cPanel HF Plugin

Resumo técnico

hforensic implementa uma interface de investigação para contas cPanel sem conceder acesso privilegiado ao host. A camada UI/API em PHP aciona o motor hf.sh em modo restrito e oferece operações controladas de quarentena, restauração e exclusão, com validações de caminho, anti-CSRF, limitação de escopo e trilha de evidências.

Arquitetura em camadas

1. UI/API: hforensic/forensic.live.php
2. Runner: hforensic/bin/run_hforensic.sh
3. Engine: /usr/local/bin/hf.sh

forensic.php atua como redirect de compatibilidade para manter URLs antigas funcionais dentro do fluxo .live.php do cPanel.

Escopo funcional

• Navegação de arquivos limitada a /home/<cpanel_user>.
• Execução de auditoria por arquivo com modal de resultado.
• Extração de timeline de evidências e cards de risco.
• Export:

- impressão/PDF, - TXT, - JSON de evidências, - snapshot PNG.

• Quarentena:

- mover para quarentena, - restaurar, - excluir.

• Refresh de logs via runweblogs com wrapper seguro.

Modelo de segurança implementado

Hardening de pacote/instalação

• validação de entradas do tar (bloqueio de traversal e paths absolutos);
• exigência de root para instalação;
• verificação opcional de hash do hf.sh (--hf-sha256);
• validação de marcador/capabilidade do hf.sh antes de ativar.

Hardening UI/API (PHP)

• proteção CSRF em ações mutáveis;
• validação de método HTTP por ação;
• normalização de path e bloqueio de null byte;
• validação rigorosa de usuário;
• rejeição de symlink em operações sensíveis;
• assinatura HMAC no índice de quarentena;
• headers de segurança:

- X-Content-Type-Options: nosniff - Referrer-Policy: same-origin - X-Frame-Options: SAMEORIGIN

Hardening runner/wrapper

• regex estrita para nome de usuário;
• arquivo alvo deve resolver dentro de /home/<cpanel_user>/;
• limite de tamanho (10 MiB) para execução forense;
• wrapper hf-runweblogs-safe com:

- root-only, - SUDO_USER == CP_USER, - lock/stamp por usuário, - cooldown mínimo (default 180s).

Instalação prática

via tarball (produção)

PKG="cpanel-hf-plugin.tar.gz" && tar -xOf "$PKG" scripts/one_shot_install.sh | \
  bash -s -- --package "$PWD/$PKG" --theme jupiter

via source tree

bash scripts/install.sh --theme jupiter

Desinstalação

# tarball
PKG="cpanel-hf-plugin.tar.gz" && tar -xOf "$PKG" scripts/one_shot_uninstall.sh | \
  bash -s -- --package "$PWD/$PKG" --theme jupiter

# source tree
bash scripts/uninstall.sh --theme jupiter

Artefatos instalados

• /usr/local/cpanel/base/frontend/jupiter/hforensic/
• /usr/local/bin/hf.sh
• /usr/local/bin/hf-runweblogs-safe
• /etc/sudoers.d/hforensic_runweblogs

Registro do plugin via /usr/local/cpanel/scripts/install_plugin.

Operação e limitações

• projetado para multi-tenant compartilhado;
• sem acesso root para usuário final;
• dependente de retenção e disponibilidade de logs da conta;
• refresh de logs com anti-spam/cooldown em frontend + backend.

Stack e ferramentas

• cPanel Plugin Framework
• PHP
• Bash
• sudo wrapper controlado
• HMAC para integridade de metadados

Tags operacionais

• cPanel
• PHP
• Bash
• Forensics
• Plugin Security

Resultado operacional

• Forense self-service por conta sem comprometer isolamento de tenant.
• Redução de tempo de resposta para triagem e contenção inicial.
• Operação repetível com trilha de evidência e controles de segurança explícitos.