某公司網站的駭客事件 (三)

上篇：某公司網站的駭客事件(二)
忽然冒出了第三篇...不知道會不會有第四篇阿(希望不要)

快人快語，我是來貼程式的，因為後來某公司跟我說...以我程試跑出來的報表判斷起來很辛苦，他們希望統計出每個IP 有幾次來訪記錄(從來訪記錄多的去抓出可疑IP)。我想...也是ok 啦，從之前的程式改一改，到昨天晚上12 點剛好改完。

程式如下...

<?php
$findStr = $_GET['q'];

$fileFolder = "C:/Windows/system32/LogFiles/";
$handle = opendir($fileFolder);
$listIp; //這是將來用來存放資料的資料結構陣列
echo "<h1>Query String: ".$findStr."</h1>\n";
while ($filename = readdir($handle)) {
$fullfilename = $fileFolder.$filename;
if(is_file($fullfilename)){
$fd = fopen ($fullfilename, "r");
$contents = fread($fd, filesize($fullfilename));
fclose($fd);
$find = strstr($contents, $findStr);
//稍微改良一下，只要找到(不用計算出現幾次)，就進行查詢
if($find){
getIISLogIp($contents, $findStr);
}
}
}
closedir($handle);
getIPResult(); //顯示結果

# 一樣一次讀取一天的，但是讀取之後都放到資料結構裡
function getIISLogIp($contents, $findStr){
global $listIp; //取得全域變數(資料結構)
$lineArr = explode("\r\n", $contents);
$iptmp;
$output;
foreach($lineArr as $line){
$tmp = explode(" ", $line);
$time = $tmp[1];
$day = $tmp[0];
if($tmp[8] != null){
$ip = $tmp[8];
$sub = strstr($tmp[5], $findStr);
if($sub){//如果有找到
if($listIp[$ip] == null){
//這裡一樣是優化，先看看有沒有曾經查過該IP
//建立新資料(放入資料結構)
$listIp[$ip]['isp'] = getISPInfo($ip); //查詢IP反解
$listIp[$ip]['ip'] = $ip;
//將IP存入(這裡寫不好，但好像foreach 不能在這麼複雜的情況下
//讀取陣列的key)
$listIp[$ip]['count'] = 1;
$listIp[$ip]['data'][$day] = "<b>".$day.":</b> ".$time;
}else{ //有找到則附加到現有的資料結構
$listIp[$ip]['count']++;
if($listIp[$ip]['data'][$day] == null) $listIp[$ip]['data'][$day] = "<b>".$day.":</b> ".$time;
else $listIp[$ip]['data'][$day] .= ", ".$time;
}
}
}
}
}

# 輸出資料，依照出現次數排序，列出每個IP 出現的時間
function getIPResult(){
global $listIp;
if(sizeof($listIp) > 0){
uasort($listIp, "orderIPCount");
//使用自定排序(自定函式名為orderIPCount)

foreach($listIp as $ipstream){
$ip = $ipstream['ip']; //從資料結構中取出IP
$isp = $ipstream['isp']; //取出ISP資訊(反查)
$count = $ipstream['count']; //取出出現次數
$dataArr = $ipstream['data']; //取出時間資訊
$data = "<ul>";
foreach($dataArr as $oneday){
$data .= "<li>".$oneday."</li>\n";
}
$data .= "</ul><br />\n";
echo "<span style=\"font-size: 18px; font-weight: bold;\">".$isp."</span> (IP: ".$ip.")<br />\n".$count." time(s):\n".$data;
}
}
}

# 查詢ISP資訊(反查)
function getISPInfo($ip){
$host = gethostbyaddr($ip); //執行IP反查
if(strstr($host, "HINET-IP.hinet")){
//分析字串，如果反查結果有HINET-IP.hinet 則為中華固I
//其他依此類推...
$host = "中華電信固定IP";
}elseif(strstr($host, "dynamic.hinet")){
$host = "中華電信浮動IP";
}elseif(strstr($host, "seed")){
$host = "SeedNet";
}elseif(strstr($host, "giga")){
$host = "GiGa 超網路";
}elseif(strstr($host, "tfn")){
$host = "台灣固網";
}elseif(strstr($host, "so-net")){
$host = "So-Net";
}
return $host;
}

# 自定依照出現次數多寡排序的函式
function orderIPCount($count1, $count2){
$ct1 = $count1['count'];
$ct2 = $count2['count'];
return ($ct1 > $ct2)? -1 : ($ct1 == $ct2 ? 0 : 1);
}
?>


這是程式執行的結果

結果有去的事情發生了，發現造訪最多次某公司網站的IP 是奇摩機器人，最多的那個機器人在不到一年就有39次的記錄。如果還有下篇的話...我希望不要再出現程式碼了Orz，就跟大家回報一下中華電信會不會給某公司查特定時段的IP 使用者吧:-)

上篇：某公司網站的駭客事件(二) Tags: 系統工程, 科技隨筆, PHP

• 編輯文章
• 此文章網址
• 轉寄此文章
• 目前有2 意見