رموز الخروج مصممة لأتمتة الأساطيل: يُخرج `ioc-scan` `4` عند
اختراق (COMPROMISED)، و`1` عند وجود ثغرة (VULNERABLE)؛ بينما يُخرج `mitigate` `0` نظيف / `1` مطبق
/ `2` يدوي / `3` خطأ في الأداة؛ ويُخرج `remote-probe` `2` إذا كان أي هدف
به ثغرة (VULN).

---

## الأدوات

مرتبة حسب الأولوية التشغيلية. كل أداة تُخرج مخرجات منظمة
(`--json` / `--jsonl` / `--csv`) مفتاحية على `host`, `os`, `cpanel_version`,
`ts` لتجميع الأسطول.

| الأداة | الدور | مكان التشغيل |
|---|---|---|
| **[`sessionscribe-ioc-scan.sh`](#sessionscribe-ioc-scansh---ioc-ladder--kill-chain)** | فرز من الدرجة الأولى. سلم مؤشرات الاختراق (IOC)، أحكام حالة الكود + حالة المضيف، إعادة بناء سلسلة القتل، حزمة الاستجابة للحوادث (IR). | على مضيف cPanel |
| **[`sessionscribe-mitigate.sh`](#sessionscribe-mitigatesh---mitigation-orchestrator)** | أغلق النافذة. تخفيف مرحلي: فحص التصحيح، جدار الحماية، استبدال الوكيل، ModSec. | على مضيف cPanel |
| **[`sessionscribe-remote-probe.sh`](#sessionscribe-remote-probesh---non-destructive-fleet-probe)** | دعم إضافي. فحص غير إتلافي من 4 مراحل → VULN/SAFE لكل مضيف. | في أي مكان يتوفر فيه `curl` |
| [`modsec-sessionscribe.conf`](#supporting-collateral) | حزمة قواعد ModSec التي ينشرها `mitigate`. | واجهة Apache الأمامية |
| [`sessionscribe-revsnap.sh`](#supporting-collateral) | جامع لقطات RE لكل طبقة لمقارنة ثنائيات. | على مضيف cPanel، حول `upcp` |

رخصة GPL v2. جميع الأدوات جاهزة للتنزيل عبر `curl` من روابط المصدر أعلاه.

---

## `sessionscribe-ioc-scan.sh` - سلم مؤشرات الاختراق + سلسلة القتل

**شغّل هذا أولًا.** الكشف فقط افتراضيًا (سريع ومناسب للأساطيل)؛
أضف `--full` لتشغيل مراحل الطب الشرعي مباشرة (الخط الزمني للدفاع، إدخال الهجوم،
المطابقة، عرض سلسلة القتل، حزمة الاستجابة للحوادث).```bash
# fast triage  (detection only)
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash

# full kill-chain reconstruction inline
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --full

# full + ship IR bundle to intake
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --full --upload

# JSONL for SIEM ingest
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --jsonl --quiet > host.jsonl

# host IOCs only - periodic post-patch sweep, last 7 days
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --ioc-only --since 7

# replay forensic phases against a saved envelope (no re-scan)
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --replay /var/cpanel/sessionscribe-ioc/<run_id>.json

<details>
<summary><b>مرجع الفحوصات + مراحل التحليل الجنائي + بنية الحزمة</b> (انقر للتوسيع)</summary>

| الفحص | ماذا يفعل |
|---|---|
| `version` | `cpanel -V` مقارنةً بقائمة الإصدارات المعدّلة المنشورة - يوجّه `code_verdict` |
| `static-pattern` | يبحث في `Cpanel/Session/*.pm` عن أنماط الحارس بعد التصحيح (فرع فك الترميز `no-ob:`) |
| `cpsrvd-fingerprint` | فحص ملف cpsrvd الثنائي مقابل توقيعات الإصدارات المعدّلة |
| `access-log` | سجلات Apache + cpsrvd لأنماط حركة مرور الاستغلال (`--no-logs` للتخطي) |
| `session-store` | اجتياز `/var/cpanel/sessions/raw/`: مؤشرات الاختراق الخاصة بالمورّد + الترافق الرباعي + استدلال الطابع الزمني المزوّر (`--no-sessions` للتخطي) |
| `destruction` | فحوصات الأنماط A–G: مشفّر `/root/sshd`، mysql-wipe، فهرس BTC، `nuclear.x86`، موزّع `sptadm`، حاصد `__S_MARK__`، مفاتيح SSH مشبوهة (`--no-destruction-iocs` للتخطي) |
| `probe` (اختياري) | طلب GET بعلامة واحدة إلى `127.0.0.1:2087` - يؤكد استجابة cpsrvd. **لا** يحاول تنفيذ التحايل |

**مراحل التحليل الجنائي `--full`** (تُنفَّذ مباشرةً بعد الكشف):

| المرحلة | ماذا يفعل |
|---|---|
| `defense` | يضع طابعًا زمنيًا على كل طبقة دفاعية تم تطبيقها: تصحيح cpanel، إعادة تشغيل cpsrvd بعد التصحيح، عمليات تشغيل mitigate، قواعد ModSec، إغلاق منافذ CSF/APF، proxysub، ملخص `upcp` |
| `offense` | يضع طابعًا زمنيًا على كل مؤشر اختراق تم رصده (الأنماط A–G + سلسلة تجاوز CRLF للنمط X) |
| `reconcile` | لكل مؤشر: هل كان الدفاع المعني نشطًا عند ظهوره لأول مرة؟ PRE-DEFENSE / POST-DEFENSE / POST-PARTIAL / UNDEFENDED + الفارق الزمني |
| `bundle` | أرشيف tar للأدلة الخام داخل `/root/.ic5790-forensic/<TS>-<RUN_ID>/`، بالصلاحية `0700` |

**بنية الحزمة** (`/root/.ic5790-forensic/<TS>-<RUN_ID>/`):```
manifest.txt              host/uid/cpv/run_id/window/cap
sessions.tgz              /var/cpanel/sessions/{raw,preauth} (filtered)
access-logs.tgz           cpsrvd access + incoming_http_requests + error_log
                          + global Apache access/error (NO domlogs)
system-logs.tgz           /var/log/{secure,messages,audit/audit.log,auth.log}*
cpanel-state.tgz          accounting.log + resellers + cpanel.config + api_tokens_v2
cpanel-users.tgz          /var/cpanel/users/ (split out, per-account state)
persistence.tgz           ssh keys + all cron tiers + systemd/init.d/profile.d
                          + rc.local + root histories + passwd/group + sudoers
defense-state.tgz         mitigate backups + csf/apf/modsec configs + updatelogs
ps.txt / connections.txt / iptables.txt
pattern-a-binary-metadata.txt   only if /root/sshd present (metadata; binary NOT bundled)
user-histories/           per-user .bash_history (gated on --no-history)

| المرحلة | الوظيفة |
|---|---|
| `patch` | `cpanel -V` مقابل قائمة الإصدارات المرقَّعة المنشورة (بما في ذلك EL6 11.86.0.41، EL6/CL6 110.0.103، tier 124، WP² 136.1.7) |
| `preflight` | يزيل `/etc/yum.repos.d/threatdown.repo`؛ يضمن `epel-release`؛ يعطّل المستودعات غير الأساسية المعطوبة حتى لا تتعطل `upcp` في منتصف التنفيذ |
| `upcp` | إذا لم يكن مرقَّعًا، يشغّل `/scripts/upcp --force --bg` |
| `proxysub` | يفعّل `proxysubdomains` + نسخة الحسابات الجديدة؛ يعيد بناء إعداد httpd |
| `csf` / `apf` / `runfw` | يزيل منافذ cpsrvd (2082/2083/2086/2087/2095/2096) من `TCP_IN`/`TCP6_IN`/`IG_TCP_CPORTS`؛ يتحقق من سلسلة INPUT الفعلية في iptables |
| `apache` | `httpd` قيد التشغيل + `security2_module` محمّل |
| `modsec` | `modsec2.user.conf` يحتوي على القاعدتين `1500030` + `1500031`؛ يتم نشرهما إذا كانتا مفقودتين (نسخة احتياطية بختم زمني، تحقق `httpd -t`، إعادة تحميل سلسة) |
| `probe` (اختياري) | يشغّل `sessionscribe-remote-probe.sh` على `127.0.0.1` لتأكيد الرفض عمليًا |

مستودعات CentOS / Alma / Rocky base/appstream/extras/updates/powertools
لا يتم تعطيلها **أبدًا** بواسطة `preflight`، حتى لو كانت غير قابلة للوصول حاليًا.

### رموز الخروج

| رمز الخروج | المعنى |
|---|---|
| 0 | سليم - مرقَّع + الوضعية جيدة، لا حاجة لأي إجراء |
| 1 | تم تطبيق الإصلاح بنجاح (`--apply` أحدث تغييرات) |
| 2 | تدخّل يدوي مطلوب (يحذّر في `--check`، ويفشل في `--apply`) |
| 3 | خطأ في الأداة (وسائط غير صحيحة، تبعيات مفقودة، عدم كونك root لـ `--apply`) |

اختيار المراحل: `--only LIST`, `--no-PHASE`, `--no-fw` (اختصار لـ
`--no-csf --no-apf --no-runfw`). الإخراج: `--json` / `--jsonl` / `--csv`,
`-o FILE`. انظر `--help` للقائمة الكاملة للخيارات.

### فحص سموك لمدة ستين ثانية```bash
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh | bash -s -- --list-phases    # surface the phase API
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh | bash -s -- --check          # safe read-only audit
echo "exit=$?"                                  # 0 on a non-cPanel host

Output modes: pretty (الافتراضي)، `-q`/`--quiet`، `--oneline`، `--csv`،
`--json`. رموز الخروج: `0` لا يوجد VULN، `1` غير حاسم فقط، `2`
واحد أو أكثر من VULN. انظر `--help` للحصول على القائمة الكاملة للخيارات بما في ذلك
دلالات `--auto-host-discover` و`--all` و`--fingerprint-only`، و
وضع `--no-verify` الخاص بالمرحلة الثانية فقط (قديم، يُنتج نتائج إيجابية خاطئة على المضيفات
المحدّثة).

---

## مواد مساندة

### `modsec-sessionscribe.conf` - حزمة قواعد ModSecurity

يتم نشرها تلقائيًا بواسطة `mitigate.sh --apply --only modsec`. التثبيت اليدوي:```bash
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/modsec-sessionscribe.conf \
    | sudo tee /etc/apache2/conf.d/modsec/modsec2.user.conf >/dev/null
sudo apachectl -t && sudo /usr/local/cpanel/scripts/restartsrv_httpd

يعمّم ما يتجاوز SessionScribe: كل CVE مستقبلي في cpsrvd سيقع في نفس السطح تقريبًا، وزوج حزمة tarball للإصدار قبل التصحيح وبعده هو الفرق بين ساعات وأيام من التحليل.
انظر [مقالة البحث](https://rfxn.com/research/cpanel-sessionscribe-cve-2026-41940) للشرح الكامل للهندسة العكسية (RE).

---

## استخدام الأسطول

> [!TIP]
> كل أداة تُصدر مخرجات منظمة (`--json`, `--jsonl`, `--csv`) مع `host`, `os`, `cpanel_version`, `ts` في كل سجل. صُمّمت للتجميع عبر `pdsh | jq` أو `ansible -m script` عبر مئات المضيفين في تمريرة واحدة.

نفس أسلوب curl-piped-bash الأساسي — دع كل مضيف يجلب وينفّذ أحدث سكربت مباشرة:```bash
IOC=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh
MIT=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh
PRB=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-remote-probe.sh

# IOC scan across fleet, JSONL to SIEM
for h in $(cat fleet.txt); do
    ssh "$h" "curl -fsSL $IOC | bash -s -- --jsonl --quiet"
done | jq -c '.' > fleet-ioc.jsonl

# kill-chain reconciliation across fleet (no bundles on broad sweep)
ansible -i hosts cpanel -m shell \
    -a "curl -fsSL $IOC | bash -s -- --full --no-bundle --jsonl" > fleet-forensic.jsonl
jq -r 'select(.phase=="summary" and .key=="verdict"
              and .note=="COMPROMISED_PRE_DEFENSE") | .host' \
    fleet-forensic.jsonl > pre-defense-hosts.txt

# bundle collection on the pre-defense subset
ansible -i pre-defense-hosts.txt all -m shell \
    -a "curl -fsSL $IOC | bash -s -- --full --jsonl --bundle-dir /root/.ic5790-forensic"

# mitigation posture roll-up
pdsh -w cpanel-fleet "curl -fsSL $MIT | bash -s -- --jsonl --quiet" \
    | jq -c 'select(.severity != "info")' > fleet-mitigate.jsonl

# remote probe sweep - exit 2 on any VULN  (run from operator workstation)
curl -fsSL $PRB | bash -s -- --csv --quiet \
    $(awk '{print "--target "$1}' fleet.txt) > fleet-probe.csv

النتيجة هي رمز HTTP عند الطلب الرابع. ملف الجلسة المخزَّن على القرص في `/var/cpanel/sessions/raw/<sessname>` هو الأثر الوحيد للفحص الجنائي بعد وقوع الاستغلال. الآلية الكاملة (عدمَي التماثل المكوّنين لها — عدم وجود `filter_sessiondata` في كل مسارات الكتابة، والمشفّر يختصر المسار عند غياب `ob_part`) والحجة المعمارية لفرض الرقابة عند نقطة نهاية الوكيل موجودة في [المقال البحثي](https://rfxn.com/research/cpanel-sessionscribe-cve-2026-41940).

---

## مؤشرات الاختراق

شكل ملف الجلسة المزور (`/var/cpanel/sessions/raw/<sessname>` بعد الاستغلال):```
local_port=2087
hasroot=1
hulk_registered=1
pass=x
origin_as_string=address=127.0.0.1,app=whostmgrd,method=badpass
token_denied=1
local_ip_address=127.0.0.1
external_validation_token=cS9C19OfV0hCA4uD
cp_security_token=/cpsess6844364556
ip_address=127.0.0.1
user=root
tfa_verified=1
successful_internal_auth_with_timestamp=9999999999
port=39040
login_theme=cpanel

إشارة سجل الوصول: استجابات ناجحة `200`/`302`/`307` على
مسارات `/json-api/` أو `/execute/` أو `/scripts2/` من عناوين IP
مصدرية غير خط الأساس دون وجود استجابة `/login/` 200 سابقة
في نفس نافذة الجلسة.

---

## البنى المتأثرة```
11.86.0.41 (EL6/CL7)   11.110.0.97        11.118.0.63        11.124.0.35
11.126.0.54            11.130.0.19        11.132.0.29        11.134.0.20
11.136.0.5             110.0.103 (EL6/CL6 from .50)

WP Squared:            136.1.7