Os códigos de saída são projetados para automação de frota: `ioc-scan` sai com `4` em COMPROMETIDO, `1` em VULNERÁVEL; `mitigate` sai com `0` limpo / `1` aplicado / `2` manual / `3` erro de ferramenta; `remote-probe` sai com `2` se algum alvo estiver VULN.

---

## Ferramentas

Em ordem de prioridade operacional. Cada artefato emite saída estruturada (`--json` / `--jsonl` / `--csv`) indexada por `host`, `os`, `cpanel_version`, `ts` para agregação de frota.

| Ferramenta | Função | Onde é executado |
|---|---|---|
| **[`sessionscribe-ioc-scan.sh`](#sessionscribe-ioc-scansh---ioc-ladder--kill-chain)** | Triagem de primeira classe. Escada de IOC, vereditos de estado de código + estado do host, reconstrução da cadeia de eliminação, pacote de IR. | no host cPanel |
| **[`sessionscribe-mitigate.sh`](#sessionscribe-mitigatesh---mitigation-orchestrator)** | Fechar a janela. Mitigação em fases: verificação de patches, firewall, proxysub, ModSec. | no host cPanel |
| **[`sessionscribe-remote-probe.sh`](#sessionscribe-remote-probesh---non-destructive-fleet-probe)** | Colateral de suporte. Sonda não destrutiva de 4 estágios → VULN/SAFE por host. | em qualquer lugar com `curl` |
| [`modsec-sessionscribe.conf`](#supporting-collateral) | Pacote de regras ModSec implantado por `mitigate`. | front-end Apache |
| [`sessionscribe-revsnap.sh`](#supporting-collateral) | Coletor de snapshots RE por camada para diffing binário. | no host cPanel, por volta de `upcp` |

GPL v2. Todos os artefatos prontos para `curl` via URLs brutas acima.

---

## `sessionscribe-ioc-scan.sh` - Escada de IOC + cadeia de eliminação

**Execute isto primeiro.** Apenas detecção por padrão (rápido, amigável para frotas); adicione `--full` para executar as fases forenses inline (linha do tempo de defesa, ingestão de ofensiva, reconciliar, renderizador de cadeia de eliminação, pacote de IR).```bash
# fast triage  (detection only)
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash

# full kill-chain reconstruction inline
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --full

# full + ship IR bundle to intake
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --full --upload

# JSONL for SIEM ingest
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --jsonl --quiet > host.jsonl

# host IOCs only - periodic post-patch sweep, last 7 days
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --ioc-only --since 7

# replay forensic phases against a saved envelope (no re-scan)
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --replay /var/cpanel/sessionscribe-ioc/<run_id>.json

<details>
<summary><b>Referência de verificações + fases forenses + estrutura do pacote</b> (clique para expandir)</summary>

| Verificação | O que faz |
|---|---|
| `version` | `cpanel -V` vs a lista de builds corrigidos publicada - orienta `code_verdict` |
| `static-pattern` | Pesquisa em `Cpanel/Session/*.pm` por padrões sentinela pós-correção (branch decode `no-ob:`) |
| `cpsrvd-fingerprint` | Inspeção binária do cpsrvd contra assinaturas de builds corrigidos |
| `access-log` | Logs Apache + cpsrvd para padrões de tráfego de exploração (`--no-logs` para pular) |
| `session-store` | Varredura de `/var/cpanel/sessions/raw/`: IOCs do fornecedor + co-ocorrência de 4 vias + heurística de timestamp forjado (`--no-sessions` para pular) |
| `destruction` | Sondagens dos padrões A–G: criptografador `/root/sshd`, mysql-wipe, índice BTC, `nuclear.x86`, revendedor `sptadm`, coletor `__S_MARK__`, chaves SSH suspeitas (`--no-destruction-iocs` para pular) |
| `probe` (opt-in) | GET de marcador único para `127.0.0.1:2087` - confirma que o cpsrvd está responsivo. **Não** tenta o bypass |

**Fases forenses `--full`** (executadas inline após detecção):

| Fase | O que faz |
|---|---|
| `defense` | Registra timestamps de cada camada de defesa aplicada: patch do cpanel, restart do cpsrvd pós-patch, execuções de mitigate, regras ModSec, fechamento de portas CSF/APF, proxysub, resumo do `upcp` |
| `offense` | Registra timestamps de cada indicador de comprometimento observado (Padrões A–G + cadeia de bypass CRLF do Padrão X) |
| `reconcile` | Por indicador: a defesa relevante estava ativa quando ele apareceu pela primeira vez? PRÉ-DEFESA / PÓS-DEFESA / PÓS-PARCIAL / SEM DEFESA + delta de tempo |
| `bundle` | Tarball de artefatos brutos em `/root/.ic5790-forensic/<TS>-<RUN_ID>/`, modo `0700` |

**Estrutura do pacote** (`/root/.ic5790-forensic/<TS>-<RUN_ID>/`):```
manifest.txt              host/uid/cpv/run_id/window/cap
sessions.tgz              /var/cpanel/sessions/{raw,preauth} (filtered)
access-logs.tgz           cpsrvd access + incoming_http_requests + error_log
                          + global Apache access/error (NO domlogs)
system-logs.tgz           /var/log/{secure,messages,audit/audit.log,auth.log}*
cpanel-state.tgz          accounting.log + resellers + cpanel.config + api_tokens_v2
cpanel-users.tgz          /var/cpanel/users/ (split out, per-account state)
persistence.tgz           ssh keys + all cron tiers + systemd/init.d/profile.d
                          + rc.local + root histories + passwd/group + sudoers
defense-state.tgz         mitigate backups + csf/apf/modsec configs + updatelogs
ps.txt / connections.txt / iptables.txt
pattern-a-binary-metadata.txt   only if /root/sshd present (metadata; binary NOT bundled)
user-histories/           per-user .bash_history (gated on --no-history)

| Fase | O que faz |
|---|---|
| `patch` | `cpanel -V` vs a lista publicada de builds corrigidas (incluindo EL6 11.86.0.41, EL6/CL6 110.0.103, tier 124, WP² 136.1.7) |
| `preflight` | Remove `/etc/yum.repos.d/threatdown.repo`; garante `epel-release`; desativa repositórios não‑base quebrados para que o `upcp` não morra durante a execução |
| `upcp` | Se não corrigido, inicia `/scripts/upcp --force --bg` |
| `proxysub` | Habilita `proxysubdomains` + variante de nova conta; reconstrói a configuração do httpd |
| `csf` / `apf` / `runfw` | Remove as portas do cpsrvd (2082/2083/2086/2087/2095/2096) de `TCP_IN`/`TCP6_IN`/`IG_TCP_CPORTS`; verifica a cadeia INPUT do iptables ao vivo |
| `apache` | `httpd` rodando + `security2_module` carregado |
| `modsec` | `modsec2.user.conf` contém as regras `1500030` + `1500031`; implementa se ausente (backup com timestamp, validação `httpd -t`, recarga graciosa) |
| `probe` (opt‑in) | Executa `sessionscribe-remote-probe.sh` contra `127.0.0.1` para confirmar negações na prática |

Os repositórios CentOS / Alma / Rocky base/appstream/extras/updates/powertools **nunca** são desativados pelo `preflight`, mesmo que atualmente inacessíveis.

### Códigos de saída

| Saída | Significado |
|---|---|
| 0 | limpo – corrigido + postura ok, nenhuma ação necessária |
| 1 | remediação aplicada com sucesso (`--apply` fez alterações) |
| 2 | intervenção manual necessária (avisa no `--check`, falha no `--apply`) |
| 3 | erro de ferramenta (argumentos incorretos, dependências ausentes, não root para `--apply`) |

Seleção de fase: `--only LIST`, `--no-PHASE`, `--no-fw` (abreviação para
`--no-csf --no-apf --no-runfw`). Saída: `--json` / `--jsonl` / `--csv`,
`-o FILE`. Veja `--help` para a lista completa de flags.

### Verificação rápida de sessenta segundos```bash
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh | bash -s -- --list-phases    # surface the phase API
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh | bash -s -- --check          # safe read-only audit
echo "exit=$?"                                  # 0 on a non-cPanel host

Modos de saída: pretty (padrão), `-q`/`--quiet`, `--oneline`, `--csv`,
`--json`. Códigos de saída: `0` nenhuma VULN encontrada, `1` apenas inconclusivo, `2`
uma ou mais VULN. Consulte `--help` para a lista completa de opções, incluindo
`--auto-host-discover`, `--all`, `--fingerprint-only` semânticas, e
o modo `--no-verify` apenas do estágio 2 (legado, produz FPs em hosts
corrigidos).

---

## Material de apoio

### `modsec-sessionscribe.conf` - Pacote de regras ModSecurity

Implantado automaticamente por `mitigate.sh --apply --only modsec`. Manual
instalação:```bash
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/modsec-sessionscribe.conf \
    | sudo tee /etc/apache2/conf.d/modsec/modsec2.user.conf >/dev/null
sudo apachectl -t && sudo /usr/local/cpanel/scripts/restartsrv_httpd

Generaliza além do SessionScribe: cada futuro CVE do cpsrvd cairá aproximadamente na mesma superfície, e um par de tarballs para a build pré-patch e pós-patch é a diferença entre horas e dias de análise.
Consulte o [artigo de pesquisa](https://rfxn.com/research/cpanel-sessionscribe-cve-2026-41940) para a análise completa de RE.

---

## Uso em frota

> [!TIP]
> Cada artefato emite saída estruturada (`--json`, `--jsonl`, `--csv`) com `host`, `os`, `cpanel_version`, `ts` em cada registro. Projetado para agregação via `pdsh | jq` ou `ansible -m script` em centenas de hosts em uma única passagem.

Mesmo primitivo curl-piped-bash — deixe cada host buscar e executar o script mais recente diretamente:```bash
IOC=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh
MIT=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh
PRB=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-remote-probe.sh

# IOC scan across fleet, JSONL to SIEM
for h in $(cat fleet.txt); do
    ssh "$h" "curl -fsSL $IOC | bash -s -- --jsonl --quiet"
done | jq -c '.' > fleet-ioc.jsonl

# kill-chain reconciliation across fleet (no bundles on broad sweep)
ansible -i hosts cpanel -m shell \
    -a "curl -fsSL $IOC | bash -s -- --full --no-bundle --jsonl" > fleet-forensic.jsonl
jq -r 'select(.phase=="summary" and .key=="verdict"
              and .note=="COMPROMISED_PRE_DEFENSE") | .host' \
    fleet-forensic.jsonl > pre-defense-hosts.txt

# bundle collection on the pre-defense subset
ansible -i pre-defense-hosts.txt all -m shell \
    -a "curl -fsSL $IOC | bash -s -- --full --jsonl --bundle-dir /root/.ic5790-forensic"

# mitigation posture roll-up
pdsh -w cpanel-fleet "curl -fsSL $MIT | bash -s -- --jsonl --quiet" \
    | jq -c 'select(.severity != "info")' > fleet-mitigate.jsonl

# remote probe sweep - exit 2 on any VULN  (run from operator workstation)
curl -fsSL $PRB | bash -s -- --csv --quiet \
    $(awk '{print "--target "$1}' fleet.txt) > fleet-probe.csv

O veredito é o código HTTP na requisição 4. O arquivo de sessão em disco em
`/var/cpanel/sessions/raw/<sessname>` é o único artefato forense post-hoc.
A primitiva completa (as duas assimetrias componentes —
`filter_sessiondata` não em todos os caminhos de escrita, o codificador faz curto-circuito
na falta de `ob_part`) e o argumento arquitetural para a imposição de proxy-endpoint
estão no
[artigo de pesquisa](https://rfxn.com/research/cpanel-sessionscribe-cve-2026-41940).

---

## Indicadores de comprometimento

Forma de arquivo de sessão forjado (`/var/cpanel/sessions/raw/<sessname>` após
exploração):```
local_port=2087
hasroot=1
hulk_registered=1
pass=x
origin_as_string=address=127.0.0.1,app=whostmgrd,method=badpass
token_denied=1
local_ip_address=127.0.0.1
external_validation_token=cS9C19OfV0hCA4uD
cp_security_token=/cpsess6844364556
ip_address=127.0.0.1
user=root
tfa_verified=1
successful_internal_auth_with_timestamp=9999999999
port=39040
login_theme=cpanel

Sinal de log de acesso: respostas `200`/`302`/`307` bem-sucedidas nos
caminhos `/json-api/`, `/execute/` ou `/scripts2/` de IPs de origem não basais
sem um `/login/` 200 precedente na mesma janela de sessão.

---

## Compilações afetadas```
11.86.0.41 (EL6/CL7)   11.110.0.97        11.118.0.63        11.124.0.35
11.126.0.54            11.130.0.19        11.132.0.29        11.134.0.20
11.136.0.5             110.0.103 (EL6/CL6 from .50)

WP Squared:            136.1.7