify    모든 사이트 코어 파일 검증"
        echo "  $0 --cache     체크섬 캐시 강제 갱신"
        echo "  $0 --status    현재 상태 확인"
        echo "  $0 --help      도움말"
        ;;
    *)
        echo "❌ 옵션을 지정해주세요. --help 로 사용법 확인"
        exit 1
        ;;
esac