Exitcodes sind für die Flottenautomatisierung ausgelegt: `ioc-scan` beendet mit `4` bei
COMPROMISED, mit `1` bei VULNERABLE; `mitigate` beendet mit `0` sauber / `1` angewendet
/ `2` manuell / `3` Tool-Fehler; `remote-probe` beendet mit `2`, wenn irgendein
Ziel VULN ist.

---

## Tools

In der Reihenfolge der operativen Priorität. Jedes Artefakt erzeugt strukturierte Ausgabe
(`--json` / `--jsonl` / `--csv`) geschlüsselt nach `host`, `os`, `cpanel_version`,
`ts` für das Flotten-Roll-up.

| Tool | Rolle | Ausführungsort |
|---|---|---|
| **[`sessionscribe-ioc-scan.sh`](#sessionscribe-ioc-scansh---ioc-ladder--kill-chain)** | Erstklassige Triage. IOC ladder, Code-State- und Host-State-Bewertungen, Kill-Chain-Rekonstruktion, IR-Bundle. | auf dem cPanel-Host |
| **[`sessionscribe-mitigate.sh`](#sessionscribe-mitigatesh---mitigation-orchestrator)** | Das Zeitfenster schließen. Phasenweise Mitigation: Patch-Check, Firewall, proxysub, ModSec. | auf dem cPanel-Host |
| **[`sessionscribe-remote-probe.sh`](#sessionscribe-remote-probesh---non-destructive-fleet-probe)** | Begleitmaterial. Nicht-destruktive 4-stufige Prüfung → VULN/SAFE pro Host. | überall mit `curl` |
| [`modsec-sessionscribe.conf`](#supporting-collateral) | ModSec-Regelpaket, bereitgestellt von `mitigate`. | Apache-Frontend |
| [`sessionscribe-revsnap.sh`](#supporting-collateral) | RE-Snapshot-Sammler pro Stufe für Binärdiffing. | auf dem cPanel-Host, rund um `upcp` |

GPL v2. Alle Artefakte sind über die obigen Raw-URLs per `curl` abrufbar.

---

## `sessionscribe-ioc-scan.sh` - IOC ladder + kill-chain

**Führen Sie dies zuerst aus.** Standardmäßig nur Erkennung (schnell, flottenfreundlich);
fügen Sie `--full` hinzu, um die forensischen Phasen inline auszuführen (Defense-Timeline, Offense-Ingest,
Abgleich, Kill-Chain-Renderer, IR-Bundle).```bash
# fast triage  (detection only)
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash

# full kill-chain reconstruction inline
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --full

# full + ship IR bundle to intake
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --full --upload

# JSONL for SIEM ingest
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --jsonl --quiet > host.jsonl

# host IOCs only - periodic post-patch sweep, last 7 days
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --ioc-only --since 7

# replay forensic phases against a saved envelope (no re-scan)
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --replay /var/cpanel/sessionscribe-ioc/<run_id>.json

<details>
<summary><b>Prüfungsreferenz + forensische Phasen + Bundle-Struktur</b> (klicken zum Erweitern)</summary>

| Check | Was es tut |
|---|---|
| `version` | `cpanel -V` vs. die veröffentlichte Liste gepatchter Builds - steuert `code_verdict` |
| `static-pattern` | Durchsucht `Cpanel/Session/*.pm` nach Post-Patch-Sentinel-Mustern (`no-ob:`-Decode-Zweig) |
| `cpsrvd-fingerprint` | Inspektion der cpsrvd-Binärdatei gegen Signaturen gepatchter Builds |
| `access-log` | Apache- und cpsrvd-Logs auf Exploit-Verkehrsmuster (`--no-logs` zum Überspringen) |
| `session-store` | `/var/cpanel/sessions/raw/`-Durchlauf: Anbieter-IOCs + 4-Wege-Kookkurrenz + Heuristik für gefälschte Zeitstempel (`--no-sessions` zum Überspringen) |
| `destruction` | Sonden für Muster A–G: `/root/sshd`-Verschlüsseler, MySQL-Wipe, BTC-Index, `nuclear.x86`, `sptadm`-Reseller, `__S_MARK__`-Harvester, verdächtige SSH-Schlüssel (`--no-destruction-iocs` zum Überspringen) |
| `probe` (opt-in) | Einzelner Marker-GET an `127.0.0.1:2087` - bestätigt, dass cpsrvd antwortet. Versucht den Bypass **nicht** |

**`--full`-forensische Phasen** (inline nach Erkennung ausgeführt):

| Phase | Was es tut |
|---|---|
| `defense` | Versieht jede umgesetzte Verteidigungsschicht mit einem Zeitstempel: cpanel-Patch, cpsrvd-Neustart nach Patch, Mitigate-Läufe, ModSec-Regeln, CSF/APF-Portschließungen, proxysub, `upcp`-Zusammenfassung |
| `offense` | Versieht jeden beobachteten Kompromittierungsindikator mit einem Zeitstempel (Muster A–G + Muster-X-CRLF-Bypass-Kette) |
| `reconcile` | Pro Indikator: War die relevante Verteidigung aktiv, als er zum ersten Mal auftrat? PRE-DEFENSE / POST-DEFENSE / POST-PARTIAL / UNDEFENDED + Zeitdifferenz |
| `bundle` | Tarball der Rohartefakte unter `/root/.ic5790-forensic/<TS>-<RUN_ID>/`, Modus `0700` |

**Bundle-Struktur** (`/root/.ic5790-forensic/<TS>-<RUN_ID>/`):```
manifest.txt              host/uid/cpv/run_id/window/cap
sessions.tgz              /var/cpanel/sessions/{raw,preauth} (filtered)
access-logs.tgz           cpsrvd access + incoming_http_requests + error_log
                          + global Apache access/error (NO domlogs)
system-logs.tgz           /var/log/{secure,messages,audit/audit.log,auth.log}*
cpanel-state.tgz          accounting.log + resellers + cpanel.config + api_tokens_v2
cpanel-users.tgz          /var/cpanel/users/ (split out, per-account state)
persistence.tgz           ssh keys + all cron tiers + systemd/init.d/profile.d
                          + rc.local + root histories + passwd/group + sudoers
defense-state.tgz         mitigate backups + csf/apf/modsec configs + updatelogs
ps.txt / connections.txt / iptables.txt
pattern-a-binary-metadata.txt   only if /root/sshd present (metadata; binary NOT bundled)
user-histories/           per-user .bash_history (gated on --no-history)

| Phase | Was es tut |
|---|---|
| `patch` | `cpanel -V` gegen die veröffentlichte Liste gepatchter Builds (inkl. EL6 11.86.0.41, EL6/CL6 110.0.103, Tier 124, WP² 136.1.7) |
| `preflight` | Entfernt `/etc/yum.repos.d/threatdown.repo`; stellt `epel-release` sicher; deaktiviert defekte Nicht-Basis-Repos, damit `upcp` nicht mittendrin abbricht |
| `upcp` | Falls ungepatcht, startet `/scripts/upcp --force --bg` |
| `proxysub` | Aktiviert `proxysubdomains` + die Variante für neue Konten; erstellt die httpd-Konfiguration neu |
| `csf` / `apf` / `runfw` | Entfernt cpsrvd-Ports (2082/2083/2086/2087/2095/2096) aus `TCP_IN`/`TCP6_IN`/`IG_TCP_CPORTS`; prüft die aktive iptables-INPUT-Kette |
| `apache` | `httpd` läuft + `security2_module` geladen |
| `modsec` | `modsec2.user.conf` enthält die Regeln `1500030` + `1500031`; stellt sie, falls fehlend, bereit (mit Zeitstempel versehenes Backup, `httpd -t`-Validierung, Graceful Reload) |
| `probe` (opt-in) | Führt `sessionscribe-remote-probe.sh` gegen `127.0.0.1` aus, um die Ablehnungen in der Praxis zu bestätigen |

CentOS / Alma / Rocky base/appstream/extras/updates/powertools-Repos
werden von `preflight` **niemals** deaktiviert, selbst wenn sie derzeit nicht erreichbar sind.

### Exit-Codes

| Exit | Bedeutung |
|---|---|
| 0 | sauber - gepatcht + Sicherheitslage ok, keine Aktion erforderlich |
| 1 | Behebung erfolgreich angewendet (`--apply` hat Änderungen vorgenommen) |
| 2 | manuelles Eingreifen erforderlich (warnt bei `--check`, schlägt fehl bei `--apply`) |
| 3 | Tool-Fehler (ungültige Argumente, fehlende Abhängigkeiten, bei `--apply` nicht root) |

Phasenauswahl: `--only LIST`, `--no-PHASE`, `--no-fw` (Abkürzung für
`--no-csf --no-apf --no-runfw`). Ausgabe: `--json` / `--jsonl` / `--csv`,
`-o FILE`. Siehe `--help` für die vollständige Liste der Flags.

### 60-Sekunden-Smoke-Check```bash
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh | bash -s -- --list-phases    # surface the phase API
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh | bash -s -- --check          # safe read-only audit
echo "exit=$?"                                  # 0 on a non-cPanel host

Ausgabemodi: pretty (Standard), `-q`/`--quiet`, `--oneline`, `--csv`,
`--json`. Exit-Codes: `0` keine VULN gefunden, `1` nur nicht eindeutig, `2`
eine oder mehrere VULN. Siehe `--help` für die vollständige Flagliste einschließlich
der Semantik von `--auto-host-discover`, `--all`, `--fingerprint-only` und
des nur für Stufe 2 gedachten `--no-verify`-Modus (Legacy, erzeugt FPs auf gepatchten
Hosts).

---

## Begleitmaterial

### `modsec-sessionscribe.conf` - ModSecurity-Regelpaket

Wird automatisch von `mitigate.sh --apply --only modsec` bereitgestellt. Manuelle Installation:```bash
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/modsec-sessionscribe.conf \
    | sudo tee /etc/apache2/conf.d/modsec/modsec2.user.conf >/dev/null
sudo apachectl -t && sudo /usr/local/cpanel/scripts/restartsrv_httpd

Generalisiert über SessionScribe hinaus: Jede zukünftige cpsrvd-CVE landet auf ungefähr derselben Angriffsfläche, und ein Tarball-Paar für den Pre-Patch- und den gepatchten Build ist der Unterschied zwischen Stunden und Tagen an Analyse. Siehe den [Forschungsartikel](https://rfxn.com/research/cpanel-sessionscribe-cve-2026-41940) für den vollständigen RE-Walkthrough.

---

## Flotten-Nutzung

> [!TIP]
> Jedes Artefakt erzeugt strukturierte Ausgabe (`--json`, `--jsonl`, `--csv`)
> mit `host`, `os`, `cpanel_version`, `ts` in jedem Datensatz. Entwickelt
> für das `pdsh | jq`- oder `ansible -m script`-Roll-up über Hunderte von
> Hosts in einem Durchgang.

Dieselbe curl-piped-bash-Grundtechnik — lass jeden Host das neueste Skript direkt holen und ausführen:```bash
IOC=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh
MIT=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh
PRB=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-remote-probe.sh

# IOC scan across fleet, JSONL to SIEM
for h in $(cat fleet.txt); do
    ssh "$h" "curl -fsSL $IOC | bash -s -- --jsonl --quiet"
done | jq -c '.' > fleet-ioc.jsonl

# kill-chain reconciliation across fleet (no bundles on broad sweep)
ansible -i hosts cpanel -m shell \
    -a "curl -fsSL $IOC | bash -s -- --full --no-bundle --jsonl" > fleet-forensic.jsonl
jq -r 'select(.phase=="summary" and .key=="verdict"
              and .note=="COMPROMISED_PRE_DEFENSE") | .host' \
    fleet-forensic.jsonl > pre-defense-hosts.txt

# bundle collection on the pre-defense subset
ansible -i pre-defense-hosts.txt all -m shell \
    -a "curl -fsSL $IOC | bash -s -- --full --jsonl --bundle-dir /root/.ic5790-forensic"

# mitigation posture roll-up
pdsh -w cpanel-fleet "curl -fsSL $MIT | bash -s -- --jsonl --quiet" \
    | jq -c 'select(.severity != "info")' > fleet-mitigate.jsonl

# remote probe sweep - exit 2 on any VULN  (run from operator workstation)
curl -fsSL $PRB | bash -s -- --csv --quiet \
    $(awk '{print "--target "$1}' fleet.txt) > fleet-probe.csv

Das Verdikt ist der HTTP-Code bei Anfrage 4. Die Sitzungsdatei auf der Festplatte unter
`/var/cpanel/sessions/raw/<sessname>` ist das einzige forensische Artefakt
nach der Tat. Die vollständige Primitive (die beiden zusammensetzenden Asymmetrien —
`filter_sessiondata` nicht auf jedem Schreibpfad, der Encoder bricht bei
fehlendem `ob_part` vorzeitig ab) und das architektonische Argument für die Durchsetzung
am Proxy-Endpunkt finden sich im
[Forschungsartikel](https://rfxn.com/research/cpanel-sessionscribe-cve-2026-41940).

---

## Indikatoren für eine Kompromittierung

Form der gefälschten Sitzungsdatei (`/var/cpanel/sessions/raw/<sessname>` nach der
Ausnutzung):```
local_port=2087
hasroot=1
hulk_registered=1
pass=x
origin_as_string=address=127.0.0.1,app=whostmgrd,method=badpass
token_denied=1
local_ip_address=127.0.0.1
external_validation_token=cS9C19OfV0hCA4uD
cp_security_token=/cpsess6844364556
ip_address=127.0.0.1
user=root
tfa_verified=1
successful_internal_auth_with_timestamp=9999999999
port=39040
login_theme=cpanel

Access-log-Signal: erfolgreiche `200`/`302`/`307`-Antworten auf
`/json-api/`, `/execute/` oder `/scripts2/`-Pfaden von Nicht-Baseline-
Quell-IPs ohne vorheriges `/login/` 200 im selben Sitzungsfenster.

---

## Betroffene Builds```
11.86.0.41 (EL6/CL7)   11.110.0.97        11.118.0.63        11.124.0.35
11.126.0.54            11.130.0.19        11.132.0.29        11.134.0.20
11.136.0.5             110.0.103 (EL6/CL6 from .50)

WP Squared:            136.1.7