Коды выхода предназначены для автоматизации парка: `ioc-scan` завершается кодом `4` при
COMPROMISED, `1` при VULNERABLE; `mitigate` возвращает `0` чисто / `1` применено
/ `2` вручную / `3` ошибка инструмента; `remote-probe` возвращает `2`, если любая цель —
VULN.

---

## Инструменты

В порядке операционной приоритетности. Каждый артефакт выдаёт структурированный вывод
(`--json` / `--jsonl` / `--csv`) с ключами `host`, `os`, `cpanel_version`,
`ts` для сводки по парку.

| Инструмент | Роль | Где запускается |
|---|---|---|
| **[`sessionscribe-ioc-scan.sh`](#sessionscribe-ioc-scansh---ioc-ladder--kill-chain)** | Основной триаж. Лестница IOC, вердикты о состоянии кода и хоста, реконструкция kill-chain, IR-пакет. | на хосте cPanel |
| **[`sessionscribe-mitigate.sh`](#sessionscribe-mitigatesh---mitigation-orchestrator)** | Закрывает окно атаки. Поэтапная митигация: проверка патчей, firewall, proxysub, ModSec. | на хосте cPanel |
| **[`sessionscribe-remote-probe.sh`](#sessionscribe-remote-probesh---non-destructive-fleet-probe)** | Вспомогательное средство. Неразрушающий 4-этапный зонд → VULN/SAFE для каждого хоста. | где угодно с `curl` |
| [`modsec-sessionscribe.conf`](#supporting-collateral) | Пакет правил ModSec, разворачиваемый `mitigate`. | Apache front-end |
| [`sessionscribe-revsnap.sh`](#supporting-collateral) | Сборщик RE-снимков по уровням для сравнения бинарных файлов. | на хосте cPanel, около `upcp` |

GPL v2. Все артефакты готовы к загрузке через `curl` по raw-URL, указанным выше.

---

## `sessionscribe-ioc-scan.sh` - IOC-лестница + kill-chain

**Запускайте первым.** По умолчанию — только детектирование (быстро, удобно для парка);
добавьте `--full`, чтобы запустить фазы форензики в одном потоке (таймлайн защиты, импорт
данных об атаке, сверка, рендерер kill-chain, IR-пакет).```bash
# fast triage  (detection only)
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash

# full kill-chain reconstruction inline
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --full

# full + ship IR bundle to intake
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --full --upload

# JSONL for SIEM ingest
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --jsonl --quiet > host.jsonl

# host IOCs only - periodic post-patch sweep, last 7 days
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --ioc-only --since 7

# replay forensic phases against a saved envelope (no re-scan)
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh | bash -s -- --replay /var/cpanel/sessionscribe-ioc/<run_id>.json

<details>
<summary><b>Справочник проверок + фазы криминалистического анализа + структура бандла</b> (нажмите, чтобы развернуть)</summary>

| Проверка | Что делает |
|---|---|
| `version` | `cpanel -V` в сравнении с опубликованным списком пропатченных сборок — определяет `code_verdict` |
| `static-pattern` | Ищет в `Cpanel/Session/*.pm` пост-патчевые сторожевые паттерны (ветка декодирования `no-ob:`) |
| `cpsrvd-fingerprint` | Проверка бинарника cpsrvd на соответствие сигнатурам пропатченных сборок |
| `access-log` | Проверка логов Apache и cpsrvd на признаки эксплуатационного трафика (для пропуска используйте `--no-logs`) |
| `session-store` | Обход `/var/cpanel/sessions/raw/`: IOCs от вендора + анализ одновременного появления четырёх признаков + эвристика поддельных временных меток (для пропуска используйте `--no-sessions`) |
| `destruction` | Проверки паттернов A–G: шифратор `/root/sshd`, mysql-wipe, BTC-индекс, `nuclear.x86`, реселлер `sptadm`, харвестер `__S_MARK__`, подозрительные SSH-ключи (для пропуска используйте `--no-destruction-iocs`) |
| `probe` (опционально) | Одиночный маркерный GET на `127.0.0.1:2087` — подтверждает, что cpsrvd отвечает. Не пытается выполнить обход |

**Фазы криминалистического анализа `--full`** (выполняются сразу после обнаружения):

| Фаза | Что делает |
|---|---|
| `defense` | Фиксирует время каждого применённого слоя защиты: патч cpanel, перезапуск cpsrvd после патча, запуски mitigate, правила ModSec, закрытие портов CSF/APF, proxysub, сводка `upcp` |
| `offense` | Фиксирует время каждого наблюдаемого индикатора компрометации (паттерны A–G + цепочка обхода CRLF для паттерна X) |
| `reconcile` | По каждому индикатору: была ли соответствующая защита активна, когда он впервые появился? PRE-DEFENSE / POST-DEFENSE / POST-PARTIAL / UNDEFENDED + дельта времени |
| `bundle` | Тарбол с сырыми артефактами в `/root/.ic5790-forensic/<TS>-<RUN_ID>/`, права `0700` |

**Структура бандла** (`/root/.ic5790-forensic/<TS>-<RUN_ID>/`):```
manifest.txt              host/uid/cpv/run_id/window/cap
sessions.tgz              /var/cpanel/sessions/{raw,preauth} (filtered)
access-logs.tgz           cpsrvd access + incoming_http_requests + error_log
                          + global Apache access/error (NO domlogs)
system-logs.tgz           /var/log/{secure,messages,audit/audit.log,auth.log}*
cpanel-state.tgz          accounting.log + resellers + cpanel.config + api_tokens_v2
cpanel-users.tgz          /var/cpanel/users/ (split out, per-account state)
persistence.tgz           ssh keys + all cron tiers + systemd/init.d/profile.d
                          + rc.local + root histories + passwd/group + sudoers
defense-state.tgz         mitigate backups + csf/apf/modsec configs + updatelogs
ps.txt / connections.txt / iptables.txt
pattern-a-binary-metadata.txt   only if /root/sshd present (metadata; binary NOT bundled)
user-histories/           per-user .bash_history (gated on --no-history)

| Фаза | Что делает |
|---|---|
| `patch` | `cpanel -V` по сравнению с опубликованным списком пропатченных сборок (включая EL6 11.86.0.41, EL6/CL6 110.0.103, tier 124, WP² 136.1.7) |
| `preflight` | Удаляет `/etc/yum.repos.d/threatdown.repo`; проверяет наличие `epel-release`; отключает повреждённые небазовые репозитории, чтобы `upcp` не падал на полпути |
| `upcp` | Если патч не применён, запускает `/scripts/upcp --force --bg` |
| `proxysub` | Включает `proxysubdomains` + вариант для новых учётных записей; пересобирает конфигурацию httpd |
| `csf` / `apf` / `runfw` | Убирает порты cpsrvd (2082/2083/2086/2087/2095/2096) из `TCP_IN`/`TCP6_IN`/`IG_TCP_CPORTS`; проверяет активную цепочку INPUT в iptables |
| `apache` | `httpd` запущен + загружен модуль `security2_module` |
| `modsec` | `modsec2.user.conf` содержит правила `1500030` и `1500031`; развернуть, если отсутствуют (резервная копия с меткой времени, проверка `httpd -t`, плавная перезагрузка) |
| `probe` (opt-in) | Запускает `sessionscribe-remote-probe.sh` против `127.0.0.1`, чтобы подтвердить блокировки на практике |

Репозитории CentOS / Alma / Rocky base/appstream/extras/updates/powertools
**никогда** не отключаются `preflight`, даже если в данный момент недоступны.

### Коды выхода

| Код | Значение |
|---|---|
| 0 | чисто — патч применён, состояние в порядке, действия не требуются |
| 1 | исправление успешно применено (`--apply` внёс изменения) |
| 2 | требуется ручное вмешательство (предупреждает в `--check`, завершается ошибкой в `--apply`) |
| 3 | ошибка инструмента (неверные аргументы, отсутствующие зависимости, не root для `--apply`) |

Выбор фаз: `--only LIST`, `--no-PHASE`, `--no-fw` (сокращение для
`--no-csf --no-apf --no-runfw`). Вывод: `--json` / `--jsonl` / `--csv`,
`-o FILE`. Полный список флагов см. в `--help`.

### Шестидесятисекундная смоук-проверка```bash
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh | bash -s -- --list-phases    # surface the phase API
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh | bash -s -- --check          # safe read-only audit
echo "exit=$?"                                  # 0 on a non-cPanel host

Режимы вывода: pretty (по умолчанию), `-q`/`--quiet`, `--oneline`, `--csv`,
`--json`. Коды выхода: `0` — уязвимостей не найдено, `1` — только неопределённые результаты, `2`
— одна или несколько уязвимостей. См. `--help` для полного списка флагов, включая
семантику `--auto-host-discover`, `--all`, `--fingerprint-only`, а также
режим `--no-verify`, доступный только на этапе 2 (устаревший, даёт ложные срабатывания на пропатченных
хостах).

---

## Сопутствующие материалы

### `modsec-sessionscribe.conf` — набор правил ModSecurity

Разворачивается автоматически командой `mitigate.sh --apply --only modsec`. Установка
вручную:```bash
curl -fsSL https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/modsec-sessionscribe.conf \
    | sudo tee /etc/apache2/conf.d/modsec/modsec2.user.conf >/dev/null
sudo apachectl -t && sudo /usr/local/cpanel/scripts/restartsrv_httpd

Обобщение выходит за пределы SessionScribe: каждая будущая CVE в cpsrvd будет затрагивать
примерно ту же поверхность, а пара тарболов для версии до исправления и
после — это разница между часами и днями анализа.
См. [исследовательскую статью](https://rfxn.com/research/cpanel-sessionscribe-cve-2026-41940)
с полным разбором RE.

---

## Использование в парке

> [!TIP]
> Каждый артефакт выдаёт структурированный вывод (`--json`, `--jsonl`, `--csv`)
> с полями `host`, `os`, `cpanel_version`, `ts` в каждой записи. Предназначен
> для сводки через `pdsh | jq` или `ansible -m script` по сотням
> хостов за один проход.

Тот же примитив curl-piped-bash — пусть каждый хост сам загрузит и выполнит последний
скрипт напрямую:```bash
IOC=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-ioc-scan.sh
MIT=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-mitigate.sh
PRB=https://raw.githubusercontent.com/rfxn/cpanel-sessionscribe/main/sessionscribe-remote-probe.sh

# IOC scan across fleet, JSONL to SIEM
for h in $(cat fleet.txt); do
    ssh "$h" "curl -fsSL $IOC | bash -s -- --jsonl --quiet"
done | jq -c '.' > fleet-ioc.jsonl

# kill-chain reconciliation across fleet (no bundles on broad sweep)
ansible -i hosts cpanel -m shell \
    -a "curl -fsSL $IOC | bash -s -- --full --no-bundle --jsonl" > fleet-forensic.jsonl
jq -r 'select(.phase=="summary" and .key=="verdict"
              and .note=="COMPROMISED_PRE_DEFENSE") | .host' \
    fleet-forensic.jsonl > pre-defense-hosts.txt

# bundle collection on the pre-defense subset
ansible -i pre-defense-hosts.txt all -m shell \
    -a "curl -fsSL $IOC | bash -s -- --full --jsonl --bundle-dir /root/.ic5790-forensic"

# mitigation posture roll-up
pdsh -w cpanel-fleet "curl -fsSL $MIT | bash -s -- --jsonl --quiet" \
    | jq -c 'select(.severity != "info")' > fleet-mitigate.jsonl

# remote probe sweep - exit 2 on any VULN  (run from operator workstation)
curl -fsSL $PRB | bash -s -- --csv --quiet \
    $(awk '{print "--target "$1}' fleet.txt) > fleet-probe.csv

Вердикт — это HTTP-код, полученный в запросе 4. Файл сессии на диске в
`/var/cpanel/sessions/raw/<sessname>` — единственный постфактум-артефакт
для криминалистического анализа. Полный примитив (две составляющие
асимметрии — `filter_sessiondata` не на каждом пути записи, кодировщик
делает ранний возврат при отсутствии `ob_part`) и
архитектурное обоснование применения на прокси-конечной
точке приведены в
[исследовательской статье](https://rfxn.com/research/cpanel-sessionscribe-cve-2026-41940).

---

## Индикаторы компрометации

Форма подделанного файла сессии (`/var/cpanel/sessions/raw/<sessname>` после
эксплуатации):```
local_port=2087
hasroot=1
hulk_registered=1
pass=x
origin_as_string=address=127.0.0.1,app=whostmgrd,method=badpass
token_denied=1
local_ip_address=127.0.0.1
external_validation_token=cS9C19OfV0hCA4uD
cp_security_token=/cpsess6844364556
ip_address=127.0.0.1
user=root
tfa_verified=1
successful_internal_auth_with_timestamp=9999999999
port=39040
login_theme=cpanel

Сигнал журнала доступа: успешные ответы `200`/`302`/`307` на
путях `/json-api/`, `/execute/` или `/scripts2/` с небазовых
исходных IP-адресов без предшествующего ответа 200 на `/login/` в том же окне
сеанса.

---

## Затронутые сборки```
11.86.0.41 (EL6/CL7)   11.110.0.97        11.118.0.63        11.124.0.35
11.126.0.54            11.130.0.19        11.132.0.29        11.134.0.20
11.136.0.5             110.0.103 (EL6/CL6 from .50)

WP Squared:            136.1.7