종료 코드는 플릿 자동화를 위해 설계되었습니다: `ioc-scan`은 COMPROMISED 상태에서 `4`를 반환하고, VULNERABLE 상태에서 `1`을 반환합니다; `mitigate`는 `0` (정상), `1` (적용됨), `2` (수동), `3` (도구 오류)를 반환합니다; `remote-probe`는 대상 중 하나라도 VULN이면 `2`를 반환합니다.

---

## Tools

운영 우선순위 순서로 정렬됩니다. 모든 아티팩트는 구조화된 출력(`--json` / `--jsonl` / `--csv`)을 생성하며, 플릿 집계를 위해 `host`, `os`, `cpanel_version`, `ts`를 키로 사용합니다.

| Tool | 역할 | 실행 위치 |
|---|---|---|
| **[`sessionscribe-ioc-scan.sh`](#sessionscribe-ioc-scansh---ioc-ladder--kill-chain)** | 1차 분류. IOC 사다리, 코드 상태 + 호스트 상태 판정, 킬 체인 재구성, IR 번들. | cPanel 호스트에서 실행 |
| **[`sessionscribe-mitigate.sh`](#sessionscribe-mitigatesh---mitigation-orchestrator)** | 취약점 창을 닫습니다. 단계별 완화: 패치 확인, 방화벽, proxysub, ModSec. | cPanel 호스트에서 실행 |
| **[`sessionscribe-remote-probe.sh`](#sessionscribe-remote-probesh---non-destructive-fleet-probe)** | 보조 자료. 비파괴 4단계 프로브 → 호스트별 VULN/SAFE. | `curl`이 있는 모든 곳 |
| [`modsec-sessionscribe.conf`](#supporting-collateral) | `mitigate`에 의해 배포되는 ModSec 규칙 팩. | Apache 프론트엔드 |
| [`sessionscribe-revsnap.sh`](#supporting-collateral) | 바이너리 비교를 위한 계층별 RE 스냅샷 수집기. | cPanel 호스트에서, `upcp` 주변에서 실행 |

GPL v2. 모든 아티팩트는 위의 raw URL을 통해 `curl`로 바로 다운로드할 수 있습니다.

---

## `sessionscribe-ioc-scan.sh` - IOC 사다리 + 킬 체인

**이것을 먼저 실행하세요.** 기본적으로 탐지 전용입니다 (빠르고 플릿에 적합); `--full`을 추가하여 포렌식 단계를 인라인으로 실행합니다 (방어 타임라인, 공격 수집, 조정, 킬 체인 렌더러, IR 번들).```bash
# fast triage  (detection only)
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash

# full kill-chain reconstruction inline
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --full

# full + ship IR bundle to intake
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --full --upload

# JSONL for SIEM ingest
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --jsonl --quiet > host.jsonl

# host IOCs only - periodic post-patch sweep, last 7 days
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --ioc-only --since 7

# replay forensic phases against a saved envelope (no re-scan)
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --replay /var/cpanel/sessionscribe-ioc/<run_id>.json

<details>
<summary><b>검사 참조 + 포렌식 단계 + 번들 레이아웃</b> (클릭하여 펼치기)</summary>

| 검사 | 설명 |
|---|---|
| `version` | `cpanel -V` 와 공개된 패치 빌드 목록 비교 - `code_verdict` 결정 |
| `static-pattern` | `Cpanel/Session/*.pm`에서 패치 후 센티넬 패턴(`no-ob:` 디코드 분기) 그렙 |
| `cpsrvd-fingerprint` | cpsrvd 바이너리 검사, 패치 빌드 서명과 대조 |
| `access-log` | Apache + cpsrvd 로그에서 악용 트래픽 패턴 확인 (`--no-logs`로 건너뛰기) |
| `session-store` | `/var/cpanel/sessions/raw/` 탐색: 공급업체 IOCs + 4방향 동시발생 + 위조 타임스탬프 휴리스틱 (`--no-sessions`로 건너뛰기) |
| `destruction` | 패턴 A–G 프로브: `/root/sshd` 암호화기, mysql-와이프, BTC 인덱스, `nuclear.x86`, `sptadm` 리셀러, `__S_MARK__` 수집기, 의심스러운 SSH 키 (`--no-destruction-iocs`로 건너뛰기) |
| `probe` (옵트인) | `127.0.0.1:2087`에 단일 마커 GET - cpsrvd 응답 확인. **우회 시도하지 않음** |

**`--full` 포렌식 단계** (탐지 후 인라인 실행):

| 단계 | 설명 |
|---|---|
| `defense` | 적용된 모든 방어 계층의 타임스탬프 기록: cpanel 패치, 패치 후 cpsrvd 재시작, 완화 실행, ModSec 규칙, CSF/APF 포트 폐쇄, proxysub, `upcp` 요약 |
| `offense` | 관찰된 모든 침해 지표의 타임스탬프 기록 (패턴 A–G + 패턴 X CRLF-우회 체인) |
| `reconcile` | 지표별: 해당 지표가 처음 나타났을 때 관련 방어가 활성화되었는가? PRE-DEFENSE / POST-DEFENSE / POST-PARTIAL / UNDEFENDED + 시간 차이 |
| `bundle` | `/root/.ic5790-forensic/<TS>-<RUN_ID>/` 아래 원시 아티팩트의 타르볼, 모드 `0700` |

**번들 레이아웃** (`/root/.ic5790-forensic/<TS>-<RUN_ID>/`):```
manifest.txt              host/uid/cpv/run_id/window/cap
sessions.tgz              /var/cpanel/sessions/{raw,preauth} (filtered)
access-logs.tgz           cpsrvd access + incoming_http_requests + error_log
                          + global Apache access/error (NO domlogs)
system-logs.tgz           /var/log/{secure,messages,audit/audit.log,auth.log}*
cpanel-state.tgz          accounting.log + resellers + cpanel.config + api_tokens_v2
cpanel-users.tgz          /var/cpanel/users/ (split out, per-account state)
persistence.tgz           ssh keys + all cron tiers + systemd/init.d/profile.d
                          + rc.local + root histories + passwd/group + sudoers
defense-state.tgz         mitigate backups + csf/apf/modsec configs + updatelogs
ps.txt / connections.txt / iptables.txt
pattern-a-binary-metadata.txt   only if /root/sshd present (metadata; binary NOT bundled)
user-histories/           per-user .bash_history (gated on --no-history)

| 단계 | 기능 |
|---|---|
| `patch` | `cpanel -V` 와(과) 게시된 패치 빌드 목록 비교 (EL6 11.86.0.41, EL6/CL6 110.0.103, tier 124, WP² 136.1.7 포함) |
| `preflight` | `/etc/yum.repos.d/threatdown.repo` 제거; `epel-release` 확인; 깨진 비기본 저장소를 비활성화하여 `upcp`가 실행 중에 중단되지 않도록 함 |
| `upcp` | 패치되지 않은 경우 `/scripts/upcp --force --bg` 실행 |
| `proxysub` | `proxysubdomains` + 새 계정 변형 활성화; httpd 구성 재구축 |
| `csf` / `apf` / `runfw` | `TCP_IN`/`TCP6_IN`/`IG_TCP_CPORTS`에서 cpsrvd 포트(2082/2083/2086/2087/2095/2096) 제거; 활성 iptables INPUT 체인 확인 |
| `apache` | `httpd` 실행 중 + `security2_module` 로드됨 |
| `modsec` | `modsec2.user.conf`에 규칙 `1500030` + `1500031` 포함; 누락된 경우 배포 (타임스탬프 백업, `httpd -t` 검증, 무중단 리로드) |
| `probe` (선택) | `127.0.0.1`에 대해 `sessionscribe-remote-probe.sh`를 실행하여 실제 차단 확인 |

CentOS / Alma / Rocky의 base/appstream/extras/updates/powertools 저장소는 `preflight`에 의해 **절대** 비활성화되지 않으며, 현재 연결할 수 없는 경우에도 마찬가지입니다.

### 종료 코드

| 종료 코드 | 의미 |
|---|---|
| 0 | 깔끔함 - 패치됨 및 상태 양호, 조치 불필요 |
| 1 | 수정 성공적으로 적용됨 (`--apply`가 변경을 수행함) |
| 2 | 수동 개입 필요 (`--check`에서 경고, `--apply`에서 실패) |
| 3 | 도구 오류 (잘못된 인수, 누락된 종속성, `--apply`에 대해 루트가 아님) |

단계 선택: `--only LIST`, `--no-PHASE`, `--no-fw` (`--no-csf --no-apf --no-runfw`의 약어). 출력: `--json` / `--jsonl` / `--csv`, `-o FILE`. 전체 플래그 목록은 `--help`를 참조하십시오.

### 60초 스모크 체크```bash
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh | bash -s -- --list-phases    # surface the phase API
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh | bash -s -- --check          # safe read-only audit
echo "exit=$?"                                  # 0 on a non-cPanel host

출력 모드: pretty(기본), `-q`/`--quiet`, `--oneline`, `--csv`,
`--json`. 종료 코드: `0` 취약점 없음, `1` 불명확함만, `2`
하나 이상의 취약점. 전체 플래그 목록은 `--help`를 참조하세요. 여기에는
`--auto-host-discover`, `--all`, `--fingerprint-only` 의미론 및
stage-2 전용 `--no-verify` 모드(레거시, 패치된 호스트에서 오탐을 생성함)가 포함됩니다.

---

## 보조 자료

### `modsec-sessionscribe.conf` - ModSecurity 규칙 팩

자동으로 `mitigate.sh --apply --only modsec`에 의해 배포됩니다. 수동 설치:```bash
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/modsec-sessionscribe.conf \
    | sudo tee /etc/apache2/conf.d/modsec/modsec2.user.conf >/dev/null
sudo apachectl -t && sudo /usr/local/cpanel/scripts/restartsrv_httpd

Generalises beyond SessionScribe: every future cpsrvd CVE will land in
roughly the same surface, and a tarball pair for the pre-patch and
patched build is the difference between hours and days of analysis.
See the [research article](https://rfxn.com/research/cpanel-sessionscribe-cve-2026-41940)
for the full RE walkthrough.

---

## 플릿 사용법

> [!TIP]
> 모든 아티팩트는 정형화된 출력(`--json`, `--jsonl`, `--csv`)을 내보내며,
> 모든 레코드에 `host`, `os`, `cpanel_version`, `ts`가 포함됩니다. 수백 대의
> 호스트를 한 번에 처리하기 위해 `pdsh | jq` 또는 `ansible -m script` 롤업에
> 적합하게 설계되었습니다.

동일한 curl-piped-bash 원시 방식 — 각 호스트가 최신 스크립트를 직접 가져와 실행하도록 합니다.```bash
IOC=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh
MIT=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh
PRB=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-remote-probe.sh

# IOC scan across fleet, JSONL to SIEM
for h in $(cat fleet.txt); do
    ssh "$h" "curl -fsSL $IOC | bash -s -- --jsonl --quiet"
done | jq -c '.' > fleet-ioc.jsonl

# kill-chain reconciliation across fleet (no bundles on broad sweep)
ansible -i hosts cpanel -m shell \
    -a "curl -fsSL $IOC | bash -s -- --full --no-bundle --jsonl" > fleet-forensic.jsonl
jq -r 'select(.phase=="summary" and .key=="verdict"
              and .note=="COMPROMISED_PRE_DEFENSE") | .host' \
    fleet-forensic.jsonl > pre-defense-hosts.txt

# bundle collection on the pre-defense subset
ansible -i pre-defense-hosts.txt all -m shell \
    -a "curl -fsSL $IOC | bash -s -- --full --jsonl --bundle-dir /root/.ic5790-forensic"

# mitigation posture roll-up
pdsh -w cpanel-fleet "curl -fsSL $MIT | bash -s -- --jsonl --quiet" \
    | jq -c 'select(.severity != "info")' > fleet-mitigate.jsonl

# remote probe sweep - exit 2 on any VULN  (run from operator workstation)
curl -fsSL $PRB | bash -s -- --csv --quiet \
    $(awk '{print "--target "$1}' fleet.txt) > fleet-probe.csv

Verdict는 요청 4의 HTTP 코드입니다. 디스크 상의 세션 파일(`/var/cpanel/sessions/raw/<sessname>`)이 사후 포렌식 아티팩트의 유일한 근거입니다. 전체 프리미티브(두 가지 구성 비대칭 — 모든 쓰기 경로에 `filter_sessiondata`가 적용되지 않음, `ob_part` 누락 시 인코더가 단락됨) 및 프록시 엔드포인트 적용을 위한 아키텍처적 논거는 [연구 문서](https://rfxn.com/research/cpanel-sessionscribe-cve-2026-41940)에 있습니다.

---

## 침해 지표

위조된 세션 파일 형태(`/var/cpanel/sessions/raw/<sessname>` (악용 후):```
local_port=2087
hasroot=1
hulk_registered=1
pass=x
origin_as_string=address=127.0.0.1,app=whostmgrd,method=badpass
token_denied=1
local_ip_address=127.0.0.1
external_validation_token=cS9C19OfV0hCA4uD
cp_security_token=/cpsess6844364556
ip_address=127.0.0.1
user=root
tfa_verified=1
successful_internal_auth_with_timestamp=9999999999
port=39040
login_theme=cpanel

Access-log signal: 성공적인 `200`/`302`/`307` 응답이
`/json-api/`, `/execute/`, 또는 `/scripts2/` 경로에서 기준선이 아닌
소스 IP로부터 동일한 세션 창에 선행하는 `/login/` 200 없이 발생한 경우.

---

## 영향을 받는 빌드```
11.86.0.41 (EL6/CL7)   11.110.0.97        11.118.0.63        11.124.0.35
11.126.0.54            11.130.0.19        11.132.0.29        11.134.0.20
11.136.0.5             110.0.103 (EL6/CL6 from .50)

WP Squared:            136.1.7