Subversion Repositories php-qbpwcf

	/*

	#函式說明:

	#檢查 apache http(s) log 中疑似攻擊的記錄.

	#回傳結果:

	#$result["status"],字串,執行是否正常,"true"代表正常,"false"代表不正常.

	#$result["error"],錯誤訊息陣列.

	#$result["function"],字串,當前執行的函式名稱.

	#$result["content"],陣列,攻擊記錄資訊,每個元素為陣列key為"ip"者為攻擊者的ip;key為info者為其資訊陣列,其key為"log"者代表log的行內容;key為"time"者代表時間點;key為ip者代表ip.

	#必填參數:

	#無.

	#可省略參數:

	#$conf["logPath"],http log的路徑,預設為"/var/log/httpd".

	#$conf["logPath"]="/var/log/httpd";

	#$conf["https"],字串,是否為要查https的log,預設為"false"，代表為http.

	#$conf["https"]="false";

	#參考資料:

	#無.

	#備註:

	#目前僅支援 apache 提供的 http(s) 服務.

	#攻擊者的定義包含http回應的code為4開頭或用戶使用 HTTP/1.0 協定或用戶使用 CONNECT method,且時間間隔不超過1秒鐘,次數達到3次.

	*/

	public static function checkHttpAttackLog(&$conf){

		#初始化要回傳的結果

		$result=array();

		#取得當前執行的函數名稱

		$result["function"]=__FUNCTION__;

		#取得參數

		$result["argu"]=$conf;

		#如果 $conf 不為陣列

		if(gettype($conf)!="array"){

			#設置執行失敗

			$result["status"]="false";

			#設置執行錯誤訊息

			$result["error"][]="\$conf變數須為陣列形態";

			#如果傳入的參數為 null

			if(is_null($conf)){

				#設置執行錯誤訊息

				$result["error"][]="\$conf變數不得為null,請檢查函數「".$result["function"]."」的參數設置有無正確!";

				}#if end

			#回傳結果

			return $result;

			}#if end

		#函式說明:

		#檢查必填與可省略的參數，可省略參數可指定預設要給與什麼數值內容.

		#回傳結果:

		#$result["status"],執行是否正常,"true"代表正常,"false"代表不正常.

		#$result["error"],執行不正常結束的錯訊息陣列.

		#$result["simpleError"],簡單表示的錯誤訊息.

		#$result["function"],當前執行的函式名稱.

		#$result["argu"],設置給予的參數.

		#$result["passed"],識別要檢查的全體變數是否存在以及型態是否正確的變數,"true"代表檢查全部通過;"false"代表檢查不通過

		#$result[$shouldBeCheckedVarName]["varExist"],所檢查的變數是否存在,"false"代表不存在;"true"代表存在

		#$result[$shouldBeCheckedVarName]["varType"],所檢查的變數型態是否正確,"false"代表錯誤;"true"代表正確

		#$result[$shouldBeCheckedVarName]["error"],每個參數設定的錯誤訊息

		#$result["shouldNotBeEmpty"],不應該為空字串或控陣列的變數.

		#$result["argu"],字串陣列,目前輸入的參數名稱陣列.

		#$result["legalVarName"],字串陣列,合法可用的參數名稱陣列.

		#$result["notNeedVar"],字串陣列,多餘的參數名稱.

		#必填參數:

		#$conf["varInput"],陣列變數,要檢查的陣列變數,請在要檢查的參數前面加上&，這樣變動的結果才能被套用。

		$conf["variableCheck::checkArguments"]["varInput"]=&$conf;

		#$conf["referenceVarKey"],字串,$conf參數後面的key值,用於移除不要的參考陣列.

		$conf["variableCheck::checkArguments"]["referenceVarKey"]="variableCheck::checkArguments";

		#可省略參數:

		#$conf["mustBeFilledVariableName"],爲必填參數的變數名稱陣列，形態爲陣列變數，元素數量需要跟"mustBeFilledVariableType"參數的元素數量一致,例如: $conf["mustBeFilledVariableName"] = array("id","account","password");

		#$conf["mustBeFilledVariableName"]=array();

		#$conf["mustBeFilledVariableType"],爲必填參數的變數陣列應該爲何種變數形態，形態爲陣列,元素數量需要跟"mustBeFilledVariableName"參數的元素數量一致,例如: $conf["mustBeFilledVariableType"] = array("string",integer,"double","resource","object"); , null、any代表不指定變數形態.其中 resource也包含"resource (closed)".

		#$conf["mustBeFilledVariableType"]=array();

		#$conf["canBeEmptyString"],字串,必填變數內容如果是空字串就不能算是有設置的話，請設為"false",預設爲"true",可以為空字串.

		#$conf["canBeEmptyString"]="false";

		#$conf["canNotBeEmpty"],字串陣列,哪些必填參數的內容不得為空字串或空陣列,僅當$conf["canBeEmptyString"]為"true"時會生效.

		#$conf["canNotBeEmpty"]=array();

		#$conf["canBeEmpty"],字串陣列,哪些必填參數的內容可為空字串或空陣列,僅當$conf["canBeEmptyString"]為"false"時會生效.

		#$conf["canBeEmpty"]=array();

		#$conf["skipableVariableCanNotBeEmpty"],字串陣列,哪些可省略參數不可以為空字串或空陣列.

		$conf["variableCheck::checkArguments"]["skipableVariableCanNotBeEmpty"]=array("logPath","https");

		#$conf["skipableVariableName"],陣列字串,爲可省略參數的變數名稱陣列，形態爲陣列變數，例如: $conf["skipableVariableName"] = array("id","account","password");

		$conf["variableCheck::checkArguments"]["skipableVariableName"]=array("logPath","https");

		#$conf["skipableVariableType"],陣列字串,爲可省略參數的變數名稱陣列，形態爲陣列變數，例如: $conf["skipableVariableType"] = array("string",integer,"double");

		$conf["variableCheck::checkArguments"]["skipableVariableType"]=array("string","string");

		#$conf["skipableVarDefaultValue"],字串陣列,每個不存在的可省略變數要初始化為什麼,null與代表不指定,若預設值是參數之一，請將$conf["mustBeFilledVar"]改成"\$conf["\mustBeFilledVar\"]".

		$conf["variableCheck::checkArguments"]["skipableVarDefaultValue"]=array("/var/log/httpd","false");

		#$conf["disallowAllSkipableVarIsEmpty"],字串,是否允許每個可省略參數都為空字串,預設為"true"允許,反之為"false".

		#$conf["disallowAllSkipableVarIsEmpty"]="";

		#$conf["disallowAllSkipableVarIsEmptyArray"],字串,是否允許每個可省略參數都為空陣列,預設為"true"允許,反之為"false".

		#$conf["disallowAllSkipableVarIsEmptyArray"]="";

		#$conf["disallowAllSkipableVarNotExist"],字串,是否不允許每個可省略參數都不存在,預設為"false"代表允許,反之為"true".

		#$conf["disallowAllSkipableVarNotExist"]="";

		#$conf["arrayCountEqualCheck"],字串陣列,為檢查哪些陣列參數的元素數量要一樣,$conf["arrayCountEqualCheck"][$i]=array()為第$i組key為哪些的變數其元素數量要相等.

		#$conf["arrayCountEqualCheck"][]=array();

		#參考資料:

		#array_keys=>http://php.net/manual/en/function.array-keys.php

		#備註:

		#無.

		$checkArguments=variableCheck::checkArguments($conf["variableCheck::checkArguments"]);

		unset($conf["variableCheck::checkArguments"]);

		#預設為http的log

		$logFile="access_log";

		#如果 https 為 "true"

		if($conf["https"]==="true"){

			#設置為 https 的 log

			$logFile="ssl_access_log";

			}#if end

		#取得 http 存取記錄的 log

		#函式說明:

		#依據行號分隔抓取檔案的內容,結果會回傳一個陣列

		#回傳的變數說明:

		#$result["status"],執行是否成功，"true"代表成功；"fasle"代表失敗.

		#$result["error"],錯誤訊息提示.

		#$result["warning"],警告訊息.

		#$result["function"],當前執行的函數名稱.

		#$result["fileContent"],爲檔案的內容陣列.

		#$result["lineCount"],爲檔案內容總共的行數.

		#$result["fullContent"],為檔案的完整內容.

		#$result["base64dataOnly"],檔案的base64data.

		#$result["base64data"],為在網頁上給予src參數的數值.

		#$result["mimeType"],為檔案的mime type.

		#必填參數:

		#$conf["filePositionAndName"],字串,爲檔案的位置以及名稱.

		$conf["fileAccess::getFileContent"]["filePositionAndName"]=$conf["logPath"]."/".$logFile;

		#$conf["fileArgu"],字串,php變數__FILE__的內容,亦即該檔案在檔案系統的絕對路徑

		$conf["fileAccess::getFileContent"]["fileArgu"]=__FILE__;

		#可省略參數:

		#$conf["web"],是要取得網路上的檔案則為"true";反之預設為"false".

		#$conf["web"]="true";

		#$conf["createIfnotExist"],字串,預設為"false"代表檔案不存在也不需要建立;反之為"true".

		#$conf["createIfnotExist"]="false";

		#$conf["autoDeleteSpaceOnEachLineStart"],字串,預設為"false",不做額外處理;反之為"true"

		#$conf["autoDeleteSpaceOnEachLineStart"]="false";

		#參考資料：

		#file(),取得檔案內容的行數.

		#file=>http:#php.net/manual/en/function.file.php

		#rtrim(),剔除透過file()取得每行內容結尾的換行符號.

		#filesize=>http://php.net/manual/en/function.filesize.php

		#參考資料:

		#無.

		#備註:

		#無.

		$getFileContent=fileAccess::getFileContent($conf["fileAccess::getFileContent"]);

		unset($conf["fileAccess::getFileContent"]);

		#如果執行失敗

		if($getFileContent["status"]==="false"){

			#設置執行失敗

			$result["status"]="false";

			#設置錯誤訊息

			$result["error"]=$getFileContent;

			#回傳結果

			return $result;

			}#if end

		/*

		http log 範例:

		36.149.205.198 - - [22/Jun/2026:15:49:21 +0800] "CONNECT api.ipapi.is:443 HTTP/1.1" 200 -

		36.149.205.198 - - [22/Jun/2026:15:49:24 +0800] "CONNECT ipwho.is:443 HTTP/1.1" 200 -

		36.149.205.198 - - [22/Jun/2026:15:49:18 +0800] "CONNECT push.services.mozilla.com:443 HTTP/1.1" 200 -

		120.48.6.159 - - [22/Jun/2026:15:49:20 +0800] "CONNECT ifconfig.me:443 HTTP/1.1" 200 -

		36.149.205.198 - - [22/Jun/2026:15:49:24 +0800] "CONNECT ipwho.is:443 HTTP/1.1" 200 -

		36.149.205.198 - - [22/Jun/2026:15:49:25 +0800] "CONNECT api.ipapi.is:443 HTTP/1.1" 200 -

		36.149.205.198 - - [22/Jun/2026:15:49:28 +0800] "CONNECT ipwho.is:443 HTTP/1.1" 200 -

		36.149.205.198 - - [22/Jun/2026:15:49:30 +0800] "CONNECT nexus.officeapps.live.com:443 HTTP/1.1" 200 -

		172.238.244.28 - - [22/Jun/2026:15:49:31 +0800] "GET / HTTP/1.0" 400 402

		36.149.205.198 - - [22/Jun/2026:15:49:29 +0800] "CONNECT api.ipapi.is:443 HTTP/1.1" 200 -

		36.149.205.198 - - [22/Jun/2026:15:49:33 +0800] "CONNECT qaz23.com:2869 HTTP/1.1" 403 353

		36.149.205.198 - - [22/Jun/2026:15:49:34 +0800] "CONNECT qaz23.com:2869 HTTP/1.1" 403 353

		*/

		#初始化給予 search::getMatchFormatsStrings 使用的 formats 參數

		$formatsParamsOfsearchGetMatchFormatsStrings=array();		

		$formatsParamsOfsearchGetMatchFormatsStrings[]="\${ip} \${doNotNeed} [\${day}/\${month}/\${year}:\${hour}:\${min}:\${sec} \${timezone}] \${method} \${path} \${protocol} \${responseCode} \${bytesSend}";

		#尋找 http code 為 4xx 的內容行

		#函式說明：

		#尋找多個字串中是否含有符合多個格式之一的內容,且回傳解析好的變數數值.

		#回傳結果:

		#$result["status"],執行是否正常,"true"代表正常,"false"代表不正常.

		#$reuslt["error"],執行不正常結束的錯訊息陣列.

		#$result["function"],當前執行的函式名稱.

		#$result["argu"],所使用的參數.

		#$result["found"],是否有找到符合格式的字串內容,"true"代表有找到,"false"代表沒有找到.

		#$result["content"],陣列,第一維為對應formats參數的索引,第二維的key為lineNo者為inputs參數的索引;第二維的key為content者為符合的資訊,若為n個${*},則當found為"true"時,就會回傳n個元素;第二維的key為parsedVar者為符合的資訊,其數值以變數名稱作為索引,元素的索引為0~N，代表有幾個符合的同名變數.

		#必填參數:

		#$conf["inputs"],字串陣列,要檢查的字串集合.

		$conf["search::getMatchFormatsStrings"]["inputs"]=$getFileContent["fileContent"];

		#$conf["format"],格式字串陣列,要尋找的可能格式字串集合.格式為固定的字串("fixedStr format")與變數("${keyWordVarName}")組成.

		$conf["search::getMatchFormatsStrings"]["formats"]=$formatsParamsOfsearchGetMatchFormatsStrings;

		#可省略參數:

		#無.

		#參考資料:

		#無.

		#備註:

		#無.

		$getMatchFormatsStrings=search::getMatchFormatsStrings($conf["search::getMatchFormatsStrings"]);

		unset($conf["search::getMatchFormatsStrings"]);

		#如果執行異常

		if($getMatchFormatsStrings["status"]==="false"){

			#設置執行失敗

			$result["status"]="false";

			#設置錯誤訊息

			$result["error"]=$getMatchFormatsStrings;

			#回傳結果

			return $result;

			}#if end

		#如果沒有符合的項目

		if($getMatchFormatsStrings["found"]==="false"){

			#設置結果

			$result["content"]=array();

			#設置執行正常

			$result["status"]="true";

			#回傳結果

			return $result;

			}#if end

		#初始化要處理的ip資訊

		$ips=array();

		#初始化用 ip 為索引來儲存資料行

		$ips_byIp=array();

		#針對每個符合的規則

		foreach($getMatchFormatsStrings["content"] as $matchInfo){

			#取得符合條件的行索引

			$index=$matchInfo["lineNo"];

			#取得用戶要求的method

			$method=$matchInfo["parsedVar"][0]["method"][0];

			#取得用戶要求的protocal

			$protocol=$matchInfo["parsedVar"][0]["protocol"][0];

			#取得回應的code

			$responseCode=$matchInfo["parsedVar"][0]["responseCode"][0];

			#如果 method 為 "CONNECT"

			if($method==="CONNECT"){

				#這裡不做事情,但後面繼續執行

				}#if end

			#如果 protocol 為 "HTTP/1.0"

			else if($protocol==="HTTP/1.0"){

				#這裡不做事情,但後面繼續執行

				}#if end

			#如果回應的 code 不為 4 開頭

			else if($responseCode[0]!=="4"){

				#略過,看下一行

				continue;

				}#if end

			#取得用戶要求的路徑

			$path=$matchInfo["parsedVar"][0]["path"][0];

			#剔除要求的資源名稱結尾為 ".css" ".js" "favicon.ico" ".jpg" ".png" 者. - start

			#函式說明：

			#尋找字串中是否含有符合多個格式之一的內容,且回傳解析好的變數數值.

			#回傳結果:

			#$result["status"],執行是否正常,"true"代表正常,"false"代表不正常.

			#$reuslt["error"],執行不正常結束的錯訊息陣列.

			#$result["function"],當前執行的函式名稱.

			#$result["argu"],所使用的參數.

			#$result["found"],是否有找到符合格式的字串內容,"true"代表有找到,"false"代表沒有找到.

			#$result["content"],陣列,若為n個${*},則當found為"true"時,就會回傳n個元素.

			#必填參數:

			#$conf["input"],字串,要檢查的字串.

			$conf["search::findSpecifyStrFormats"]["input"]=$getFileContent["fileContent"][$index];

			#$conf["format"],格式字串陣列,要尋找的可能格式字串集合.格式為固定的字串("fixedStr format")與變數("${keyWordVarName}")組成.

			$conf["search::findSpecifyStrFormats"]["formats"]=array("\${str}.css","\${str}.js","\${str}.favicon.ico","\${str}.jpg","\${str}.jpeg","\${str}.png","\${str}.webp");

			#可省略參數:

			#無.

			#參考資料:

			#無.

			#備註:

			#無.

			$findSpecifyStrFormats=search::findSpecifyStrFormats($conf["search::findSpecifyStrFormats"]);

			unset($conf["search::findSpecifyStrFormats"]);

			#如果執行異常

			if($findSpecifyStrFormats["status"]==="false"){

				#設置執行失敗

				$result["status"]="false";

				#設置錯誤訊息

				$result["error"]=$findSpecifyStrFormats;

				#回傳結果

				return $result;

				}#if end

			#如果有符合的項目

			if($findSpecifyStrFormats["found"]==="true"){

				#略過,看下一行

				continue;

				}#if end

			#剔除要求的資源名稱結尾為 ".css" ".js" "favicon.ico" ".jpg" ".jpeg" ".png" ".webp" 者. - end

			#時間格式的參考

			# [\${day}/\${month}/\${year}:\${hour}:\${min}:\${sec} \${timezone}]

			#取得 log 的時間點

			$time=$matchInfo["parsedVar"][0]["day"][0]."/".$matchInfo["parsedVar"][0]["month"][0]."/".$matchInfo["parsedVar"][0]["year"][0].":".$matchInfo["parsedVar"][0]["hour"][0].":".$matchInfo["parsedVar"][0]["min"][0].":".$matchInfo["parsedVar"][0]["sec"][0]." ".$matchInfo["parsedVar"][0]["timezone"][0];

			#以 ip 為索引來儲存資料行

			$ips_byIp[$matchInfo["parsedVar"][0]["ip"][0]][]=array("log"=>$getFileContent["fileContent"][$index],"time"=>$time,"ip"=>$matchInfo["parsedVar"][0]["ip"][0]);

			}#foreach end

		#針對每個可能有問題的IP

		foreach($ips_byIp as $ip => $infos){

			#計數 ip 於同時間前來的計數

			$ipSameTimeCount=0;

			#用來存放來存取的同一時間

			$ipSameTime="";

			#看來拜訪的時間點

			foreach($infos as $info){

				#如果是初次

				if($ipSameTime===""){

					#記錄時間點

					$ipSameTime=$info["time"];

					#同時間點計數加1

					$ipSameTimeCount++;

					}#if end

				#反之如果時間點相同

				else if($ipSameTime===$info["time"]){

					#同時間點計數加1

					$ipSameTimeCount++;

					}#if end

				#反之時間點不相同

				else{

					#記錄時間點

					$ipSameTime=$info["time"];

					#同時間點計數重設為1

					$ipSameTimeCount=1;

					}#else end

				#如果同時間的計數達到3

				if($ipSameTimeCount===3){

					#初始化暫存的陣列

					$tmp=array();

					#儲存資訊

					$tmp["info"]=$infos;

					#儲存ip

					$tmp["ip"]=$info["ip"];

					#取得有問題的IP

					$ips[]=$tmp;

					#換檢查下一個IP

					continue 2;

					}#if end

				}#foreach end

			}#foreach end

		#設置結果

		$result["content"]=$ips;

		#設置執行正常

		$result["status"]="true";

		#回傳結果

		return $result;

		}#funcion checkHttpAttackLog end

	/*

	#函式說明:

	#檢查 postfixv log 中疑似攻擊的記錄.

	#回傳結果:

	#$result["status"],字串,執行是否正常,"true"代表正常,"false"代表不正常.

	#$result["error"],錯誤訊息陣列.

	#$result["function"],字串,當前執行的函式名稱.

	#$result["content"],陣列,攻擊記錄資訊,每個元素為陣列key為"ip"者為攻擊者的ip;key為info者為其資訊陣列,其key為"log"者代表log的行內容;key為"time"者代表時間點;key為ip者代表ip.

	#必填參數:

	#無.

	#可省略參數:

	#無

	#參考資料:

	#無.

	#備註:

	#無.

	*/

	public static function checkPostfixAttackLog(){

		#初始化要回傳的結果

		$result=array();

		#取得當前執行的函數名稱

		$result["function"]=__FUNCTION__;

		#透過 journalctl -a -e -f --unit=postfix.service | grep "authentication failed" 來取得認證失敗的 ip

		#函式說明:

		#呼叫shell執行系統命令,並取得回傳的內容.

		#回傳的結果:

		#$result["status"],執行是否正常,"true"代表正常,"false"代表不正常.

		#$result["error"],錯誤訊息陣列.

		#$result["function"],當前執行的函式名稱.

		#$result["argu"],使用的參數.

		#$result["cmd"],執行的指令內容.

		#$result["fullCmd"],如果參數 $conf["inBackGround"] 為 "true" 則會回傳該值.

		#$result["output"],爲執行完二元碼後的輸出陣列,若 $conf["inBackGround"] 為 "true",則為當下的輸出.

		#$result["tmpFileOutput"],儲存輸出的暫存檔案名稱,若 $conf["inBackGround"] 為 "true" 則會回傳該值.

		#$result["running"],是否還在執行.

		#$result["pid"],pid.

		#$result["statusCode"],執行結束後的代碼.

		#必填參數:

		#$conf["command"],字串,要執行的指令與.

		$conf["external::callShell"]["command"]="journalctl";

		#$conf["fileArgu"],字串,變數__FILE__的內容.

		$conf["external::callShell"]["fileArgu"]=__FILE__;

		#可省略參數:

		#$conf["argu"],陣列字串,指令搭配的參數,預設為空陣列.

		$conf["external::callShell"]["argu"]=array("-a","-e","--unit=postfix.service","|","grep","authentication failed","|","cat");

		#$conf["arguIsAddr"],陣列字串,指令搭配的哪些參數為路徑,為路徑的參數會進行轉換以便符合呼叫當前函式的位置,預設不指定,若有3個參數,其中第3個參數為路徑,則表示為array("false","false","true").

		#$conf["arguIsAddr"]=array();

		#$conf["pre"],陣列,要在本指令前執行的每個指令與參數.

		#$conf["pre"][$i]["cmd"],字串,要在本指令前執行的第$i+1個指令.

		#$conf["pre"][$i]["param"],陣列字串,要在本指令前執行的第$i+1個指令的參數.

		#$conf["enablePrintDescription"],字串,是否要印出$conf["printDescription"]的內容,"true"代表要,"false"代表不要,預設為"false".

		#$conf["enablePrintDescription"]="true";

		#$conf["printDescription"],字串,執行該外部程式前要印出來的的文字,預設為$conf["command"]的內容加上使用的$conf["argu"]參數.

		#$conf["printDescription"]="";

		#$conf["escapeshellarg"],字串,是否要啟用過濾參數,用了比較安全,但可能會出錯,"true"為啟用,"false"為不啟用,預設為"false".

		$conf["external::callShell"]["escapeshellarg"]="true";

		#$conf["username"],字串,要用什麼使用者來執行,預設為執行php的使用者,該參數不適用於apache環境.

		#$conf["username"]="";

		#$conf["password"],字串,root的使用者密碼,預設不使用密碼,該參數不適用於apache環境.

		#$conf["password"]="";

		#$conf["useScript"],字串,是否要啟用Linux的script指令來記錄輸出,"true"代表要,Fedora的selinux會擋住該操作;"false"代表不要,預設為"false".

		#$conf["useScript"]="";

		#$conf["logFilePath"],字串,當 $conf["useScript"] 為 "true" 時,輸出的內容要暫存到哪裡,預設為 "/tmp/.qbpwcf_tmp/external/callShell/".

		#$conf["logFilePath"]=".qbpwcf_tmp/external/callShell/";

		#$conf["inBackGround"],字串,是否要在背景執行,且不會等待程式執行結束再執行下一個指令,"true"代表是,"false"代表不要,預設為"false",如果$conf["command"]有用「;」區隔的多個指令將會出錯.

		#$conf["inBackGround"]="";

		#$conf["getErr"],字串,"true"代表將錯誤輸出變成標準輸出,反之"false"為不變動.

		#$conf["getErr"]="false";

		#備註:

		#不是所有指令都能用apache的身份執行,目前已知java,javac指令無法執行,使用root身份可能會被selinux阻擋.

		#參考資料：

		#exec=>http://php.net/manual/en/function.exec.php

		#escapeshellcmd=>http://php.net/manual/en/function.escapeshellcmd.php

		#escapeshellarg=>http://php.net/manual/en/function.escapeshellarg.php

		$callShell=external::callShell($conf["external::callShell"]);

		unset($conf["external::callShell"]);

		if($callShell["status"]==="false"){

			#如果有 statusCode

			if(isset($callShell["statusCode"])){

				#如果shell回傳不為0也不為1

				if($callShell["statusCode"]!==0 && $callShell["statusCode"]!==1){

					#設置執行失敗

					$result["status"]="false";

					#設置錯誤訊息

					$result["error"]=$callShell;

					#回傳結果

					return $result;

					}#if end

				}#if end

			#設置執行失敗

			$result["status"]="false";

			#設置錯誤訊息

			$result["error"]=$callShell;

			#回傳結果

			return $result;

			}#if end

		#儲存有問題的smtp IP

		$ips_smtp=array();

		#狀態碼不為1才執行

		if($callShell["statusCode"]!==1){

			#初始化記錄每行log的時間點

			$occurTime=array();

			#初始化儲存log行資訊的變數

			$oriLog=array();

			#根據每筆記錄

			foreach($callShell["output"] as $index => $line){

				#截取出的格式

				#Sep 28 07:54:16 qbpwcf.org postfix/smtpd[2766456]: warning: unknown[158.94.208.72]: SASL LOGIN authentication failed: (reason unavailable), sasl_username=1q2w

				#Sep 28 07:57:15 qbpwcf.org postfix/smtpd[2768441]: warning: unknown[213.209.157.249]: SASL LOGIN authentication failed: (reason unavailable), sasl_username=sybase

				#Sep 28 08:01:09 qbpwcf.org postfix/smtpd[2771112]: warning: unknown[213.209.157.165]: SASL LOGIN authentication failed: (reason unavailable), sasl_username=spam

				#Sep 28 08:01:51 qbpwcf.org postfix/smtpd[2771112]: warning: unknown[103.109.20.174]: SASL LOGIN authentication failed: (reason unavailable), sasl_username=print@qbpwcf.org

				#Sep 28 08:03:14 qbpwcf.org postfix/smtpd[2771112]: warning: unknown[62.60.130.148]: SASL LOGIN authentication failed: (reason unavailable), sasl_username=admin2

				#Sep 28 08:16:06 qbpwcf.org postfix/smtpd[2781279]: warning: unknown[103.109.20.174]: SASL LOGIN authentication failed: (reason unavailable), sasl_username=user@qbpwcf.org

				#Sep 28 08:16:44 qbpwcf.org postfix/smtpd[2781279]: warning: unknown[178.16.53.142]: SASL LOGIN authentication failed: (reason unavailable), sasl_username=hualing@qbpwcf.org

				#Sep 28 08:16:53 qbpwcf.org postfix/smtpd[2781279]: warning: unknown[178.16.53.142]: SASL LOGIN authentication failed: (reason unavailable), sasl_username=hualing@qbpwcf.org

				#Sep 28 08:17:06 qbpwcf.org postfix/smtpd[2781279]: warning: unknown[178.16.53.142]: SASL LOGIN authentication failed: (reason unavailable), sasl_username=hualing@qbpwcf.org

				#Sep 28 08:17:16 qbpwcf.org postfix/smtpd[2781279]: warning: unknown[178.16.53.142]: SASL LOGIN authentication failed: Connection lost to authentication server, sasl_username=hualing@qbpwcf.org

				#Sep 28 08:20:28 qbpwcf.org postfix/smtpd[2784204]: warning: unknown[158.94.208.72]: SASL LOGIN authentication failed: (reason unavailable), sasl_username=1q2w1q2w

				#Sep 28 08:23:09 qbpwcf.org postfix/smtpd[2785986]: warning: unknown[213.209.157.249]: SASL LOGIN authentication failed: (reason unavailable), sasl_username=informix

				#Sep 28 08:23:39 qbpwcf.org postfix/smtpd[2785986]: warning: unknown[62.60.130.148]: SASL LOGIN authentication failed: (reason unavailable), sasl_username=admin3

				#May 22 12:58:54 qbpwcf.org postfix/smtpd[2059124]: warning: unknown[80.94.95.242]: SASL LOGIN authentication failed: Invalid authentication mechanism: 'LOGIN', sasl_username=(unavailable)

				#May 22 12:58:59 qbpwcf.org postfix/smtpd[2059124]: warning: unknown[80.94.95.242]: SASL PLAIN authentication failed: (reason unavailable), sasl_username=nonexistent_user_26@qbpwcf.org

				#May 22 12:59:07 qbpwcf.org postfix/smtpd[2059124]: warning: unknown[80.94.95.242]: SASL PLAIN authentication failed: (reason unavailable), sasl_username=finance@qbpwcf.org#"${doNotNeed} postfix/smtpd[${pid}]${doNotNeed}[${ip}]"

				#用 " " 分割 以取得 月日時分秒

				#函式說明:

				#將固定格式的字串分開,並回傳分開的結果.

				#回傳結果:

				#$result["status"],執行是否正常,"true"代表正常,"false"代表不正常.

				#$result["error"],錯誤訊息陣列

				#$result["function"],當前執行的函數名稱.

				#$result["argu"],使用的參數.

				#$result["oriStr"],要分割的原始字串內容

				#$result["dataArray"],爲分割好字串的陣列內容,$result["dataArray"][$i]爲第($i+1)段的內容。

				#$result["dataCounts"],爲總共分成幾段

				#$result["found"],是否有在$conf["stringIn"]找到$conf["spiltSymbol"],"true"代表有找到,"false"代表沒有找到.

				#必填參數:

				#$conf["stringIn"],字串,要處理的字串.

				$conf["stringProcess::spiltString"]["stringIn"]=$line;

				#$conf["spiltSymbol"],字串,爲以哪個符號作爲分割.

				$conf["stringProcess::spiltString"]["spiltSymbol"]=" ";

				#可省略參數:

				#$conf["allowEmptyStr"],是否允許分割出來空字串,預設為"false"不允許;"true"代表允許.

				#$conf["allowEmptyStr"]="false";

				#參考資料:

				#無.

				#備註:

				#無.

				$spiltString=stringProcess::spiltString($conf["stringProcess::spiltString"]);

				unset($conf["stringProcess::spiltString"]);

				#如果分割失敗

				if($spiltString["status"]==="false"){

					#設置執行失敗

					$result["status"]="false";

					#設置錯誤訊息

					$result["error"]=$spiltString;

					#回傳結果

					return $result;

					}#if end

				#如果分割失敗

				if($spiltString["dataCounts"]<3){

					#設置執行失敗

					$result["status"]="false";

					#設置錯誤訊息

					$result["error"]=$spiltString;

					#回傳結果

					return $result;

					}#if end

				#儲存時間

				$occurTime[$index]=strtotime($spiltString["dataArray"][0]." ".$spiltString["dataArray"][1]." ".$spiltString["dataArray"][2]);

				#取得 ip

				#函式說明：

				#尋找字串中是否含有符合格式的內容,且回傳解析好的變數數值.

				#回傳結果:

				#$result["status"],執行是否正常,"true"代表正常,"false"代表不正常.

				#$reuslt["error"],執行不正常結束的錯訊息陣列.

				#$result["function"],當前執行的函式名稱.

				#$result["argu"],所使用的參數.

				#$result["found"],是否有找到符合格式的字串內容,"true"代表有找到,"false"代表沒有找到.

				#$result["content"],陣列,若為n個${*},則當found為"true"時,就會回傳n個元素.

				#$result["parsedVar"][varName],陣列,解析好的變數陣列,varName為${}中的內容.

				#必填參數:

				#$conf["input"],字串,要檢查的字串.

				$conf["search::findSpecifyStrFormat"]["input"]=$line;

				#$conf["format"],格式字串,要尋找的格式字串.格式為固定的字串("fixedStr format")與變數("${keyWordVarName}")組成.

				$conf["search::findSpecifyStrFormat"]["format"]="\${doNotNeed} postfix/smtpd[\${pid}]\${doNotNeed}[\${ip}]:[\${reason}]";

				#可省略參數:

				#$conf["varEqual"],陣列,變數對應的數值,null代表不指定,其他內容代表該變數解析出來必須要為該內容.

				#$conf["search::findSpecifyStrFormat"]["varEqual"]=array(null,"found");

				#$conf["varCon"],陣列,每個varEqual為null者,其是否有其他條件,預設為null代表無其他條件,條件的表示是用陣列的key與value來表達,例如:array("no_tail"=>" not"),就代表變數的結尾不能為" not",可以用的key有"head",代表開頭要有什麼;"no_head",代表不能為什麼開頭;"tail",代表要什麼結尾;"no_tail",代表不能什麼結尾.

				#$conf["varCon"]=array("no_tail"=>" not");

				#參考資料:

				#無.

				#備註:

				#無.

				$findSpecifyStrFormat=search::findSpecifyStrFormat($conf["search::findSpecifyStrFormat"]);

				unset($conf["search::findSpecifyStrFormat"]);

				#如果分割失敗

				if($findSpecifyStrFormat["status"]==="false"){

					#設置執行失敗

					$result["status"]="false";

					#設置錯誤訊息

					$result["error"]=$findSpecifyStrFormat;

					#回傳結果

					return $result;

					}#if end

				#如果沒有符合格式

				if($findSpecifyStrFormat["found"]==="false"){

					#剔除時間點 記錄

					array_pop($occurTime);

					#跳過該行

					continue;

					}#if end

				#取得解析好的ip

				$ip=$findSpecifyStrFormat["parsedVar"]["ip"];

				#儲存原始的log行內容

				$oriLog[$index]=$spiltMutiString["spiltString"][$index ]["oriStr"];

				#初始化暫存的陣列

				$tmp=array();

				#設置log、time

				$tmp["info"][]=array("log"=>$oriLog[$index],"time"=>$occurTime[$index]);

				#設置問題ip

				$tmp["ip"]=$ip;

				#取得所需的有問題的IP

				$ips_smtp[]=$tmp;

				}#foreach end

			}#if end

		#設置結果

		$result["content"]=$ips_smtp;

		#設置執行正常

		$result["status"]="true";

		#回傳結果

		return $result;

		}#function checkPostfixAttackLog end

	/*

	#函式說明:

	#檢查 named log 中疑似攻擊的記錄.

	#回傳結果:

	#$result["status"],字串,執行是否正常,"true"代表正常,"false"代表不正常.

	#$result["error"],錯誤訊息陣列.

	#$result["function"],字串,當前執行的函式名稱.

	#$result["content"],陣列,攻擊記錄資訊,每個元素為陣列key為"ip"者為攻擊者的ip;key為info者為其資訊陣列,其key為"log"者代表log的行內容;key為"time"者代表時間點;key為ip者代表ip.

	#必填參數:

	#無.

	#可省略參數:

	#無

	#參考資料:

	#無.

	#備註:

	#無.

	*/

	public static function checkNamedAttackLog(){

		#初始化要回傳的結果

		$result=array();

		#取得當前執行的函數名稱

		$result["function"]=__FUNCTION__;

		#透過 journalctl -a -e -f --unit=named.service | grep ' query ' 來取得 IP

		#函式說明:

		#呼叫shell執行系統命令,並取得回傳的內容.

		#回傳的結果:

		#$result["status"],執行是否正常,"true"代表正常,"false"代表不正常.

		#$result["error"],錯誤訊息陣列.

		#$result["function"],當前執行的函式名稱.

		#$result["argu"],使用的參數.

		#$result["cmd"],執行的指令內容.

		#$result["fullCmd"],如果參數 $conf["inBackGround"] 為 "true" 則會回傳該值.

		#$result["output"],爲執行完二元碼後的輸出陣列,若 $conf["inBackGround"] 為 "true",則為當下的輸出.

		#$result["tmpFileOutput"],儲存輸出的暫存檔案名稱,若 $conf["inBackGround"] 為 "true" 則會回傳該值.

		#$result["running"],是否還在執行.

		#$result["pid"],pid.

		#$result["statusCode"],執行結束後的代碼.

		#必填參數:

		#$conf["command"],字串,要執行的指令與.

		$conf["external::callShell"]["command"]="journalctl";

		#$conf["fileArgu"],字串,變數__FILE__的內容.

		$conf["external::callShell"]["fileArgu"]=__FILE__;

		#可省略參數:

		#$conf["argu"],陣列字串,指令搭配的參數,預設為空陣列.

		$conf["external::callShell"]["argu"]=array("-a","-e","--unit=named.service","|","grep"," query ","|","cat");

		#$conf["arguIsAddr"],陣列字串,指令搭配的哪些參數為路徑,為路徑的參數會進行轉換以便符合呼叫當前函式的位置,預設不指定,若有3個參數,其中第3個參數為路徑,則表示為array("false","false","true").

		#$conf["arguIsAddr"]=array();

		#$conf["pre"],陣列,要在本指令前執行的每個指令與參數.

		#$conf["pre"][$i]["cmd"],字串,要在本指令前執行的第$i+1個指令.

		#$conf["pre"][$i]["param"],陣列字串,要在本指令前執行的第$i+1個指令的參數.

		#$conf["enablePrintDescription"],字串,是否要印出$conf["printDescription"]的內容,"true"代表要,"false"代表不要,預設為"false".

		#$conf["enablePrintDescription"]="true";

		#$conf["printDescription"],字串,執行該外部程式前要印出來的的文字,預設為$conf["command"]的內容加上使用的$conf["argu"]參數.

		#$conf["printDescription"]="";

		#$conf["escapeshellarg"],字串,是否要啟用過濾參數,用了比較安全,但可能會出錯,"true"為啟用,"false"為不啟用,預設為"false".

		$conf["external::callShell"]["escapeshellarg"]="true";

		#$conf["username"],字串,要用什麼使用者來執行,預設為執行php的使用者,該參數不適用於apache環境.

		#$conf["username"]="";

		#$conf["password"],字串,root的使用者密碼,預設不使用密碼,該參數不適用於apache環境.

		#$conf["password"]="";

		#$conf["useScript"],字串,是否要啟用Linux的script指令來記錄輸出,"true"代表要,Fedora的selinux會擋住該操作;"false"代表不要,預設為"false".

		#$conf["useScript"]="";

		#$conf["logFilePath"],字串,當 $conf["useScript"] 為 "true" 時,輸出的內容要暫存到哪裡,預設為 "/tmp/.qbpwcf_tmp/external/callShell/".

		#$conf["logFilePath"]=".qbpwcf_tmp/external/callShell/";

		#$conf["inBackGround"],字串,是否要在背景執行,且不會等待程式執行結束再執行下一個指令,"true"代表是,"false"代表不要,預設為"false",如果$conf["command"]有用「;」區隔的多個指令將會出錯.

		#$conf["inBackGround"]="";

		#$conf["getErr"],字串,"true"代表將錯誤輸出變成標準輸出,反之"false"為不變動.

		#$conf["getErr"]="false";

		#備註:

		#不是所有指令都能用apache的身份執行,目前已知java,javac指令無法執行,使用root身份可能會被selinux阻擋.

		#參考資料：

		#exec=>http://php.net/manual/en/function.exec.php

		#escapeshellcmd=>http://php.net/manual/en/function.escapeshellcmd.php

		#escapeshellarg=>http://php.net/manual/en/function.escapeshellarg.php

		$callShell=external::callShell($conf["external::callShell"]);

		unset($conf["external::callShell"]);

		#如果執行失敗

		if($callShell["status"]==="false"){

			#如果有 statusCode

			if(isset($callShell["statusCode"])){

				#如果shell回傳不為0也不為1

				if($callShell["statusCode"]!==0 && $callShell["statusCode"]!==1){

					#設置執行失敗

					$result["status"]="false";

					#設置錯誤訊息

					$result["error"]=$callShell;

					#回傳結果

					return $result;

					}#if end

				}#if end

			#設置執行失敗

			$result["status"]="false";

			#設置錯誤訊息

			$result["error"]=$callShell;

			#回傳結果

			return $result;

			}#if end

		#記錄攻擊者的IP

		$attacker_ips_namd=array();

		#狀態碼不為1才執行

		if($callShell["statusCode"]!==1){

			#截取出的格式

			#Nov 24 20:55:15 localhost.localdomain named[99512]: client @0x7f7714041d10 191.7.219.100#6238 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:15 localhost.localdomain named[99512]: client @0x7f77180297c0 191.7.219.100#6238 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:15 localhost.localdomain named[99512]: client @0x7f7714041d10 191.7.219.100#6238 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:15 localhost.localdomain named[99512]: client @0x7f77180297c0 191.7.219.100#6238 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:15 localhost.localdomain named[99512]: client @0x7f7714041d10 191.7.219.100#6238 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:17 localhost.localdomain named[99512]: client @0x7f7714041d10 34.80.86.198#31220 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:17 localhost.localdomain named[99512]: client @0x7f7714041d10 34.80.86.198#31220 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:17 localhost.localdomain named[99512]: client @0x7f7714041d10 34.80.86.198#31220 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:17 localhost.localdomain named[99512]: client @0x7f77180297c0 34.80.86.198#31220 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:17 localhost.localdomain named[99512]: client @0x7f770c077bf0 34.80.86.198#31220 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:17 localhost.localdomain named[99512]: client @0x7f770c077bf0 191.7.219.100#8794 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:17 localhost.localdomain named[99512]: client @0x7f77180297c0 191.7.219.100#8794 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:17 localhost.localdomain named[99512]: client @0x7f770c077bf0 191.7.219.100#8794 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:17 localhost.localdomain named[99512]: client @0x7f7714041d10 191.7.219.100#8794 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:18 localhost.localdomain named[99512]: client @0x7f770c077bf0 5.29.224.190#10027 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:18 localhost.localdomain named[99512]: client @0x7f770c077bf0 5.29.224.190#10027 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:18 localhost.localdomain named[99512]: client @0x7f7714041d10 5.29.224.190#10027 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:18 localhost.localdomain named[99512]: client @0x7f77180297c0 5.29.224.190#10027 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:18 localhost.localdomain named[99512]: client @0x7f7714041d10 5.29.224.190#10027 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:18 localhost.localdomain named[99512]: client @0x7f77180297c0 5.29.224.190#10027 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:18 localhost.localdomain named[99512]: client @0x7f7714041d10 5.29.224.190#10027 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:22 localhost.localdomain named[99512]: client @0x7f7714041d10 123.253.64.16#54404 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:22 localhost.localdomain named[99512]: client @0x7f7714041d10 123.253.64.16#54404 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Nov 24 20:55:22 localhost.localdomain named[99512]: client @0x7f7714041d10 123.253.64.16#54404 (PEACECORPS.GOV): query (cache) 'PEACECORPS.GOV/ANY/IN' denied

			#Dec 14 18:51:45 localhost.localdomain named[1159]: client @0x7f3dc801bc80 61.220.11.198#40052 (dns.qbpwcf.org): query 'dns.qbpwcf.org/AAAA/IN' denied

			#Dec 14 18:51:45 localhost.localdomain named[1159]: client @0x7f3dc8003700 61.220.11.198#48628 (aesopower-cms-sock-latest.qbpwcf.org): query 'aesopower-cms-sock-latest.qbpwcf.org/A/IN' denied

			#Dec 14 18:51:45 localhost.localdomain named[1159]: client @0x7f3dc8003700 61.220.11.198#52460 (dns.qbpwcf.org): query 'dns.qbpwcf.org/AAAA/IN' denied

			#Dec 14 18:51:45 localhost.localdomain named[1159]: client @0x7f3dc801bc80 61.220.11.198#60457 (aesopower-cms-sock-latest.qbpwcf.org): query 'aesopower-cms-sock-latest.qbpwcf.org/A/IN' denied

			#Dec 14 18:51:45 localhost.localdomain named[1159]: client @0x7f3dc801bc80 61.220.11.198#10213 (dns.qbpwcf.org): query 'dns.qbpwcf.org/AAAA/IN' denied

			#Dec 14 18:51:45 localhost.localdomain named[1159]: client @0x7f3dc801bc80 61.220.11.198#44377 (aesopower-cms-sock-latest.qbpwcf.org): query 'aesopower-cms-sock-latest.qbpwcf.org/A/IN' denied

			#Dec 14 18:51:45 localhost.localdomain named[1159]: client @0x7f3dc8003700 61.220.11.198#4481 (dns.qbpwcf.org): query 'dns.qbpwcf.org/AAAA/IN' denied

			#Dec 14 18:51:45 localhost.localdomain named[1159]: client @0x7f3dc8003700 61.220.11.198#53061 (aesopower-cms-sock-latest.qbpwcf.org): query 'aesopower-cms-sock-latest.qbpwcf.org/A/IN' denied

			#Dec 14 18:51:45 localhost.localdomain named[1159]: client @0x7f3dc8003700 61.220.11.198#31654 (dns.qbpwcf.org): query 'dns.qbpwcf.org/AAAA/IN' denied

			#Dec 14 18:51:45 localhost.localdomain named[1159]: client @0x7f3dc802a410 61.220.11.198#57701 (aesopower-cms-sock-latest.qbpwcf.org): query 'aesopower-cms-sock-latest.qbpwcf.org/A/IN' denied

			#Sep 29 03:37:20 dns.qbpwcf.org named[94]: client @0x7f60e00734e8 61.166.210.84#49954 (twitter.com): query failed (REFUSED) for twitter.com/IN/AAAA at ../../../lib/ns/query.c:5691

			#Sep 29 03:37:20 dns.qbpwcf.org named[94]: client @0x7f60e006f428 61.166.210.84#49954 (twitter.com): query failed (REFUSED) for twitter.com/IN/A at ../../../lib/ns/query.c:5691

			#Sep 29 03:37:21 dns.qbpwcf.org named[94]: client @0x7f60e80889a8 61.166.210.84#50057 (astrill4u.com): query failed (REFUSED) for astrill4u.com/IN/AAAA at ../../../lib/ns/query.c:5691

			#Sep 29 03:37:21 dns.qbpwcf.org named[94]: client @0x7f60e805ed08 61.166.210.84#50057 (astrill4u.com): query failed (REFUSED) for astrill4u.com/IN/A at ../../../lib/ns/query.c:5691

			#Sep 29 03:46:33 dns.qbpwcf.org named[94]: client @0x7f60d402b618 165.22.223.147#16200 (tool.lu): query failed (REFUSED) for tool.lu/IN/A at ../../../lib/ns/query.c:5691

			#Sep 29 03:49:16 dns.qbpwcf.org named[94]: client @0x7f60e0060a28 76.20.229.207#80 (sl): query failed (REFUSED) for sl/IN/ANY at ../../../lib/ns/query.c:5691

			#Sep 29 04:19:10 dns.qbpwcf.org named[94]: client @0x7f60e0060a28 76.20.229.207#80 (sl): query failed (REFUSED) for sl/IN/ANY at ../../../lib/ns/query.c:5691

			#Sep 29 04:20:28 dns.qbpwcf.org named[94]: client @0x7f60e0060a28 76.20.229.207#80 (sl): query failed (REFUSED) for sl/IN/ANY at ../../../lib/ns/query.c:5691

			#Sep 29 04:24:20 dns.qbpwcf.org named[94]: client @0x7f60e0060a28 76.20.229.207#80 (sl): query failed (REFUSED) for sl/IN/ANY at ../../../lib/ns/query.c:5691

			#Sep 29 04:24:59 dns.qbpwcf.org named[94]: client @0x7f60e0060a28 76.20.229.207#80 (sl): query failed (REFUSED) for sl/IN/ANY at ../../../lib/ns/query.c:5691

			#Sep 29 04:40:48 dns.qbpwcf.org named[94]: client @0x7f60f9377888 174.96.56.126#80 (sl): query failed (REFUSED) for sl/IN/ANY at ../../../lib/ns/query.c:5691

			#${month} ${day} ${hour}:${min}:${sec} ${doNotNeed} client ${doNotNeed} ${ip}#${remoteRevPort} (${$queryTarget}): ${doNotNeed}

			#函式說明:

			#檢查多個字串中的每個字串是否有多個關鍵字

			#回傳結果:

			#$result["status"],整體來說，執行是否成功，"true"代表執行成功，"false"代表執行失敗。

			#$result["function"],當前執行的函數名稱.

			#$result["error"],錯誤訊息.

			#$result["argu"],使用的參數.

			#$result["foundedTrueKey"],結果為"true"的被搜尋元素key陣列,與其數值內容.

			#$result["foundedKeyWords"],找到的關鍵字陣列.

			#$result["foundedFalseKey"],結果為"false"的被搜尋元素key陣列,與其數值內容.

			#$result["foundedTrueKeyWords"],二維陣列,各個字串有找到的關鍵字陣列.

			#$result["foundedAll"],是否每個關鍵字都有找到,"true"代表每個都有找到,"false"代表沒有每個都找到.

			#$result["keyWordsIncludeStr"],陣列,儲存有找到關鍵字的來源的索引(sourceIndex)與其內容(sourceVal)跟找到的關鍵字項目陣列(KeyWords).

			#必填參數:

			#$conf["keyWords"],字串陣列,想要搜尋的關鍵字.

			$conf["search::findManyKeyWordsFromManyString"]["keyWords"]=array("(REFUSED)"," denied");

			#$conf["stringArray"],字串陣列,要被搜尋的字串內容陣列.

			$conf["search::findManyKeyWordsFromManyString"]["stringArray"]=$callShell["output"];

			#可省略參數:

			#$conf["completeEqual"],字串,是否內容要完全符合，不能多出任何不符合的內容，預設為"false"不需要完全符合.

			#$conf["completeEqual"]="true";

			#參考資料:

			#無.

			#備註:

			#無.

			$findManyKeyWordsFromManyString=search::findManyKeyWordsFromManyString($conf["search::findManyKeyWordsFromManyString"]);

			unset($conf["search::findManyKeyWordsFromManyString"]);

			#如果執行失敗

			if($findManyKeyWordsFromManyString["status"]==="false"){

				#設置執行失敗

				$result["status"]="false";

				#設置錯誤訊息

				$result["error"]=$findManyKeyWordsFromManyString;

				#回傳結果

				return $result;

				}#if end

			#初始化儲存原始log行內容

			#$oriLog=array();

			#儲存疑似有問題的IP

			$ips_named=array();

			#初始化儲存確定有問題的ip

			$attacker_ips_namd=array();

			#針對每個符合的行

			foreach($findManyKeyWordsFromManyString["foundedTrueKey"] as $oriLog){

				#初始化儲存資訊的暫存陣列

				$info=array();

				#解析時間與來源ip

				#函式說明：

				#尋找字串中是否含有符合格式的內容,且回傳解析好的變數數值.

				#回傳結果:

				#$result["status"],執行是否正常,"true"代表正常,"false"代表不正常.

				#$reuslt["error"],執行不正常結束的錯訊息陣列.

				#$result["function"],當前執行的函式名稱.

				#$result["argu"],所使用的參數.

				#$result["found"],是否有找到符合格式的字串內容,"true"代表有找到,"false"代表沒有找到.

				#$result["content"],陣列,若為n個${*},則當found為"true"時,就會回傳n個元素.

				#$result["parsedVar"][varName],陣列,解析好的變數陣列,varName為${}中的內容.

				#必填參數:

				#$conf["input"],字串,要檢查的字串.

				$conf["search::findSpecifyStrFormat"]["input"]=$oriLog;

				#$conf["format"],格式字串,要尋找的格式字串.格式為固定的字串("fixedStr format")與變數("${keyWordVarName}")組成.

				$conf["search::findSpecifyStrFormat"]["format"]="\${month} \${day} \${hour}:\${min}:\${sec} \${doNotNeed} client \${doNotNeed} \${ip}#\${remoteRevPort} (\${queryTarget}): \${doNotNeed}";

				#可省略參數:

				#$conf["varEqual"],陣列,變數對應的數值,null代表不指定,其他內容代表該變數解析出來必須要為該內容.

				#$conf["search::findSpecifyStrFormat"]["varEqual"]=array(null,"found");

				#$conf["varCon"],陣列,每個varEqual為null者,其是否有其他條件,預設為null代表無其他條件,條件的表示是用陣列的key與value來表達,例如:array("no_tail"=>" not"),就代表變數的結尾不能為" not",可以用的key有"head",代表開頭要有什麼;"no_head",代表不能為什麼開頭;"tail",代表要什麼結尾;"no_tail",代表不能什麼結尾.

				#$conf["varCon"]=array("no_tail"=>" not");

				#參考資料:

				#無.

				#備註:

				#無.

				$findSpecifyStrFormat=search::findSpecifyStrFormat($conf["search::findSpecifyStrFormat"]);

				unset($conf["search::findSpecifyStrFormat"]);