<#
  서버스캔 설치형 점검 (윈도우 · IIS) — https://serverscan.co.kr/cli

  * 읽기 전용입니다. 파일 · 설정 · 레지스트리를 고치거나 지우지 않고, 아무것도 설치하지 않습니다.
  * 네트워크로 아무것도 보내지 않습니다. 결과는 JSON 파일 하나로만 남습니다.
  * 결과에는 파일 "내용"이 들어가지 않습니다. 경로 · 건수 · 설정 이름 · 소프트웨어 버전만 담깁니다.
  * 결과 파일을 직접 열어 확인한 뒤 https://serverscan.co.kr/cli 에 올리면 리포트로 볼 수 있습니다.

  사용법(관리자 권한 PowerShell):
    Unblock-File .\serverscan.ps1
    powershell -ExecutionPolicy Bypass -File .\serverscan.ps1 [-WebRoot C:\inetpub\wwwroot] [-Out result.json]
  서명되지 않은 스크립트라 실행 정책 · 백신이 경고할 수 있습니다. 받은 파일의 SHA-256 을 사이트에 적힌 값과 비교해 주세요.
#>
param([string]$WebRoot = '', [string]$Out = '', [string]$AccessLog = '')
$ErrorActionPreference = 'SilentlyContinue'
$VERSION = '1.0'
$MaxFiles = 20000
if (-not $Out) { $Out = "serverscan-$($env:COMPUTERNAME)-$(Get-Date -Format 'yyyyMMdd-HHmmss').json" }
$Started = (Get-Date).ToString('o')
$Findings = New-Object System.Collections.ArrayList
$Checks = New-Object System.Collections.ArrayList
$Tech = New-Object System.Collections.ArrayList
$script:NF = 0; $script:NH = 0

function Add-Finding($id, $sev, $title, $evidence, $rec) {
  [void]$Findings.Add([ordered]@{ check_id = $id; severity = $sev; title = $title; evidence = [string]$evidence; recommendation = $rec })
  $script:NF++; if ($sev -eq 'high') { $script:NH++ }
}
function Begin-Check($label) { $script:NF = 0; $script:NH = 0; Write-Host -NoNewline "  · $label … " }
function End-Check($id, $name, $cat, $summary) {
  $st = 'pass'; if ($script:NF -gt 0) { $st = 'warn' }; if ($script:NH -gt 0) { $st = 'fail' }
  [void]$Checks.Add([ordered]@{ check_id = $id; name = $name; category = $cat; status = $st; summary = $summary }); Write-Host $summary
}
function Skip-Check($id, $name, $cat, $status, $summary) { [void]$Checks.Add([ordered]@{ check_id = $id; name = $name; category = $cat; status = $status; summary = $summary }); Write-Host $summary }
function Add-Tech($name, $ver) { if ($ver) { [void]$Tech.Add([ordered]@{ name = $name; version = [string]$ver }) } }
function Rel($p) { if ($WebRoot -and $p.StartsWith($WebRoot, [StringComparison]::OrdinalIgnoreCase)) { return $p.Substring($WebRoot.Length) } return $p }
function List($arr, $n = 8) { $a = @($arr); $s = ($a | Select-Object -First $n | ForEach-Object { Rel $_ }) -join "`n"; if ($a.Count -gt $n) { $s += "`n외 $($a.Count - $n)개" }; return $s }
function Read-Head($path, $max = 2MB) {
  try { $fi = Get-Item -LiteralPath $path; if ($fi.Length -gt $max) { return $null }; return [IO.File]::ReadAllText($path) } catch { return $null }
}

Write-Host "서버스캔 설치형 점검(윈도우) $VERSION — 읽기 전용, 네트워크 전송 없음"
$isAdmin = ([Security.Principal.WindowsPrincipal][Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)
if (-not $isAdmin) { Write-Host "  (관리자 권한이 아니라 IIS 설정 · 이벤트 로그 일부를 건너뛸 수 있어요)" }

# ── IIS 사이트 · 웹 루트 ──
$AppHost = "$env:windir\System32\inetsrv\config\applicationHost.config"
$Sites = @()
if (Test-Path $AppHost) {
  try {
    [xml]$ah = Get-Content -LiteralPath $AppHost -Raw
    foreach ($s in $ah.configuration.'system.applicationHost'.sites.site) {
      foreach ($app in $s.application) { foreach ($vd in $app.virtualDirectory) { if ($vd.path -eq '/') {
        $pp = [Environment]::ExpandEnvironmentVariables([string]$vd.physicalPath); $Sites += [pscustomobject]@{ Name = [string]$s.name; Path = $pp; App = [string]$app.path } } } }
    }
  } catch {}
}
if (-not $WebRoot) { $first = $Sites | Where-Object { $_.App -eq '/' -and (Test-Path $_.Path) } | Select-Object -First 1; if ($first) { $WebRoot = $first.Path } elseif (Test-Path 'C:\inetpub\wwwroot') { $WebRoot = 'C:\inetpub\wwwroot' } }
$WebRoot = ($WebRoot -replace '[\\/]+$', '')
Write-Host "  웹 루트: $(if ($WebRoot) { $WebRoot } else { '(찾지 못함)' }) · IIS 사이트 $(@($Sites).Count)개"

# ── 1. 설치 프로그램 · 버전(CVE 대조용 — 이름과 버전만) ──
$iis = (Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\InetStp').VersionString; if ($iis -match '(\d+\.\d+)') { Add-Tech 'Microsoft-IIS' $Matches[1] }
$php = (& php -r 'echo PHP_VERSION;' 2>$null); if ($php -match '^\d+\.\d+\.\d+') { Add-Tech 'PHP' $Matches[0] }
$net = (Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\NET Framework Setup\NDP\v4\Full').Version; if ($net) { Add-Tech '.NET Framework' $net }
$prog = @(Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*', 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*' | Where-Object { $_.DisplayName })
foreach ($p in $prog) {
  $n = [string]$p.DisplayName; $v = [string]$p.DisplayVersion
  if ($n -match '^MySQL Server') { Add-Tech 'MySQL' ($v -replace '^(\d+\.\d+\.\d+).*', '$1') }
  elseif ($n -match '^MariaDB') { Add-Tech 'MariaDB' ($v -replace '^(\d+\.\d+\.\d+).*', '$1') }
  elseif ($n -match 'Apache Tomcat') { Add-Tech 'Tomcat' ($v -replace '^(\d+\.\d+\.\d+).*', '$1') }
  elseif ($n -match '^OpenSSL') { Add-Tech 'OpenSSL' ($v -replace '^(\d+\.\d+\.\d+[a-z]?).*', '$1') }
}

# ── 2. 웹서버 설정(IIS · web.config · php.ini) ──
Begin-Check '웹서버 설정'
$cfgFiles = @()
if (Test-Path $AppHost) {
  $raw = Get-Content -LiteralPath $AppHost -Raw
  if ($raw -match '<directoryBrowse[^>]*enabled="true"') { Add-Finding 'cli_config' 'medium' '디렉터리 목록 보기가 켜져 있음(IIS)' "$AppHost : directoryBrowse enabled=true" 'IIS 관리자 → 디렉터리 검색 → 사용 안 함. 폴더 안 파일 이름이 그대로 보여요.' }
  if ($raw -match '<httpErrors[^>]*errorMode="Detailed"') { Add-Finding 'cli_config' 'medium' '상세 오류 화면을 외부에 보여 줌(IIS)' "$AppHost : httpErrors errorMode=Detailed" 'errorMode 를 DetailedLocalOnly 또는 Custom 으로 바꾸세요. 경로 · 코드가 노출돼요.' }
  if ($raw -notmatch '<requestFiltering') { Add-Finding 'cli_config' 'low' '요청 필터링 설정이 없음(IIS)' $AppHost '요청 필터링에서 위험한 확장자 · 숨은 세그먼트(.git, bin, App_Data 등)를 막으세요.' }
}
foreach ($s in $Sites) { $wc = Join-Path $s.Path 'web.config'; if (Test-Path $wc) { $cfgFiles += $wc } }
if ($WebRoot) { $cfgFiles += @(Get-ChildItem -LiteralPath $WebRoot -Recurse -Filter 'web.config' -File -Depth 4 | Select-Object -First 200 | ForEach-Object { $_.FullName }) }
$cfgFiles = @($cfgFiles | Sort-Object -Unique)
$dbg = @(); $ce = @(); $db = @(); $he = @()
foreach ($wc in $cfgFiles) {
  $t = Read-Head $wc 512KB; if (-not $t) { continue }
  if ($t -match '<compilation[^>]*debug="true"') { $dbg += $wc }
  if ($t -match '<customErrors[^>]*mode="Off"') { $ce += $wc }
  if ($t -match '<directoryBrowse[^>]*enabled="true"') { $db += $wc }
  if ($t -match '<httpErrors[^>]*errorMode="Detailed"') { $he += $wc }
}
if ($dbg) { Add-Finding 'cli_config' 'medium' "ASP.NET 디버그 모드가 켜진 web.config $($dbg.Count)개" (List $dbg) 'compilation debug="false" 로 바꾸세요. 성능 저하와 내부 정보 노출이 생겨요.' }
if ($ce) { Add-Finding 'cli_config' 'medium' "ASP.NET 상세 오류를 그대로 보여 주는 web.config $($ce.Count)개" (List $ce) 'customErrors mode="RemoteOnly" 또는 "On" 으로 바꾸세요.' }
if ($db) { Add-Finding 'cli_config' 'medium' "디렉터리 목록 보기를 켠 web.config $($db.Count)개" (List $db) 'directoryBrowse enabled="false" 로 바꾸세요.' }
if ($he) { Add-Finding 'cli_config' 'medium' "상세 오류 화면을 켠 web.config $($he.Count)개" (List $he) 'httpErrors errorMode="DetailedLocalOnly" 로 바꾸세요.' }
$ini = (& php -r 'echo php_ini_loaded_file();' 2>$null)
if ($ini -and (Test-Path $ini)) {
  $t = Get-Content -LiteralPath $ini -Raw
  if ($t -match '(?m)^\s*display_errors\s*=\s*On') { Add-Finding 'cli_config' 'medium' 'PHP 오류가 화면에 그대로 나옴' "$ini : display_errors = On" 'display_errors = Off, log_errors = On 으로 두세요.' }
  if ($t -match '(?m)^\s*allow_url_include\s*=\s*On') { Add-Finding 'cli_config' 'high' 'PHP 원격 파일 포함 허용' "$ini : allow_url_include = On" 'allow_url_include = Off 로 바꾸세요.' }
  if ($t -match '(?m)^\s*expose_php\s*=\s*On') { Add-Finding 'cli_config' 'low' 'PHP 버전을 응답 헤더에 노출' "$ini : expose_php = On" 'expose_php = Off 로 바꾸세요.' }
}
End-Check 'cli_config' '설정 파일 위험 옵션' '서버 설정' "IIS · web.config $($cfgFiles.Count)개 · PHP 설정 확인 (위험 옵션 $($script:NF)건)"

# ── 3. 웹셸 · 업로드 폴더 실행 ──
$Exec = @(); $NRecent = 0
if ($WebRoot -and (Test-Path $WebRoot)) {
  $Exec = @(Get-ChildItem -LiteralPath $WebRoot -Recurse -File -Include *.asp, *.aspx, *.ashx, *.asmx, *.cer, *.asa, *.php, *.phtml, *.jsp, *.cshtml | Where-Object { $_.Length -lt 3MB } | Select-Object -First $MaxFiles)
  $week = (Get-Date).AddDays(-7); $NRecent = @($Exec | Where-Object { $_.LastWriteTime -gt $week }).Count
  Begin-Check '웹셸 패턴'
  $sig = 'eval\s*\(\s*Request|Execute\s*\(\s*Request|ExecuteGlobal\s*\(\s*Request|eval\s*\(\s*Request\.Item|WScript\.Shell|Scripting\.FileSystemObject.{0,80}Request|ProcessStartInfo.{0,200}Request|Process\.Start\s*\(\s*Request|eval\s*\(\s*(base64_decode|gzinflate|str_rot13|\$_(POST|GET|REQUEST|COOKIE))|assert\s*\(\s*\$_(POST|GET|REQUEST)|(system|shell_exec|passthru)\s*\(\s*\$_(GET|POST|REQUEST)|FilesMan|b374k|c99shell|r57shell|Behinder|Godzilla'
  $shell = @(); foreach ($f in $Exec) { $t = Read-Head $f.FullName; if ($t -and $t -match $sig) { $shell += $f.FullName } }
  if ($shell) { Add-Finding 'webshell_pattern' 'high' "웹셸로 의심되는 파일 $($shell.Count)개" (List $shell) "파일을 바로 지우지 말고 먼저 다른 곳에 복사해 보관한 뒤(원인 분석용) 웹에서 접근을 막으세요. 예) Move-Item '경로' 'D:\quarantine\' (실행은 직접 판단). 생성 시각 전후 IIS 로그와 관리자 비밀번호를 점검하세요." }
  $up = @($Exec | Where-Object { (Rel $_.FullName) -match '[\\/](upload|uploads|data|files|images|img|attach|editor)[\\/]' } | ForEach-Object { $_.FullName })
  if ($up) { Add-Finding 'webshell_pattern' 'medium' "업로드 폴더 안의 실행 파일 $($up.Count)개" (List $up) '업로드 폴더의 처리기 매핑에서 스크립트 실행을 끄세요: 해당 폴더 web.config 에 <handlers accessPolicy="Read" /> 를 넣으면 ASP · ASPX · PHP 가 실행되지 않아요.' }
  $upDirs = @(Get-ChildItem -LiteralPath $WebRoot -Recurse -Directory -Depth 4 | Where-Object { $_.Name -match '^(upload|uploads|files|attach|data)$' } | Select-Object -First 30)
  $openUp = @(); foreach ($d in $upDirs) { $wc = Join-Path $d.FullName 'web.config'; $t = $null; if (Test-Path $wc) { $t = Read-Head $wc 256KB }; if (-not $t -or $t -notmatch 'accessPolicy="(Read|None)"') { $openUp += $d.FullName } }
  if ($openUp) { Add-Finding 'webshell_pattern' 'medium' "스크립트 실행이 막히지 않은 업로드 폴더 $($openUp.Count)개" (List $openUp) '폴더마다 web.config 에 <system.webServer><handlers accessPolicy="Read" /></system.webServer> 를 두세요.' }
  End-Check 'webshell_pattern' '웹셸 · 악성 파일' '침해 흔적' "실행 파일 $($Exec.Count)개 검사 · 최근 7일 변경 $($NRecent)개 · 업로드 폴더 $($upDirs.Count)개"
} else { Skip-Check 'webshell_pattern' '웹셸 · 악성 파일' '침해 흔적' 'error' '웹 루트를 찾지 못해 건너뛰었어요(-WebRoot 로 경로를 주세요)' }

# ── 4. 코드 취약점(규칙 기반) ──
if ($Exec.Count) {
  Begin-Check '코드 취약점'
  $rules = @(
    @('("\s*(SELECT|UPDATE|DELETE|INSERT)[^"]*"\s*&\s*Request)|((SELECT|UPDATE|DELETE|INSERT)[^;\n]*\+\s*Request(\.QueryString|\.Form)?\s*[\[(])', 'high', 'SQL 에 입력값을 그대로 붙이는 ASP · ASP.NET 코드', '입력값을 쿼리 문자열에 붙이지 말고 매개변수 쿼리(ADODB.Command Parameters, SqlParameter)로 바꾸세요.'),
    @('(mysql_query|mysqli_query|->query)\s*\([^;]*\$_(GET|POST|REQUEST|COOKIE)', 'high', 'SQL 에 입력값을 그대로 넣는 PHP 코드', '준비된 문장(prepared statement)으로 바꾸세요.'),
    @('(Server\.Execute|Server\.Transfer|<!--\s*#include\s+file\s*=\s*")[^\n]*Request|(include|require)(_once)?[\s(]*\$_(GET|POST|REQUEST)', 'high', '입력값으로 파일을 불러오는 코드', '불러올 파일 이름은 허용 목록에서만 고르게 바꾸세요.'),
    @('Response\.Write\s*\(?\s*Request(\.QueryString|\.Form)?\s*[\[(]|(echo|print)\s+\$_(GET|POST|REQUEST)', 'medium', '입력값을 그대로 화면에 출력하는 코드', '출력 전에 Server.HTMLEncode / HttpUtility.HtmlEncode / htmlspecialchars 로 감싸세요.')
  )
  $n = 0
  foreach ($r in $rules) {
    $hit = @(); foreach ($f in $Exec) { $t = Read-Head $f.FullName; if ($t -and $t -match $r[0]) { $hit += $f.FullName } }
    if ($hit) { Add-Finding 'code_vuln' $r[1] "$($r[2]) $($hit.Count)곳" (List $hit) $r[3]; $n++ }
  }
  End-Check 'code_vuln' '코드 취약점' '코드' "SQL 주입 · 파일 포함 · XSS 패턴 검사 ($($n)종)"
} else { Skip-Check 'code_vuln' '코드 취약점' '코드' 'error' '검사할 실행 파일이 없거나 웹 루트를 찾지 못했어요' }

# ── 5. 파일 권한(NTFS) · 민감 파일 ──
Begin-Check '파일 권한'
if ($WebRoot -and (Test-Path $WebRoot)) {
  $wide = @(); $risky = 'Everyone|BUILTIN\\Users|Authenticated Users|IIS_IUSRS|IUSR|\\Users$'
  $dirs = @((Get-Item -LiteralPath $WebRoot)) + @(Get-ChildItem -LiteralPath $WebRoot -Recurse -Directory -Depth 2 | Select-Object -First 300)
  foreach ($d in $dirs) {
    $acl = Get-Acl -LiteralPath $d.FullName
    foreach ($a in $acl.Access) { if ($a.AccessControlType -eq 'Allow' -and ([string]$a.IdentityReference) -match $risky -and ($a.FileSystemRights -band ([Security.AccessControl.FileSystemRights]'Write, Modify, FullControl'))) { $wide += "$($d.FullName) ← $($a.IdentityReference) $($a.FileSystemRights)"; break } }
  }
  if ($wide) { Add-Finding 'file_permission' 'medium' "웹 계정 · 모든 사용자가 쓸 수 있는 폴더 $($wide.Count)개" (List $wide) '업로드 폴더만 쓰기를 허용하고(실행은 막고), 나머지 폴더는 IIS_IUSRS · Users 에 읽기 권한만 남기세요.' }
  $sens = @(Get-ChildItem -LiteralPath $WebRoot -Recurse -Force -Depth 4 -Include .env, .git, *.sql, *.bak, *.old, web.config.bak, *.pfx, *.key, *.pem | Select-Object -First 50 | ForEach-Object { $_.FullName })
  if ($sens) { Add-Finding 'file_permission' 'high' "웹 루트 안의 민감 파일 $($sens.Count)개" (List $sens) '비밀 · 백업 · 인증서 파일은 웹 루트 밖으로 옮기세요. 웹에서 열렸다면 안의 비밀번호와 키를 모두 바꾸세요.' }
  End-Check 'file_permission' '파일 권한 · 민감 파일' '파일' "NTFS 권한 폴더 $($dirs.Count)개 · 민감 파일 확인 ($($script:NF)건)"
} else { Skip-Check 'file_permission' '파일 권한 · 민감 파일' '파일' 'error' '웹 루트를 찾지 못해 건너뛰었어요' }

# ── 6. 계정 ──
Begin-Check '계정'
$admins = @(Get-LocalGroupMember -SID 'S-1-5-32-544' | ForEach-Object { [string]$_.Name })
$users = @(Get-LocalUser)
if (-not $users.Count) { Skip-Check 'accounts' '계정 · 인증 설정' '계정' 'info' '로컬 계정 정보를 읽지 못했어요(관리자 권한 PowerShell 에서 실행하면 확인)' } else {
$guest = $users | Where-Object { $_.SID -like '*-501' -and $_.Enabled }
if ($guest) { Add-Finding 'accounts' 'high' 'Guest(게스트) 계정이 켜져 있음' $guest.Name 'Disable-LocalUser -Name Guest 로 끄세요.' }
$adm = $users | Where-Object { $_.SID -like '*-500' -and $_.Enabled -and $_.Name -eq 'Administrator' }
if ($adm) { Add-Finding 'accounts' 'low' '기본 이름 그대로인 Administrator 계정이 켜져 있음' 'Administrator' '이름을 바꾸거나 끄고, 개인별 관리자 계정을 쓰세요(무차별 대입 표적).' }
$nopw = @($users | Where-Object { $_.Enabled -and -not $_.PasswordRequired } | ForEach-Object { $_.Name })
if ($nopw) { Add-Finding 'accounts' 'high' '비밀번호 없이 로그인할 수 있는 계정' ($nopw -join ', ') '비밀번호를 설정하거나 계정을 끄세요.' }
if ($admins.Count -gt 3) { Add-Finding 'accounts' 'low' "관리자 그룹 구성원이 많음($($admins.Count)명)" ($admins -join "`n") '꼭 필요한 계정만 Administrators 에 남기세요.' }
End-Check 'accounts' '계정 · 인증 설정' '계정' "켜진 로컬 계정 $(@($users | Where-Object Enabled).Count)개 · 관리자 그룹 $($admins.Count)명" }

# ── 7. 혼재 WAS(톰캣 등) · 열린 포트 ──
Begin-Check '톰캣 · 포트'
$svc = @(Get-Service | Where-Object { $_.Name -match 'tomcat|jboss|wildfly|jetty|weblogic' -or $_.DisplayName -match 'Tomcat|JBoss|WildFly|WebLogic' } | ForEach-Object { "$($_.Name) ($($_.Status))" })
$tcp = @(Get-NetTCPConnection -State Listen); $portsRead = $tcp.Count -gt 0
$listen = @($tcp | Where-Object { $_.LocalAddress -notin @('127.0.0.1', '::1') } | Select-Object -ExpandProperty LocalPort -Unique)
if ($svc) { Add-Finding 'was_mixed' 'low' "IIS 와 함께 도는 WAS 서비스 $($svc.Count)개" ($svc -join "`n") '쓰지 않는 WAS 는 끄고, 쓰면 버전을 최신으로 유지하세요. 관리 화면(/manager)은 외부에서 막으세요.' }
if ($listen -contains 8009) { Add-Finding 'was_mixed' 'high' '톰캣 AJP 포트(8009)가 외부 주소에서 열려 있음' '0.0.0.0:8009' 'server.xml 에서 AJP 커넥터를 끄거나 address="127.0.0.1" + secret 을 설정하세요(Ghostcat 취약점).' }
if ($listen -contains 8080) { Add-Finding 'was_mixed' 'low' 'WAS 기본 포트(8080)가 외부 주소에서 열려 있음' '0.0.0.0:8080' '외부에 필요 없으면 방화벽에서 막거나 127.0.0.1 에만 열어 두세요.' }
foreach ($p in @(@(3306, 'MySQL'), @(1433, 'MS SQL'), @(3389, '원격 데스크톱'), @(5985, 'WinRM'), @(21, 'FTP'))) { if ($listen -contains $p[0]) { Add-Finding 'was_mixed' 'medium' "$($p[1]) 포트($($p[0]))가 외부 주소에서 열려 있음" "listen $($p[0])" '방화벽 규칙으로 접속 가능한 IP 를 사내 · VPN 으로 제한하세요.' } }
if (-not $portsRead -and -not $script:NF) { Skip-Check 'was_mixed' '혼재 WAS · 열린 포트' '네트워크' 'info' '포트 정보를 읽지 못했어요(Windows Server 2012 이상 · 관리자 권한에서 확인)' }
else { End-Check 'was_mixed' '혼재 WAS · 열린 포트' '네트워크' "WAS 서비스 $($svc.Count)개 · 외부에서 듣는 포트 $($listen.Count)개" }

# ── 8. 로그(IIS · 이벤트) ──
Begin-Check '로그'
$logs = @(); if ($AccessLog -and (Test-Path $AccessLog)) { $logs += Get-Item -LiteralPath $AccessLog }
$logs += @(Get-ChildItem 'C:\inetpub\logs\LogFiles' -Recurse -Filter *.log -File | Sort-Object LastWriteTime -Descending | Select-Object -First 7)
$natk = 0; $wsh = @()
if ($logs) {
  $atk = 'union(\s|%20|\+)+(all(\s|%20|\+)+)?select|information_schema|waitfor(\s|%20|\+)+delay|xp_cmdshell|%27(\s|%20|\+)*or(\s|%20|\+)|\.\./\.\./|%2e%2e%2f|/etc/passwd|<script|%3cscript'
  foreach ($l in $logs) {
    foreach ($line in [IO.File]::ReadLines($l.FullName)) {
      if ($line -match $atk) { $natk++ }
      if ($line -match '\s(GET|POST)\s(\S*/(cmd|shell|wso|up|aspxspy|ant|behinder|godzilla|tunnel)[a-z0-9_-]*\.(asp|aspx|ashx|php|jsp))\s.*\s200\s') { $wsh += $Matches[2] }
    }
  }
  if ($natk -ge 20) { Add-Finding 'log_anomaly' 'medium' "웹 공격 시도 흔적 $($natk)건(SQL 주입 · 경로 조작 · XSS)" "IIS 로그 최근 $($logs.Count)개 파일" '같은 IP 가 반복하면 IIS IP 제한 · 방화벽 · WAF 로 막고, 코드 취약점 항목과 함께 확인하세요.' }
  if ($wsh) { $g = $wsh | Group-Object | Sort-Object Count -Descending | Select-Object -First 5 | ForEach-Object { "$($_.Name) ($($_.Count)회)" }; Add-Finding 'log_anomaly' 'high' '웹셸 이름의 파일이 정상 응답(200)한 기록' ($g -join "`n") '해당 파일이 있는지 바로 확인하고, 있다면 보관 후 격리하세요. 접속 IP · 시각으로 침입 경로를 추적하세요.' }
}
$fail = @(Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4625; StartTime = (Get-Date).AddDays(-7) } -MaxEvents 5000)
if ($fail.Count -ge 100) {
  $top = $fail | ForEach-Object { ([xml]$_.ToXml()).Event.EventData.Data | Where-Object { $_.Name -eq 'IpAddress' } | ForEach-Object { $_.'#text' } } | Group-Object | Sort-Object Count -Descending | Select-Object -First 5 | ForEach-Object { "$($_.Name) ($($_.Count)회)" }
  Add-Finding 'log_anomaly' 'medium' "로그인 실패 $($fail.Count)회(최근 7일, 무차별 대입 의심)" ("상위 접속지:`n" + ($top -join "`n")) '원격 데스크톱은 VPN 뒤로 옮기거나 접속 IP 를 제한하고, 계정 잠금 정책을 켜세요.'
}
End-Check 'log_anomaly' '로그 이상 징후' '침해 흔적' "IIS 로그 $($logs.Count)개 · 공격 패턴 $($natk)건 · 로그인 실패(7일) $($fail.Count)회"

# ── 9. 보안 소프트웨어(방화벽 · Defender) ──
Begin-Check '보안 소프트웨어'
$fwAll = @(Get-NetFirewallProfile); $fw = @($fwAll | Where-Object { -not $_.Enabled } | ForEach-Object { $_.Name })
if ($fw) { Add-Finding 'security_software' 'high' "Windows 방화벽이 꺼진 프로필: $($fw -join ', ')" ($fw -join ', ') 'Set-NetFirewallProfile -All -Enabled True 로 켜고 필요한 포트만 허용하세요.' }
$mp = Get-MpComputerStatus
if ($mp) {
  if (-not $mp.RealTimeProtectionEnabled) { Add-Finding 'security_software' 'high' 'Defender 실시간 보호가 꺼져 있음' 'RealTimeProtectionEnabled = False' '다른 백신을 쓰지 않는다면 실시간 보호를 켜세요.' }
  if ($mp.AntivirusSignatureAge -gt 7) { Add-Finding 'security_software' 'medium' "Defender 백신 정의가 $($mp.AntivirusSignatureAge)일 지났음" "AntivirusSignatureAge = $($mp.AntivirusSignatureAge)" 'Update-MpSignature 로 갱신하고 자동 업데이트를 확인하세요.' }
  $sum = "방화벽 꺼진 프로필 $($fw.Count)개 · Defender 실시간 보호 $(if ($mp.RealTimeProtectionEnabled) { '켜짐' } else { '꺼짐' })"
} else { $sum = "방화벽 꺼진 프로필 $($fw.Count)개 · Defender 상태를 읽지 못했어요(다른 백신 사용 중일 수 있음)" }
if (-not $fwAll.Count -and -not $mp) { Skip-Check 'security_software' '보안 소프트웨어' '서버 설정' 'info' '방화벽 · Defender 상태를 읽지 못했어요(관리자 권한에서 확인)' }
else { End-Check 'security_software' '보안 소프트웨어' '서버 설정' $sum }

# ── 결과 ──
$os = (Get-CimInstance Win32_OperatingSystem).Caption; if (-not $os) { $os = [Environment]::OSVersion.VersionString }
$result = [ordered]@{
  scan_id = ''; target = [string]$env:COMPUTERNAME; stage = 'cli'; started_at = $Started
  findings = @($Findings); checks = @($Checks)
  meta = [ordered]@{ os = [string]$os; hostname = [string]$env:COMPUTERNAME; webroot = [string]$WebRoot; engine = "serverscan.ps1/$VERSION"; user = [string]$env:USERNAME; tech = @($Tech) }
}
$json = $result | ConvertTo-Json -Depth 6
$outPath = $Out; if (-not [IO.Path]::IsPathRooted($outPath)) { $outPath = Join-Path (Get-Location).Path $Out }
[IO.File]::WriteAllText($outPath, $json, (New-Object Text.UTF8Encoding $false))   # BOM 없이(웹에서 바로 읽게)
Write-Host ""
Write-Host "완료: $Out (발견 $($Findings.Count)건)"
Write-Host "파일을 열어 내용을 확인한 뒤 https://serverscan.co.kr/cli 에 올리면 리포트로 볼 수 있어요."