Les codes de sortie sont conçus pour l'automatisation des flottes : `ioc-scan` renvoie `4` en cas de COMPROMIS, `1` en cas de VULNÉRABLE ; `mitigate` renvoie `0` (propre) / `1` (appliqué) / `2` (manuel) / `3` (erreur outil) ; `remote-probe` renvoie `2` si une cible est VULN.

---

## Outils

Par ordre de priorité opérationnelle. Chaque artefact produit une sortie structurée
(`--json` / `--jsonl` / `--csv`) indexée sur `host`, `os`, `cpanel_version`,
`ts` pour le regroupement de flotte.

| Outil | Rôle | Lieu d'exécution |
|---|---|---|
| **[`sessionscribe-ioc-scan.sh`](#sessionscribe-ioc-scansh---ioc-ladder--kill-chain)** | Triage de premier ordre. Échelle IOC, verdicts état-code + état-hôte, reconstruction de la chaîne de compromission, bundle IR. | sur l'hôte cPanel |
| **[`sessionscribe-mitigate.sh`](#sessionscribe-mitigatesh---mitigation-orchestrator)** | Fermer la fenêtre. Atténuation par phases : vérification des correctifs, pare-feu, proxysub, ModSec. | sur l'hôte cPanel |
| **[`sessionscribe-remote-probe.sh`](#sessionscribe-remote-probesh---non-destructive-fleet-probe)** | Collatéral de support. Sondage non destructif en 4 étapes → VULN/SAFE par hôte. | partout où `curl` est disponible |
| [`modsec-sessionscribe.conf`](#supporting-collateral) | Paquet de règles ModSec déployé par `mitigate`. | serveur frontal Apache |
| [`sessionscribe-revsnap.sh`](#supporting-collateral) | Collecteur d'instantanés RE par niveau pour le diffing binaire. | sur l'hôte cPanel, autour de `upcp` |

GPL v2. Tous les artefacts sont prêts pour `curl` via les URLs brutes ci-dessus.

---

## `sessionscribe-ioc-scan.sh` - Échelle IOC + chaîne de compromission

**Exécutez-le en premier.** Détection uniquement par défaut (rapide, adapté aux flottes) ;
ajoutez `--full` pour exécuter les phases forensiques en ligne (chronologie défensive, ingestion offensive,
réconciliation, rendu de la chaîne de compromission, bundle IR).```bash
# fast triage  (detection only)
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash

# full kill-chain reconstruction inline
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --full

# full + ship IR bundle to intake
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --full --upload

# JSONL for SIEM ingest
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --jsonl --quiet > host.jsonl

# host IOCs only - periodic post-patch sweep, last 7 days
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --ioc-only --since 7

# replay forensic phases against a saved envelope (no re-scan)
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --replay /var/cpanel/sessionscribe-ioc/<run_id>.json

<details>
<summary><b>Référence des vérifications + phases forensiques + disposition du bundle</b> (cliquez pour développer)</summary>

| Vérification | Ce qu'elle fait |
|---|---|
| `version` | `cpanel -V` vs la liste des builds corrigés publiés - pilote `code_verdict` |
| `static-pattern` | Recherche dans `Cpanel/Session/*.pm` les motifs sentinelles post-correction (branche de décodage `no-ob:`) |
| `cpsrvd-fingerprint` | Inspection du binaire cpsrvd par rapport aux signatures des builds corrigés |
| `access-log` | Journaux Apache + cpsrvd pour les formes de trafic d'exploitation (`--no-logs` pour ignorer) |
| `session-store` | Parcours de `/var/cpanel/sessions/raw/` : IOCs du fournisseur + co-occurrence quadruple + heuristique d'horodatage falsifié (`--no-sessions` pour ignorer) |
| `destruction` | Sondages des motifs A à G : encrypteur `/root/sshd`, wipe mysql, index BTC, `nuclear.x86`, revendeur `sptadm`, moissonneur `__S_MARK__`, clés SSH suspectes (`--no-destruction-iocs` pour ignorer) |
| `probe` (opt-in) | GET marqueur unique vers `127.0.0.1:2087` - confirme que cpsrvd répond. **Ne** tente **pas** le contournement |

**Phases forensiques `--full`** (exécutées en ligne après la détection) :

| Phase | Ce qu'elle fait |
|---|---|
| `defense` | Horodate chaque couche de défense mise en place : patch cpanel, redémarrage de cpsrvd après patch, exécutions de mitigate, règles ModSec, fermetures de ports CSF/APF, proxysub, résumé `upcp` |
| `offense` | Horodate chaque indicateur de compromission observé (Motifs A–G + chaîne de contournement CRLF du Motif X) |
| `reconcile` | Par indicateur : la défense pertinente était-elle active lors de sa première apparition ? PRÉ-DÉFENSE / POST-DÉFENSE / POST-PARTIEL / NON DÉFENDU + delta temporel |
| `bundle` | Archive tar des artefacts bruts sous `/root/.ic5790-forensic/<TS>-<RUN_ID>/`, mode `0700` |

**Disposition du bundle** (`/root/.ic5790-forensic/<TS>-<RUN_ID>/`) :```
manifest.txt              host/uid/cpv/run_id/window/cap
sessions.tgz              /var/cpanel/sessions/{raw,preauth} (filtered)
access-logs.tgz           cpsrvd access + incoming_http_requests + error_log
                          + global Apache access/error (NO domlogs)
system-logs.tgz           /var/log/{secure,messages,audit/audit.log,auth.log}*
cpanel-state.tgz          accounting.log + resellers + cpanel.config + api_tokens_v2
cpanel-users.tgz          /var/cpanel/users/ (split out, per-account state)
persistence.tgz           ssh keys + all cron tiers + systemd/init.d/profile.d
                          + rc.local + root histories + passwd/group + sudoers
defense-state.tgz         mitigate backups + csf/apf/modsec configs + updatelogs
ps.txt / connections.txt / iptables.txt
pattern-a-binary-metadata.txt   only if /root/sshd present (metadata; binary NOT bundled)
user-histories/           per-user .bash_history (gated on --no-history)

| Phase | What it does |
|---|---|
| `patch` | `cpanel -V` par rapport à la liste publiée des builds patchés (incl. EL6 11.86.0.41, EL6/CL6 110.0.103, tier 124, WP² 136.1.7) |
| `preflight` | Supprime `/etc/yum.repos.d/threatdown.repo` ; s'assure que `epel-release` est présent ; désactive les dépôts non-base cassés pour que `upcp` ne meure pas en plein vol |
| `upcp` | Si non patché, lance `/scripts/upcp --force --bg` |
| `proxysub` | Active `proxysubdomains` + variante new-account ; reconstruit la configuration httpd |
| `csf` / `apf` / `runfw` | Supprime les ports cpsrvd (2082/2083/2086/2087/2095/2096) de `TCP_IN`/`TCP6_IN`/`IG_TCP_CPORTS` ; vérifie la chaîne INPUT iptables en direct |
| `apache` | `httpd` en cours d'exécution + `security2_module` chargé |
| `modsec` | `modsec2.user.conf` contient les règles `1500030` + `1500031` ; déployer si absent (sauvegarde horodatée, validation `httpd -t`, rechargement graceful) |
| `probe` (opt-in) | Exécute `sessionscribe-remote-probe.sh` contre `127.0.0.1` pour confirmer les refus en pratique |

Les dépôts CentOS / Alma / Rocky base/appstream/extras/updates/powertools ne sont **jamais** désactivés par `preflight`, même s'ils sont actuellement inaccessibles.

### Codes de sortie

| Exit | Meaning |
|---|---|
| 0 | propre - patché + posture ok, aucune action nécessaire |
| 1 | correction appliquée avec succès (`--apply` a effectué des modifications) |
| 2 | intervention manuelle requise (avertit dans `--check`, échoue dans `--apply`) |
| 3 | erreur de l'outil (mauvais arguments, dépendances manquantes, pas root pour `--apply`) |

Sélection de phase : `--only LIST`, `--no-PHASE`, `--no-fw` (abréviation pour `--no-csf --no-apf --no-runfw`). Sortie : `--json` / `--jsonl` / `--csv`, `-o FILE`. Voir `--help` pour la liste complète des options.

### Vérification rapide soixante secondes```bash
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh | bash -s -- --list-phases    # surface the phase API
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh | bash -s -- --check          # safe read-only audit
echo "exit=$?"                                  # 0 on a non-cPanel host

Modes de sortie : pretty (par défaut), `-q`/`--quiet`, `--oneline`, `--csv`,
`--json`. Codes de sortie : `0` aucune VULN trouvée, `1` uniquement non concluant, `2`
une ou plusieurs VULN. Voir `--help` pour la liste complète des options incluant les
sémantiques de `--auto-host-discover`, `--all`, `--fingerprint-only`, et
le mode `--no-verify` réservé à la deuxième étape (hérité, produit des faux positifs sur les hôtes
corrigés).

---

## Documentation complémentaire

### `modsec-sessionscribe.conf` - Pack de règles ModSecurity

Déployé automatiquement par `mitigate.sh --apply --only modsec`. Installation manuelle :```bash
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/modsec-sessionscribe.conf \
    | sudo tee /etc/apache2/conf.d/modsec/modsec2.user.conf >/dev/null
sudo apachectl -t && sudo /usr/local/cpanel/scripts/restartsrv_httpd

Generalises beyond SessionScribe: every future cpsrvd CVE will land in
roughly the same surface, and a tarball pair for the pre-patch and
patched build is the difference between hours and days of analysis.
See the [research article](https://rfxn.com/research/cpanel-sessionscribe-cve-2026-41940)
for the full RE walkthrough.

---

## Fleet usage

> [!TIP]
> Chaque artefact émet une sortie structurée (`--json`, `--jsonl`, `--csv`)
> avec `host`, `os`, `cpanel_version`, `ts` sur chaque enregistrement. Conçu
> pour `pdsh | jq` ou `ansible -m script` un regroupement sur des centaines de
> hôtes en une seule passe.

Même primitive curl-piped-bash — laissez chaque hôte récupérer et exécuter le dernier
script directement :```bash
IOC=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh
MIT=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh
PRB=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-remote-probe.sh

# IOC scan across fleet, JSONL to SIEM
for h in $(cat fleet.txt); do
    ssh "$h" "curl -fsSL $IOC | bash -s -- --jsonl --quiet"
done | jq -c '.' > fleet-ioc.jsonl

# kill-chain reconciliation across fleet (no bundles on broad sweep)
ansible -i hosts cpanel -m shell \
    -a "curl -fsSL $IOC | bash -s -- --full --no-bundle --jsonl" > fleet-forensic.jsonl
jq -r 'select(.phase=="summary" and .key=="verdict"
              and .note=="COMPROMISED_PRE_DEFENSE") | .host' \
    fleet-forensic.jsonl > pre-defense-hosts.txt

# bundle collection on the pre-defense subset
ansible -i pre-defense-hosts.txt all -m shell \
    -a "curl -fsSL $IOC | bash -s -- --full --jsonl --bundle-dir /root/.ic5790-forensic"

# mitigation posture roll-up
pdsh -w cpanel-fleet "curl -fsSL $MIT | bash -s -- --jsonl --quiet" \
    | jq -c 'select(.severity != "info")' > fleet-mitigate.jsonl

# remote probe sweep - exit 2 on any VULN  (run from operator workstation)
curl -fsSL $PRB | bash -s -- --csv --quiet \
    $(awk '{print "--target "$1}' fleet.txt) > fleet-probe.csv

Le verdict est le code HTTP à la requête 4. Le fichier de session sur disque à
`/var/cpanel/sessions/raw/<sessname>` est le seul artefact médico-légal
a posteriori. La primitive complète (les deux asymétries constitutives —
`filter_sessiondata` pas sur tous les chemins d'écriture, l'encodeur
court-circuite en l'absence de `ob_part`) et l'argument architectural pour
l'application du point de terminaison proxy sont dans
l'[article de recherche](https://rfxn.com/research/cpanel-sessionscribe-cve-2026-41940).

---

## Indicateurs de compromission

Forme du fichier de session forgé (`/var/cpanel/sessions/raw/<sessname>` après
exploitation) :```
local_port=2087
hasroot=1
hulk_registered=1
pass=x
origin_as_string=address=127.0.0.1,app=whostmgrd,method=badpass
token_denied=1
local_ip_address=127.0.0.1
external_validation_token=cS9C19OfV0hCA4uD
cp_security_token=/cpsess6844364556
ip_address=127.0.0.1
user=root
tfa_verified=1
successful_internal_auth_with_timestamp=9999999999
port=39040
login_theme=cpanel

Signal de journal d'accès : réponses réussies `200`/`302`/`307` sur
les chemins `/json-api/`, `/execute/` ou `/scripts2/` provenant d'IP sources
non de base sans `/login/` 200 précédent dans la même fenêtre de session.

---

## Versions concernées```
11.86.0.41 (EL6/CL7)   11.110.0.97        11.118.0.63        11.124.0.35
11.126.0.54            11.130.0.19        11.132.0.29        11.134.0.20
11.136.0.5             110.0.103 (EL6/CL6 from .50)

WP Squared:            136.1.7