Exit codes are designed for fleet automation: `ioc-scan` exits `4` on
COMPROMISED, `1` on VULNERABLE; `mitigate` exits `0` clean / `1` applied
/ `2` manual / `3` tool error; `remote-probe` exits `2` if any target is
VULN.

---

## ツール

運用優先度の順です。すべてのアーティファクトは、フリート集約用に `host`、`os`、`cpanel_version`、`ts` をキーとした構造化出力（`--json` / `--jsonl` / `--csv`）を出力します。

| Tool | Role | Where it runs |
|---|---|---|
| **[`sessionscribe-ioc-scan.sh`](#sessionscribe-ioc-scansh---ioc-ladder--kill-chain)** | First-class triage. IOCラダー、コード状態 + ホスト状態の判定、キルチェーン復元、IRバンドル。 | cPanelホスト上 |
| **[`sessionscribe-mitigate.sh`](#sessionscribe-mitigatesh---mitigation-orchestrator)** | 侵入の窓を閉じる。段階的緩和: パッチ確認、ファイアウォール、プロキシ置換、ModSec。 | cPanelホスト上 |
| **[`sessionscribe-remote-probe.sh`](#sessionscribe-remote-probesh---non-destructive-fleet-probe)** | 補助的資料。非破壊的な4段階プローブ → ホストごとに VULN/SAFE。 | `curl` が使える任意の場所 |
| [`modsec-sessionscribe.conf`](#supporting-collateral) | `mitigate` によって展開される ModSec ルールパック。 | Apache フロントエンド |
| [`sessionscribe-revsnap.sh`](#supporting-collateral) | バイナリ差分のための階層別 RE スナップショット収集ツール。 | cPanelホスト上、`upcp` の前後 |

GPL v2。すべてのアーティファクトは、上記の raw URL から `curl` で取得できます。

---

## `sessionscribe-ioc-scan.sh` - IOCラダー + キルチェーン

**最初にこれを実行してください。** デフォルトでは検出のみ（高速、フリート向き）。
`--full` を追加すると、フォレンジックフェーズをインラインで実行します（ディフェンスタイムライン、オフェンス取り込み、調整、キルチェーン描画、IRバンドル）。```bash
# fast triage  (detection only)
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash

# full kill-chain reconstruction inline
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --full

# full + ship IR bundle to intake
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --full --upload

# JSONL for SIEM ingest
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --jsonl --quiet > host.jsonl

# host IOCs only - periodic post-patch sweep, last 7 days
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --ioc-only --since 7

# replay forensic phases against a saved envelope (no re-scan)
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --replay /var/cpanel/sessionscribe-ioc/<run_id>.json

<details>
<summary><b>チェックリファレンス + フォレンジックフェーズ + バンドルレイアウト</b> (クリックして展開)</summary>

| チェック | 説明 |
|---|---|
| `version` | `cpanel -V` と公開済みパッチ適用ビルドリストの比較 - `code_verdict` を決定 |
| `static-pattern` | `Cpanel/Session/*.pm` をパッチ適用後のセンチネルパターン (`no-ob:` デコード分岐) で grep する |
| `cpsrvd-fingerprint` | パッチ適用済みビルドシグネチャに対する cpsrvd バイナリの検査 |
| `access-log` | Apache + cpsrvd ログから悪用トラフィック形状を確認 (`--no-logs` でスキップ) |
| `session-store` | `/var/cpanel/sessions/raw/` の走査: ベンダーIOC + 4-way共起 + 偽装タイムスタンプのヒューリスティック (`--no-sessions` でスキップ) |
| `destruction` | パターン A–G のプローブ: `/root/sshd` 暗号化プログラム、mysql-wipe、BTCインデックス、`nuclear.x86`、`sptadm` リセラー、`__S_MARK__` ハーベスター、不審なSSHキー (`--no-destruction-iocs` でスキップ) |
| `probe` (オプトイン) | `127.0.0.1:2087` への単一マーカーGET - cpsrvd が応答することを確認。バイパスは試行**しません** |

**`--full` フォレンジックフェーズ** (検出後にインラインで実行):

| フェーズ | 説明 |
|---|---|
| `defense` | 適用されたすべての防御レイヤーにタイムスタンプを付与: cpanelパッチ、パッチ後のcpsrvd再起動、mitigateの実行、ModSecルール、CSF/APFのポート閉鎖、proxysub、`upcp` サマリー |
| `offense` | 観測されたすべての侵害インジケーター (パターン A–G + パターン X CRLFバイパスチェーン) にタイムスタンプを付与 |
| `reconcile` | インジケーターごと: 最初に出現した時点で関連する防御は有効だったか？ PRE-DEFENSE / POST-DEFENSE / POST-PARTIAL / UNDEFENDED + 時間デルタ |
| `bundle` | `/root/.ic5790-forensic/<TS>-<RUN_ID>/` 配下の生のアーティファクトのtarball、モード `0700` |

**バンドルレイアウト** (`/root/.ic5790-forensic/<TS>-<RUN_ID>/`):```
manifest.txt              host/uid/cpv/run_id/window/cap
sessions.tgz              /var/cpanel/sessions/{raw,preauth} (filtered)
access-logs.tgz           cpsrvd access + incoming_http_requests + error_log
                          + global Apache access/error (NO domlogs)
system-logs.tgz           /var/log/{secure,messages,audit/audit.log,auth.log}*
cpanel-state.tgz          accounting.log + resellers + cpanel.config + api_tokens_v2
cpanel-users.tgz          /var/cpanel/users/ (split out, per-account state)
persistence.tgz           ssh keys + all cron tiers + systemd/init.d/profile.d
                          + rc.local + root histories + passwd/group + sudoers
defense-state.tgz         mitigate backups + csf/apf/modsec configs + updatelogs
ps.txt / connections.txt / iptables.txt
pattern-a-binary-metadata.txt   only if /root/sshd present (metadata; binary NOT bundled)
user-histories/           per-user .bash_history (gated on --no-history)

| フェーズ | 説明 |
|---|---|
| `patch` | `cpanel -V` と公開済みのパッチ適用ビルドリストを比較（EL6 11.86.0.41、EL6/CL6 110.0.103、tier 124、WP² 136.1.7 を含む） |
| `preflight` | `/etc/yum.repos.d/threatdown.repo` を削除。`epel-release` を確保。壊れた非ベースリポジトリを無効化して、`upcp` が途中で停止しないようにする |
| `upcp` | 未パッチの場合は `/scripts/upcp --force --bg` を開始 |
| `proxysub` | `proxysubdomains` と新規アカウント向けバリアントを有効化。httpd 設定を再構築 |
| `csf` / `apf` / `runfw` | `TCP_IN`/`TCP6_IN`/`IG_TCP_CPORTS` から cpsrvd ポート（2082/2083/2086/2087/2095/2096）を除去。稼働中の iptables INPUT チェーンを検証 |
| `apache` | `httpd` が実行中であり、`security2_module` がロードされていること |
| `modsec` | `modsec2.user.conf` にルール `1500030` と `1500031` が含まれていること。欠落している場合は配備（タイムスタンプ付きバックアップ、`httpd -t` による検証、graceful リロード） |
| `probe` (オプトイン) | `127.0.0.1` に対して `sessionscribe-remote-probe.sh` を実行し、実際に拒否が行われることを確認 |

CentOS / Alma / Rocky の base/appstream/extras/updates/powertools リポジトリは、
現在到達不能であっても、`preflight` によって**決して**無効化されません。

### 終了コード

| 終了コード | 意味 |
|---|---|
| 0 | クリーン - パッチ適用済み + 状態は正常、対応不要 |
| 1 | 修復が正常に適用されました（`--apply` が変更を行いました） |
| 2 | 手動介入が必要です（`--check` では警告、`--apply` では失敗） |
| 3 | ツールエラー（引数が不正、依存関係の欠落、`--apply` に root を使用していない） |

フェーズ選択: `--only LIST`、`--no-PHASE`、`--no-fw`（
`--no-csf --no-apf --no-runfw` の省略形）。出力: `--json` / `--jsonl` / `--csv`、
`-o FILE`。完全なフラグ一覧は `--help` を参照してください。

### 60秒スモークチェック```bash
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh | bash -s -- --list-phases    # surface the phase API
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh | bash -s -- --check          # safe read-only audit
echo "exit=$?"                                  # 0 on a non-cPanel host

出力モード: pretty (デフォルト)、`-q`/`--quiet`、`--oneline`、`--csv`、
`--json`。終了コード: `0` は VULN なし、`1` は判定不能のみ、`2`
は 1 つ以上の VULN。完全なフラグ一覧は `--help` を参照。以下も含む:
`--auto-host-discover`、`--all`、`--fingerprint-only` のセマンティクス、および
ステージ 2 専用の `--no-verify` モード (レガシー、パッチ適用済みホストで
FP を生成)。

---

## 補足資料

### `modsec-sessionscribe.conf` - ModSecurity ルールパック

`mitigate.sh --apply --only modsec` によって自動的にデプロイされます。手動
インストール:```bash
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/modsec-sessionscribe.conf \
    | sudo tee /etc/apache2/conf.d/modsec/modsec2.user.conf >/dev/null
sudo apachectl -t && sudo /usr/local/cpanel/scripts/restartsrv_httpd

SessionScribe を超えて一般化します。将来のすべての cpsrvd CVE はほぼ同じ攻撃面に該当し、
パッチ適用前と適用後のビルドの tarball ペアがあれば、
分析が数時間で済むか数日かかるかの分かれ目となります。
完全な RE ウォークスルーについては、[研究記事](https://rfxn.com/research/cpanel-sessionscribe-cve-2026-41940)
を参照してください。

---

## フリートでの使用

> [!TIP]
> すべてのアーティファクトは構造化出力（`--json`、`--jsonl`、`--csv`）を生成し、すべてのレコードに
> `host`、`os`、`cpanel_version`、`ts` が含まれます。
> `pdsh | jq` または `ansible -m script` で、数百台のホストを一度に
> ロールアップするように設計されています。

同じ curl-piped-bash プリミティブ — 各ホストに
最新のスクリプトを直接フェッチして実行させます:```bash
IOC=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh
MIT=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh
PRB=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-remote-probe.sh

# IOC scan across fleet, JSONL to SIEM
for h in $(cat fleet.txt); do
    ssh "$h" "curl -fsSL $IOC | bash -s -- --jsonl --quiet"
done | jq -c '.' > fleet-ioc.jsonl

# kill-chain reconciliation across fleet (no bundles on broad sweep)
ansible -i hosts cpanel -m shell \
    -a "curl -fsSL $IOC | bash -s -- --full --no-bundle --jsonl" > fleet-forensic.jsonl
jq -r 'select(.phase=="summary" and .key=="verdict"
              and .note=="COMPROMISED_PRE_DEFENSE") | .host' \
    fleet-forensic.jsonl > pre-defense-hosts.txt

# bundle collection on the pre-defense subset
ansible -i pre-defense-hosts.txt all -m shell \
    -a "curl -fsSL $IOC | bash -s -- --full --jsonl --bundle-dir /root/.ic5790-forensic"

# mitigation posture roll-up
pdsh -w cpanel-fleet "curl -fsSL $MIT | bash -s -- --jsonl --quiet" \
    | jq -c 'select(.severity != "info")' > fleet-mitigate.jsonl

# remote probe sweep - exit 2 on any VULN  (run from operator workstation)
curl -fsSL $PRB | bash -s -- --csv --quiet \
    $(awk '{print "--target "$1}' fleet.txt) > fleet-probe.csv

Verdict is the HTTP code at request 4. The on-disk session file at
`/var/cpanel/sessions/raw/<sessname>` is the only post-hoc forensic
artifact. The full primitive (the two composing asymmetries —
`filter_sessiondata` not on every write path, encoder short-circuits
on missing `ob_part`) and the architectural argument for proxy-endpoint
enforcement are in the
[research article](https://rfxn.com/research/cpanel-sessionscribe-cve-2026-41940).

---

## 侵害の痕跡

偽造されたセッションファイルの形状（悪用後の `/var/cpanel/sessions/raw/<sessname>`）：```
local_port=2087
hasroot=1
hulk_registered=1
pass=x
origin_as_string=address=127.0.0.1,app=whostmgrd,method=badpass
token_denied=1
local_ip_address=127.0.0.1
external_validation_token=cS9C19OfV0hCA4uD
cp_security_token=/cpsess6844364556
ip_address=127.0.0.1
user=root
tfa_verified=1
successful_internal_auth_with_timestamp=9999999999
port=39040
login_theme=cpanel

アクセスログシグナル: 同一セッションウィンドウ内で先行する `/login/` 200 がない、
非ベースラインの送信元 IP からの `/json-api/`、`/execute/`、または `/scripts2/` パスへの
成功した `200`/`302`/`307` レスポンス。

---

## 影響を受けるビルド```
11.86.0.41 (EL6/CL7)   11.110.0.97        11.118.0.63        11.124.0.35
11.126.0.54            11.130.0.19        11.132.0.29        11.134.0.20
11.136.0.5             110.0.103 (EL6/CL6 from .50)

WP Squared:            136.1.7