2026s

Tunkeutumistestaus

Wed, 12 Aug 2026 10:17:12 +0300

Learn to hack computers to protect your own. In the course, you will break into target computers.

Excellent feedback, reached 5.0 out of 5.

Update: Visitors confirmed: Buuri (pentesting banks), Särökaari (attacking identity?), joohoi (creator of ffuf).


Course name and code	Tunkeutumistestaus ICI005AS3A-3007 (study guide)
Timing	2026 period 1 early autumn, w34-w41
Credits	5 cr
Classes	Thursdays 11:00-13:45, Pasila pa5001, bring your laptop
Max students	30
Language	Finnish (+reading material in English)
Remote	No, fully contact in Pasila classroom
Feedback	4.8 / 5 Excellent feedback* (Best instance 5.0/5)
Services	Moodle: Tunkeutumistestaus, Laksu. Voluntary extra: Tero's list.
First class	2026-08-20 w34 Thu 11:00, pa5001, bring your laptop.

* Best instance 5.0/5, every student gave feedback and every feedback was 5. Lowest 4.5/5 excellent, typical 4.9/5 excellent. Use of penetration testing techniques requires legal and ethical considerations. To safely use these tools, tactics and procedures, you might need to obtain contracts and permissions; and posses adequate technical skills. Check your local laws.

Teaching is in Finnish, so the rest of this page will be in Finnish.

Tunkeutumistestaus on eettisen hakkeroinnin kurssi. Opit, miten murtaudutaan tietokoneille, jotta voisit suojata omat ja toimeksiantajan järjestelmät. Nämä tekniikat, ohjelmat ja taktiikat ovat luvallisia vain tietyissä tilanteissa. Usein pitää hankkia lupia ja tehdä sopimuksia. Lisäksi näiden tekniikoiden turvalliseen käyttöön tarvitaan teknistä taitoa. Perehdy itse paikallisiin lakeihin.

Oppimistavoitteet

Opintojakson suoritettuaan opiskelija

Tuntee tunkeutumistestauksen prosessin pääpiirteissään
Tietää, että tunkeutumistestaukselle on lailliset ja eettiset rajat
Osaa kartoittaa kohdejärjestelmän haavoittuvuuksia
Osaa hyödyntää valmiita hyökkäyksiä (exploit) ja liittää niihin hyötykuorman käyttäen kurssille valittua työkalua
Osaa soveltaa tavallisimpia hyökkäyksiä weppisovelluksia vastaan, kun kohdeohjelmistot ovat helppoja ja haavoittuvia.
Osaa hankkia tunkeutumistestauksessa tarvittavia ohjelmistoja

Kurssilta ei saa mukaansa ilmaista pakettia nollapäivähaavoittuvuuksia, eikä kurssi anna mitään erityisoikeuksia eikä ammattinimikkeitä.

Aikataulu

Torstaisin 11:00 - 13:45 Pasila pa5001.

Päivä	Aihe
2026-08-20 w34 Thu	1. Tunkeutumisen yleiskuva. Järjestäytyminen. Kybertappoketju.
2026-08-27 w35 Thu	2. Vierailija Marko Buuri, cybersecurity adviser, Suomen Pankki: DORA & threat lead penetration testing (11:00). Harjoitusympäristöt, ulkopuoliset ja oma virtuaalilaboratorio.
2026-09-03 w36 Thu	3. Aktiivinen tiedustelu. Porttiskannaus ja oheistekniikat. Valvonta snifferillä.
2026-09-10 w37 Thu	4. Vierailija Niklas Särökaari, lead cybersecurity operations engineer, KONE: Attacking identity (topic to be confirmed) (11:00). Weppiin murtautuminen. IDOR, path traversal, SSRF. Välimiesproxyt, ZAP tai mitmproxy. Harjoitusympäristöt weppiin.
2026-09-17 w38 Thu	5. Vierailija Joona joohoi Hoikkala, creator of ffuf (topic to be confirmed, 11:00). Weppiin murtautuminen. SQLi. Keksit. CSRF. Oman TLS-salatun liikenteen purkaminen. Norjalaisia vieraita seuraamassa, Noroff.
2026-09-24 w39 Thu	6. Haittaohjelmat ja takaovet. Bind ja reverse shell. Metasploit ja Msfvenom.
2026-10-01 w40 Thu	7. Salasanojen murtaminen. Käyttäjien salasanat. Sanakirjahyökkäys. Hashcat.
2026-10-08 w41 Thu	8. Lipunryöstö, arvioitava laboratorioharjoitus.

Tämä on edistynyt kurssi, joten tuntien aiheisiin voi tulla muutoksia kurssin edetessä.

Kertausmateriaalia

Tämä materiaali on vapaaehtoista, jos osaat ne jo. Lähteet ovat esimerkkejä, voit osata/opetella nuo asiat mistä vain haluat. Esimerkiksi ohjelmoinnin alkeita harjoitella tai osata aivan millä vain kielellä (Python, C...). Jos kurssilla järjestetään alkutesti, kysymykset eivät rajoitu kertauspaketin materiaaliin.

TCP/IP-pino: Wikipedia: Internet protocol suite
Linuxin komentokehote: Command Line Basics Revisited (ja Linuxin asennus Install Debian on VirtualBox)
Tietokantojen alkeet (millä vain alustalla): PostgreSQL Install and One Table Database - SQL CRUD tutorial for Ubuntu
Ohjelmoinnin alkeet (millä vain kielellä). Python on myös hyvä vaihtoehto. FreeCodeCamp.org: Javascript Algorithms And Data Structures Certification: Basic JavaScript: Introduction to JavaScript

Luettavaa ja linkkejä

€ Maksulliset aineistot saattavat näkyä ilmaiseksi Haaga-Helian tunnuksilla kirjaston kautta. Haaga-Helialla on käyttöoikeus O'Reilly Learning -kirjoihin (ent. Safari).

Työkaluja kurssille

Install Debian on VirtualBox
Remote Learning Tools for Tero's Courses
Kali Linux. Uusi levykuva kali-linux-2021.1-live-amd64.iso (vanha levykuva kali-linux-2020.3-live-amd64.iso). Kun linkki menee vanhaksi, etsi Kalin kotisivulta tuorein amd64-arkkitehtuurin live-tikun iso-kuva.

L2 weppihyökkäyksiä - tukee läksyä h2

OWASP 10 2017 (pdf), erityisesti ne hyökkäykset, joita aiot kohta tehdä eli A2 Broken Authentication, A3 Sensitive Data Exposure, A7 Cross Site Scripting; sekä viime kerralla harjoiteltu A1 Injection.
€ Santos et al 2018: Hacking Web Applications The Art of Hacking Series LiveLessons (video): Security Penetration Testing for Today's DevOps and Cloud Environments: 6.3 Understanding SQL Injection ja 6.4 Exploiting SQL Injection Vulnerabilities sekä Lesson 5: Authentication and Session Management Vulnerabilities
€ Percival & Samancioglu 2020: The Complete Ethical Hacking Course (video): Chapter 21: Cross Site Scripting
Hutchins et al 2011: Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains

Yleiskuva, harjoitusmaaleja, web

MITRE ATT&CK
Darknet Diaries . Podcastien kuunteluun kännykällä AntennaPod löytyy F-Droidista
MitmProxy on Kali and Xubuntu
Install Webgoat 8 - Learn Web Pentesting. (It's also possible to install old version 7 of WebGoat with Docker).
OWASP 10 2017 (pdf). Tällä hetkellä 2021-02-02 uusin versio.

Aktiivinen tiedustelu. HackTheBox.

€ Santos et al: The Art of Hacking (Video Collection): [..] 4.3 Surveying Essential Tools for Active Reconnaissance: Port Scanning and Web Service Review
man nmap (laaja, silmäily riittää)
Kokonaisia blogeja ja videokanavia, vilkaise, ei tarvitse katsoa 200 h videota:
- https://tools.kali.org/tools-listing
- 0xdf https://0xdf.gitlab.io/
- ippsec https://www.youtube.com/channel/UCa6eh7gCkpPo5XXUDfygQQA/videos
- John Hammond https://www.youtube.com/user/RootOfTheNull/videos?sort=p
- Youtube-videoiden katseluun kännykällä NewPipe F-Droidista. Youtube-videoiden nopeuden säätöön codebicycle Video Speed Controller addon Firefoxille.

Passwords, Learning to Learn tools

infosecn1nja 2020: Red-Teaming-Toolkit
Taylor et al 2018: The Art of Hacking: Hacking User Credentials €

Web Fuzzing, Second to Last Words

Hoikkala "joohoi" 2020: ffuf - Fast web fuzzer written in Go
Hoikkala "joohoi" 2020: Still Fuzzing Faster (U fool). In HelSec Virtual Meetup #1.
Miettinen 2020: iPhone BFU Acquisition and Analysis. In HelSec Virtual Meetup #1.

Metasploit

€ Jaswal 2020: Mastering Metasploit - 4ed: Chapter 1: Approaching a Penetration Test Using Metasploit (kohdasta "Conducting a penetration test with Metasploit" luvun loppuun)
Karvinen 2018: Install Metasploitable 3 – Vulnerable Target Computer (Article uses rapid7/metasploitable3-ub1404 , see also "rapid7/metasploitable3-win2k8")

Vanhoja toteutuksia

Tunkeutumistestaus ICI005AS3A-3004 - 2026 loppukevät

Tunkeutumistestaus ICI001AS3A-3002 - 2024p4-loppusyksy

Tunkeutumistestaus 2024p2

Tunkeutumistestaus ici005as3a-3001 loppukevät pa2004

Tunkeutumistestaus ict4tn027-3012 loppusyksy online

Tunkeutumistestaus ict4tn027-3009

Tunkeutumistestaus ict4tn027-3010 - Syksy 2022

Tunkeutumistestaus ict4tn027-3007 - 2022p4 late spring

Tunkeutumistestaus ict4tn027-3008 - 2021 Autumn

itc4tn027-3005: Tunkeutumistestaus eli eettinen hakkerointi -kurssi

Penetration Testing Course 2020 Autumn - Tunkeutumistestaus ict4tn027-3006

Penetration Testing Course 2020 Spring - Tunkeutumistestaus ict4tn027-3003

Haku "Tunkeutumistestaus"

Läksyt

Palauta linkki Laksuun 24 h ennen seuraavaa lukujärjestykseen merkittyä kurssivarausta. Tehtävät ovat pakollinen ja tärkeä osa kurssia.

Läksyt ovat virallisia vasta, kun ne on vahvistettu (yleensä oppitunnin päätteeksi). Tämä on edistynyt kurssi, joten ohjelmaan tulee yleensä muutoksia kurssin aikana. Osa tehtävistä edellyttää huolellisuuden lisäksi tietoja ja taitoja työkalujen käytöstä, jottei synny vahinkoja - tee vasta, kun tiedät oikeat työtavat.

Läksyt käydään läpi seuraavalla tapaamiskerralla, ratkotaan yhdessä ongelmia ja annetaan suullista palautetta. Arvosana kotitehtäväpaketista tulee vasta kurssin lopuksi, mutta tehtävät tulee silti palauttaa aina vuorokautta ennen seuraavia tunteja. Julkaiseminen on vapaaehtoista, mutta erittäin suositeltavaa. Jos et jostain syystä uskalla tai muuten halua julkaista, voit laittaa työn weppisivulle salasanan taakse (kaikille kotitehtäville sama salasana) ja jakaa tämän salasanan kurssilaisten kanssa. Jos tuntien yhteydessä järjestetään testejä läksyjen aiheista, niiden pisteet sisältyvät arvostelun kohtaan läksyt.

Läksyt pitää tehdä tietokoneella kokeilemalla ja raportoida tapahtumien kulku, ellei kyseisessä alakohdassa erikseen muuta lue. Raportti tulee kirjoittaa samalla, kun työskentelee.

Kaikki käytetyt lähteet tulee merkitä raporttiin: kurssin tehtäväsivu, kurssikavereiden raportit, man-sivut, kirjat.

Tiivistelmiä tai esseitä ei saa generoida tekoälyllä eikä muilla vastaavilla tekniikoilla, vaan ne on kirjoitettava itse. Mikäli tekoälyltä kysyy neuvoa, se on merkittävä lähteeksi. Tekoälyt hallusinoivat, tiedot on suositeltavaa tarkistaa. Tehtävät tulee tehdä itse, eikä niitä tule antaa suurelta osin tekoälyn ratkaistavaksi. Sehän olisi sama kuin ostaa punttisjäsennyys - ja nokkelasti jättää käymättä punttisalilla.

Kaksi ristiinarviota (vähintään) per palautettu tehtävä. Ristiinarvioilla harjoitellaan palautteen antamista ja analyysia. Anna sisällöllisiä kommentteja, parannusehdotuksia, neuvoja.

Tehtäviä saa aloittaa vasta, kun on hyväksynyt kurssin säännöt.

h1 Kybertappoketju

Tehtäviä saa aloittaa vasta, kun on hyväksynyt kurssin säännöt. Koneet on eristettävä Internetistä hyökkäysten harjoittelun ajaksi.

Tehtävät ovat virallisia vasta, kun ne on annettu tehtäväksi. Niitä ei tule aloittaa etukäteen, koska niiden sisältö voi vielä muuttua olennaisesti.

x) Lue/katso/kuuntele ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva. Kannataa lisätä kustakin oma huomio, idea tai kysymys.)
- Herrasmieshakkerit (RSS) tai Darknet Diaries (RSS) , yksi vapaavalintainen jakso jommasta kummasta. Voi kuunnella myös lenkillä, pyykiä viikatessa tms. Siisti koti / hyvä kunto kaupan päälle.
- Hutchins et al 2011: Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains, chapters Abstract, 3.2 Intrusion Kill Chain.
- € Santos et al: The Art of Hacking (Video Collection): 4.3 Surveying Essential Tools for Active Reconnaissance. Sisältää porttiskannauksen. 5 videota, yhteensä noin 20 min.
- KKO 2003:36. (Vain silmäily, ei tarvitse lukea kokonaan eikä varsinkaan tehdä syvällistä analyysia).
a) Asenna Kali virtuaalikoneeseen. (Jos asennuksessa ei ole mitään ongelmia tai olet asentanut jo aiemmin, tarkkaa raporttia tästä alakohdasta ei tarvita. Kerro silloin kuitenkin, mikä versio ja millä asennustavalla. Jos on ongelmia, niin tarkka ja toistettava raportti).
b) Irrota Kali-virtuaalikone verkosta. Todista testein, että kone ei saa yhteyttä Internetiin (esim. 'ping 8.8.8.8')
c) Porttiskannaa 1000 tavallisinta tcp-porttia omasta koneestasi (nmap -T4 -A localhost). Selitä komennon paramterit. Analysoi ja selitä tulokset.
d) Asenna kaksi vapaavalintaista demonia ja skannaa uudelleen. Analysoi ja selitä erot.
e) Ratkaise vapaavalintainen kone HackTheBoxista. Omalle tasolle sopiva, useimmille varmaan Starting Pointista. Valitse kone, jota et ole ratkaissut vielä. Ei tunnilla näytetty Meow. (Propellihatuille: jos teet vaikeampia ei-starting-point koneita, niin retired tai vastaava kone, josta saa julkaista writeupin).

Vinkkejä

Sivun tekeminen wepiin onnistuu helposti Githubilla. Karvinen 2023: Create a Web Page Using Github
Podcastien kuunteluun AntennaPod löytyy F-Droid:sta ja Google Play:sta. Tietysti podcasteja voi kuunnella sadoilla muillakin ohjelmilla.
Halutessasi voit käyttää myös muita virtualisointiympäristöjä kuin VirtualBoxia, esim Macilla UTM tai Linuxilla virt-manager (libvirt, qemu). Tämä edellyttää toki omaa soveltamista.
Suosittelen Kaliin 4 GB muistia
OffSec Ltd 2023: Prebuilt Virtual Machines
Tutustu tarvittaessa itse etsimiisi lähteisiin, kuten man-sivuihin ja ohjelmien dokumentaatioon.
HackTheBox:n OpenVPN-yhteyden asennus (ulkomuistista)
- Oikea HackTheBoxin alue on "Practice hands-on Labs" https://app.hackthebox.com/home (ei Academy)
- Tallenna ruutukaappaus säännöistä ennen aloitusta. HTB oikealla ylhäällä, kysymysmerkin alla.
- Lataa Starting Point foo.ovpn
  - Connect-nappi, HackTheBoxin oikeassa yläreunassa
  - Oikealla ylhäällä "Connect", "Starting point"
- Tuo (import) yhteys Network Manager:iin
  - Network manager - Linuxissa ala/yläpalkissa tarjottimella (tray, notification area), naaras ethernet-portin kuva tai koneet haalaavat -ikoni (riippuen versiosta). Tai komentoriviltä 'nmcli'.
  - VPN Connections: Create. "Import" on alimmaisena, ja valikkoa pitää kelata alaspäin.
- VPN päälle, testaus.
  - VPN päälle löytyy samasta Network Manager -kuvakkeesta.
  - 'ping 8.8.8.8' - pitäisi toimia (vastata) VPN pois päältä, ja lakata vastaamasta kun laitat VPN päälle.
Muista laittaa lähdeviitteet. Viittaa joka tehtävästä kurssiin ja kaikkiin muihinkin käyttämiisi lähteisiin.
O'Reilly Learning videot ja kirjat pääset lukemaan ilmaiseksi HH tunnuksilla, kun kirjaudut kirjaston Haaga-Helia A-Z kautta.
Kun olet irroittanut Internetin ja valmiina skannaamaan, varmista. Kokeile, että Google tai DuckDuckGo ei aukea selaimella, että et voi pingata esim 8.8.8.8. Kokeile, että maalikoneesi vastaa pingiin. Jos maalikoneella on weppipalvelin, kannattaa katsoa selaimella, että sieltä aukeaa olettamasi sivu.
Tietoja verkosta
- ip a; ifconfig
- ip route
- ipcalc 10.0.0.1/24
- ping 8.8.8.8
Ole huolellinen, irrota harjoituskoneet Internetistä skannausten ja hyökkäysten ajaksi. Mitään ulkopuolisia koneita ei saa skannata eikä mihinkään ulkopuolisiin koneisiin saa tunkeutua.
Jokin tehtävä voi olla vaikea. Tee ja raportoi silloin kaikki mitä osaat. Listaa lähteet, joista hait ohjeita. Onko jotain vielä kokeiltavana? Mitä haasteita on vielä ratkaisun tiellä? Mitä virheimoituksia tai vastaavia tulee? Voit myös katsoa wepistä esimerkkiratkaisun - muista viitata lähteeseen ja merkitä, missä kohdassa katsoit ratkaisua. Ja katsotaan yhdessä tunnilla loput.
Ongelmallisista kohdista raportoidaan erityisen tarkasti, jotta voimme antaa vinkkejä haasteisiin.

h2 DORA the Explora

Can you say TIBER-FI?

x) Lue/katso/kuuntele ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva. Lisää mukaan jokin oma havainto, idea tai kysymys)
- Buuri 2026: DORA and TLPT testing - Lecture for Haaga-Helia on 31 March 2026 (pdf, 2 MB)
- DORA (Regulation ... on digital operational resilience for the financial sector) (vain nämä kaksi artiklaa):
  - Article 26 "Advanced testing of ICT tools, systems and processes based on TLPT"
  - Article 27 "Requirements for testers for the carrying out of TLPT"
- TIBER-FI procedures and guidelines (pdf, 1 MB) (vain tämä kohta):
  - 5.4 Testing phase: Red team testing (johdantokappale suoraan 5.4 alta, "5.4.1 Red team test plan creation" alkuun asti)
- Vapaaehtoinen bonus: Buuri 2026: D26 - Releasing Your Inner TIBER in Regulated Adversary Simulations. Video, 45 min. Disobey 2026.
a) Asenna Metasploitable 2 virtuaalikoneeseen.
b) Tee Kalin ja Metasploitablen välille virtuaaliverkko. Jos säätelet VirtualBoxista
- Kali saa yhteyden Internettiin, mutta sen voi laittaa pois päältä
- Kalin ja Metasploitablen välillä on host-only network, niin että porttiskannatessa ym. koneet on eristetty intenetistä, mutta ne saavat yhteyden toisiinsa
c) Harjoittelemme omassa virtuaaliverkossa, jossa on Kali ja Metaspoitable. Osoita testein, että 1) koneet eivät saa yhteyttä Internetiin 2) Koneet saavat yhteyden toisiinsa.
d) Etsi Metasploitable porttiskannaamalla (nmap -sn). Tarkista selaimella, että löysit oikean IP:n - Metasploitablen weppipalvelimen etusivulla lukee Metasploitable.
e) Porttiskannaa Metasploitable huolellisesti ja kaikki portit (nmap -A -T4 -p-). Poimi 2-3 hyökkääjälle kiinnostavinta porttia. Analysoi ja selitä tulokset näiden porttien osalta. Voit hakea analyysin tueksi tietoa verkosta, muista merkitä lähteet.
f) Vapaaehtoinen bonus: Sisään vaan. Pääsetkö murtautumaan Metasploitableen?
g) Vapaaehtoinen bonus: jos haluat, voit jo kokeilla metasploit-hyökkäysohjelmaa omaan harjoitusmaaliisi. Tätä katsotaan myöhemmin yhdessäkin. (Muista irrottaa kone Internetistä kokeilujen ajaksi. 'sudo msfdb init', 'sudo msfconsole').

Vinkkejä

Virtuaalikoneiisin voi asentaa uusia verkkokortteja vain, kun ne ovat sammuksissa
Kannattaa lukea Valkamon artikkelista VirtualBox-osuus ennenkuin ryhdyt asentamaan virtuaalikoneita. Valkamo 2022: Hacking into a Target Using Metasploit: Metasploitable
VirtualBoxissa host-only-networking on kätevä. Voit laittaa Kaliin kaksi verkkokorttia, toinen NAT:lla Internetiin ja toinen host-only-network:n. Verkkoasetusten advanced-kohdasta voi vetää virtuaalisen verkkokaapelin irti ja kiinni, vaikka kone on päällä.
Jos Metasploitable 2 -maali ei löydy omasta verkosta (arp, arpwatch, netdiscover, nmap -sn...), voit kirjatua sisään (msfadmin:msfadmin) ja 'ifconfig' tai 'ip addr'. Metasploitable 2:n kannattaa laittaa vain yksi "Host only networking" verkkokortti, se ei toimi itsestään kahden verkkokortin kanssa.

h3 EternalHomework

x) Lue/katso/kuuntele ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva.)
- € Jaswal 2020: Mastering Metasploit - 4ed: Chapter 1: Approaching a Penetration Test Using Metasploit (kohdasta Conducting a penetration test with Metasploit luvun loppuun eli "Summary" loppuun)
- Mitä 'nmap -sn' tekee? Älä arvaa, vaan perustele lähteillä. Mistä tiedät, että käyttämäsi lähde on luotettava?
b) Tallenna porttiskannauksen tuloksia Metasploitin tietokantoihin. Skannaa niin, että Metasploitable tulee mukaan. Kannattaa ottaa mukaan ainakin versioskannaus -sV (joka on banner grabbing plus).
c) Tarkastele Metasploitin tietokantoihin tallennettuja tietoja komennoilla "hosts" ja "services". Kokeile suodattaa näitä listoja tai hakea niistä.
d) Internet famous. Etsi Metasploitablen mukana tulevista hyökkäyksistä (en: exploits; search) sellainen, joka on ollut julkisuudessa.
e) Vertaile nmap:n omaa tiedostoon tallennusta (-oA foo) ja db_nmap:n tallennusta tietokantoihin. Mitkä ovat eri tiedostomuotojen ja Metasploitin tietokannan hyvät puolet?
f) Murtaudu Metasploitablen vsftpd-palveluun
g) Kerää levittäytymisessä (lateral movement) tarvittavaa tietoa metasploitablesta. Analysoi tiedot. Selitä, miten niitä voisi hyödyntää.
h) Murtaudu Metasploitableen jollain toisella tavalla. (Jos tämä kohta on vaikea, voit tarvittaessa turvautua verkosta löytyviin läpikävelyohjeisiin. Merkitse silloin raporttiin, missä määrin tarvitsit niitä).
i) Demonstroi Meterpretrin ominaisuuksia.
j) Tallenna shell-sessio tekstitiedostoon script-työkalulla (script -fa log001.txt) tai tmux:lla.
k) Pivot point. Laita kaikki harjoituksen tiedostot (script -fa, nmap -oA...) samaan kansioon. Hae sopiva pivot point (sovellus, versio, osoite, MAC-numero) 'grep -r' -komennolla. Keksi uskottava esimerkkikysymys, johon haet vastausta.
l) Attaaack! Mitä Mitre Attack taktiikoita ja tekniikoita käytit tässä harjoituksessa? (Tässä alakohdassa "Attaack!" ei tarvitse tehdä lisää testejä koneella, koska testit on jo tehty.)
m) Vapaaehtoinen: Etsi esimerkki Mitre Attack proseduurista (procedure), jossa joku uhkatoimija on käyttänyt samoja tekniikoita.
n) Vapaaehtoinen: Titityy. Saatko Metasploitableen tty-shellin, eli esimerkiksi avattua koko ruudulle piirtävän nano:n?
o) Vapaaehtoinen, vaikea: Kokeile jotain kilpailevaa hyökkäystyökalua tai vihamielistä etäkäyttötyökalua, kuten Sliver tai Scarecrow.
p) Vapaaehtoinen: Asenna ja korkkaa Metasploitable 3. Karvinen 2018: Install Metasploitable 3 – Vulnerable Target Computer
q) Vapaaehtoinen: Peekaboo. Demonstroi, kuinka hyökkääjä vakoilee meterpreterillä. Kuuntele mikrofonilla, ota kuvia tai videota kameralla. (Huolehdi, ettei ulkopuolisia joudu kuunnelluksi tai katselluksi.)

Vinkkejä

O'Reilly Learning videot ja kirjat pääset lukemaan ilmaiseksi HH tunnuksilla, kun kirjaudut kirjaston kautta.
Jos Metasploitable 2 -maali ei löydy omasta verkosta (arp, arpwatch, netdiscover, nmap -sn...), voit kirjatua sisään (msfadmin:msfadmin) ja 'ifconfig' tai 'ip addr'. Metasploitable 2:n kannattaa laittaa vain yksi "Host only networking" verkkokortti, se ei toimi itsestään kahden verkkokortin kanssa.
Murtautumiseen Metasploitable 2:n löytyy esimerkkiratkaisuja Metasploitable 2 Exploitability Guide. Tämä on läpikävelyohje, joten kannattaa yrittää ensin itse.
Mitre Attack Enterprise Matrix
- Tactic, välitavoitteita, esim. TA0003 Persistence
- Techique, keinoja, esim. T1189 Drive-by Compromise
- Mitre FAQ
grep -ir
- grep -ir -C 3 --color=always terokarvinen.com|less -R

MsfConsole vinkit (ulkomuistista)

Tässä siis ulkomuistista, voit etsiä näistä lisätietoa ja oikean kirjoitusasun.

$ sudo msfdb init
$ sudo msfconsole
msf> db_nmap localhost
msf> services
msf> hosts
msf>
msf> workspaces
msf> sessions
msf> sessions --help
msf>
msf> search vsftpd
msf> use 0
msf> setg RHOSTS 127.0.0.1 # huolellisesti, tähän hyökätään kohta
msf>
msf> show options
msf> exploit
msf>
msf> sessions 1
shell
ctrl-Z
msf> session -u 1

h4 Täysin Laillinen Sertifikaatti

x) Lue/katso ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva kustakin artikkelista - ei pitkiä esseitä. Kannattaa lisätä myös jokin oma ajatus, idea, huomio tai kysymys.)
- OWASP 2021: OWASP Top 10:2021
  - A01:2021 – Broken Access Control (IDOR ja path traversal ovat osa tätä)
- PortSwigget Academy:
a) Totally Legit Sertificate. Asenna OWASP ZAP, generoi CA-sertifikaatti ja asenna se selaimeesi. Laita ZAP proxyksi selaimeesi. Laita ZAP sieppaamaan myös kuvat, niitä tarvitaan tämän kerran kotitehtävissä. Osoita, että hakupyynnöt ilmestyvät ZAP:n käyttöliittymään. (Voi vaatia Firefox about:config network.proxy.allow_hijacking_localhost. Foxyproxy laittoi tämän aiemmin päälle itse. Kalin Firefox ESR oli viimeksi ongelmia Foxyproxyn kanssa - vaihtoehtona on asettaa Proxy käsin Settings, hakusana "proxy")
b) Kettumaista. Asenna "FoxyProxy Standard" Firefox Addon, ja lisää ZAP proxyksi siihen. Käytä FoxyProxyn "Patterns" -toimintoa, niin että vain valitsemasi weppisivut ohjataan Proxyyn. (Läksyssä ohjataan varmaankin PortSwigger Labs ja localhost.)
PortSwigger Labs. Ratkaise tehtävät. Selitä ratkaisusi: mitä palvelimella tapahtuu, mitä eri osat tekevät, miten hyökkäys löytyi, mistä vika johtuu. Kannattaa käyttää ZAPia, vaikka malliratkaisut käyttävät harjoitusten tekijän maksullista ohjelmaa. Monet tehtävät voi ratkaista myös pelkällä selaimella. Malliratkaisun kopioiminen ZAP:n tai selaimeen ei ole vastaus tehtävään, vaan ratkaisu ja haavoittuvuuden etsiminen on selitettävä ja perusteltava.
- Cross Site Scripting (XSS)
  - c) Reflected XSS into HTML context with nothing encoded
  - d) Stored XSS into HTML context with nothing encoded
  - e) Selitä esimerkin avulla, mitä hyökkääjä hyötyy XSS-hyökkäyksestä. Alert("Hei Tero!") ei vielä tarjoa kummoista pääsyä. (Tässä alakohdassa ei tarvitse tehdä testejä tietokoneella, pelkkä lyhyt ja selkeä selitys riittää.)
- Path traversal
  - f) File path traversal, simple case. Laita tarvittaessa Zapissa kuvien sieppaus päälle.
  - g) File path traversal, traversal sequences blocked with absolute path bypass
  - h) File path traversal, traversal sequences stripped non-recursively
- Insecure Direct Object Reference (IDOR)
  - i) Insecure direct object references
j) Vapaaehtoinen, helppo: Asenna pencode ja muunna sillä jokin merkkijono (encode a string).
k) Vapaaehtoinen: Mitmproxy. Asenna MitmProxy. Esittele sitä terminaalissa (TUI). Ota TLS-purku käyttöön. Poimi historiasta hakupyyntö, muokkaa sitä ja lähetä uudelleen.
l) Vapaaehtoinen: Ratkaise lisää PortSwigger Labs -tehtäviä. Kannattaa tehdä helpoimmat "Apprentice" -tason tehtävät ensin.

Vinkit

Firefox ei enää ohjaa proxyyn liikennettä mihinkään 127-alkuiseen IP-osoitteeseen eikä localhostiin. Foxyproxy tai about:config network.proxy.allow_hijacking_localhost auttaa
Zap asennus
- Nykyisin Kalissa 'sudo apt-get install zaproxy', 'zaproxy' näytti toimivan, joten kannattaa kokeilla sitä ensin.
- OWASP ZAP Download-sivun sopivin JAR on "Cross Platform Package", noin 250 MB.
- Kalissa 'sudo apt-get install zaproxy'
Proxya voi testata vaikkapa Metasploitablen weppipalveluiden kanssa. Tai asentaa WebGoatin Podmaniin. Tai käyttää läksyn PortSwigger Labsin harjoituksia.
- Älä tee hyökkäyksiä mihinkään muualle kuin harjoitusmaaleihin
ZAP TLS-yhteyksien avaamiseen CA-sertifikaatti
- Löytyy Tools: Options: Network alta, hakusanaksi "Certificate".
  - Joissain versioissa haku ei suodata listaa, vaan värittää osumat oranssilla. Ja tietysti oikea sertifikaatti on piilossa, niin että pitää klikkaamalla avata listaa. Sertifikaattikohtia on kaksi, tässä turha asiakkaan sertifikaatti ja oikea, tarvittava palvelimen sertifikaatti (Server Certificate tms).
- Firefoxissa Settings ja hakusanaksi "Certificate"
ZAP:n tärkein toiminto: Requester tab.
- Löytyy historiasta oikeaa nappia painamalla. Myös Ctrl-W.
- Muokkaa hakupyyntöä ja lähetä. Vastaus näkyy vieresssä. Korjaa ja lähetä uudelleen.
ZAP hakupyynnön pysäytys
- Vain, jos Requester eli saman pyynnön uudelleenlähetys ei toimi.
- Puussa olevista osoitteista oikeaa nappia, menusta "Break..."
- Tee pyyntö selaimella
- Pyyntö näkyy ZAPissa oikealla ylhäällä "Break" välilehdellä.
- Muokaa pyynnön tekstiä, lähetä eteenpäin yläreunan työkalupallin Play-symbolia klikkaamalla
ZAP kuvien sieppaus muistaakseni Options: Display: ...images.
- Osa tässäkin läksynä olevista harjoituksista edellyttää, että kuvien sieppaus on päällä.
- Monissa ZAP:n versioissa jättää kokonaan kuvat näyttämättä oletuksena.
PortSwiggerin tehtävissä voi käyttää välimiesproxyna ZAP:ia tai MitmProxya. Ei siis tarvitse ostaa noiden harjoitusten tekijän kuuluisaa ohjelmaa.
Pencoder - loistava ohjelma stringien muunteluun fuff:n tekijältä. Esim. URLEncode, base64...
- Pencoder asennus ulkomuistista: hae Github-sivu "fuff pencode", Releases, pencode*linux_amd64.tar.gz, pura paketti, aja valmis binääri, kopioi se /usr/local/bin/.
Viittaa
- Viittasithan kurssiin ja tehtäväsivuun?
- Viittasithan kaikkiin käyttämiisi artikkeleihin?
- Viittasithan muiden tehtäväraportteihin, jos käytit lähteenä?
- Videoihin, man-sivuihin, ohjelmiin, StackOverflowhun...
- Viittasithan kaikkiin muihinkin lähteisiin?
Hakkeroimaan oppii hakkeroimalla.

h5 Fuzzy

Opit käyttämään maailman johtavaa weppifuzzeria: ffuf.

x) Lue/katso/kuuntele ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva. Lisää mukaan jokin oma idea, huomio, kysymys tai kommentti.)
- Karvinen 2023: Find Hidden Web Directories - Fuzz URLs with ffuf
- Jompi kumpi, Hoikkalan video tai teksti:
  - Hoikkala 2023: ffuf README.md, tai
  - Hoikkala "joohoi" 2020: Still Fuzzing Faster (U fool). In HelSec Virtual meetup #1. (Noin tunnin mittainen)
a) Fuzzzz. Ratkaise dirfuz-1 artikkelista Karvinen 2023: Find Hidden Web Directories - Fuzz URLs with ffuf.
b) Fuff me. Asenna FuffMe-harjoitusmaali. Karvinen 2023: Fuffme - Install Web Fuzzing Target on Debian
Ratkaise ffufme harjoitukset - kaikki paitsi ei "Content Discovery - Pipes".
- c) Basic Content Discovery
- d) Content Discovery With Recursion
- e) Content Discovery With File Extensions
- f) No 404 Status
- g) Param Mining
- h) Rate Limited
- i) Subdomains - Virtual Host Enumeration

h6 Koita simpukoita

Mitä kirjainta pitää painaa? Missä on "any key"? Nyt joudut itse hakemaan ohjeita verkosta työkalujen käyttöön, mikä tekee monesta kohdasta haastavamman.

Mikään tässä harjoituksessa tehty tai käytetty ohjelma ei saa olla itsestään leviävä (ei virus, ei mato).

Useimmat tehtävät eivät edellytä haittaohjelman binäärin liittämistä raporttiin. Mikäli laitat binäärin verkkoon, pakkaa se salakirjoitettuun zip-pakettiin ja laita salasanaksi yleisen käytännön mukaan "infected". Latauslinkin yhteydessä on oltava selkeä varoitus siitä, että kyseessä on haittaohjelma (malware), jota ei tule ajaa tuotantokoneilla. Salasanan voit halutessasi kertoa varoitusten yhteydessä.

a) Venom. Tee msfvenom-työkalulla haittaohjelma, joka soittaa kotiin (reverse shell). Ota yhteys vastaan metasploitin multi/handler -työkalulla.
b) Snif venom! Tarkastele ja analysoi msfvenomin muodostamaa reverse shell -yhteyttä. Käytä snifferiä, kuten Wireshark. Mitä havaitset? Mistä ominaisuuksista yhteyden voi tunnistaa? Millä muutoksilla tunnistamista voi vaikeuttaa?
c) Hello, Sliver. Näytä esimerkki http-yhteydestä Sliverillä.
d) Sniff Sliver! Tarkastele Sliverin http-yhteyttä snifferillä. Mitä havaitset? Mistä ominaisuuksista yhteyden voi tunnistaa?
e) Sliverillä voit muuttaa yhteyden ominaisuuksia. Kokeile ja näytä esimerkki. Muista todeta testein, että muutokset toimivat.
f) Sliverillä voi tehdä monenlaista kohteessa, ruutukaappauksista alkaen. Näytä esimerkkejä toiminnoista.
g) Vapaaehtoinen: Kokeile Sliver-binääriä Windowsissa.
h) Vapaaehtoinen: Tee Windows-asennusohjelma, joka asentaa jonkin tavallisen ohjelman ja sen yhteydessä Sliver-haitakkeen.
i) Vapaaehtoinen: Kokeile Veil.
j) Vapaaehtoinen: Kokeile ScareCrow.
k) Vapaaehtoinen: Tee PoshC2-työkalulla haittaohjelma, joka soittaa kotiin.
l) Vapaaehtoinen: Tee Mythic-työkalulla haittaohjelma, joka soittaa kotiin.
m) Vapaaehtoinen: Asenna Windows-virtuaalikone ja tee kotiin soittava haittaohjelma siihen. Itse tykkään Linuxista ja käytän paljon sitä, tässä hieman vaihtelua. Windows-käyttäjät ovat myös usein tottuneet (paketinhallinnan puutteessa) lataamaan ohjelmia weppisivuilta.

Vinkit

Irrota tarvittasessa koneet netistä testien ajaksi.
Metasploit msfconsole multi/handler
- laita samat asetukset kuin msfvenom
- muista 'set payload'
- 'run -j' ajaa taustalla, sessiot ovat 'sessions'
- prosessoriarkkitehtuuri kohteen mukaan
Reverse shell:
- Palvelimen päässä pitää olla reikä tulimuurissa.
- Reverse shell tarkoittaa, että palvelin (server, kuunteleva portti) on hyökkäyskoneella.
Sliveriin kannattaa tarvittaessa hakea ohjeita myös tekoälyllä. Vielä joitakin kuukausia sitten Sliverin omissa ohjeissa oli ärsyttäviä virheitä - toivottavasti ne on jo korjattu.
Jos liität haittaohjelmien binäärejä raporttiin, pitää estää niiden asentaminen vahingossa
- Salakirjoitettu zip-paketti, salasana "infected"
- Varoitus lautauslinkin yhteyteen: haittaohjelma / malware
- Jos testaat eristetyissä laboratorioympäristöissä virustorjunnan ohitusta, niin tietysti siinä käytetään vain sisältöä ja vältetään pahoja sanoja "malware", "infected", "meterpreter"...
Muista ht8 lipunryöstöä aloittelijoille

Esimerkki ulkomuistista, pitää itse soveltaa

$ msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=127.0.0.1 LPORT=8080 -o infected

h7 Toukokuu2026!

Nyt levitään! Opit murtamaan salasanoja. Huomaa myös h8 bonus.

x) Lue/katso ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva kustakin artikkelista. Kannattaa lisätä myös jokin oma ajatus, idea, huomio tai kysymys.)
- Karvinen 2022: Cracking Passwords with Hashcat
- Karvinen 2023: Crack File Password With John
- Vapaaehtoinen: € Santos et al 2017: Security Penetration Testing - The Art of Hacking Series LiveLessons: Lesson 6: Hacking User Credentials (8 videos, about 30 min)
a) Asenna Hashcat ja testaa sen toiminta murtamalla esimerkkisalasana.
c) Asenna John the Ripper ja testaa sen toiminta murtamalla jonkin esimerkkitiedoston salasana.
e) Tiedosto. Tee itse tai etsi verkosta jokin salakirjoitettu tiedosto, jonka saat auki. Murra sen salaus. (Jokin muu formaatti kuin aiemmissa alakohdissa kokeilemasi).
f) Tiiviste. Tee itse tai etsi verkosta salasanan tiiviste, jonka saat auki. Murra sen salaus. (Jokin muu formaatti kuin aiemmissa alakohdissa kokeilemasi. Voit esim. tehdä käyttäjän Linuxiin ja murtaa sen salasanan.)
g) Sanakirja. Oman sanakirjan teko parantaa onnistumismahdollisuuksia. Demonstroi, kuinka teet oman sanakirjan hashcat:n tai john:iin.
h) Hash rules. Näytä esimerkki HashCatin sääntöjen käytöstä (rules).
i) Lippuvalmistelu. Valmistele kone ensi viikon lipunryöstöön. Tästä kohdasta ei tarvita kattavaa raporttia, riittää pelkkä luettelo siitä, miten ratkaisit allaolevat kysymykset. Jos sinulla on esimerkiksi valmis, toimiva Kali VM tavallisella PC:llä, tässä ei tarvitse tehdä juuri mitään.
- amd64. Haasteet voivat sisältää amd64-binäärejä. Nämä toimivat itsestään perus-PC:ssä, joita lähes kaikkien koneet ovat. Macintosheissa (M1, M2, M3...) hankala tehdä tehtävää, joten kannattaa ottaa tavallinen amd64-kone.
- Netti. Koneesta pitää päästä nettiin, jotta voit palauttaa liput. Voi olla kätevää, että saat nettiyhteyden katkaistuksi, jotta porttiskannailu ym. on huoletonta.
- Too many secrets. Opettaja voi tarkastaa lipunryöstön koneesi ja tutkia kaikkia siellä olevia tiedostoja. Jos käytät pelkästään virtuaalikonetta (myös selailu, muistiinpanot ym virtuaalikoneesta), tarkastaminen koskee vain sitä. Katso, ettei tällä koneella ole luottamuksellisia tietoja.
- Koneella saa olla haluamasi ohjelmat ja työkalut. Työkaluista ja ohjelmista pitää antaa opettajalle kopio, jos ne eivät ole yleisesti käytettyjä, tunnettuja ja saatavilla olevia vapaita ohjelmia.
- Jos lipunryöstön koneella on muistiinpanoja, niistä on annettava kopio opettajalle sähköpostilla. Omia muistiinpanoja saa olla, mutta ei ole pakko. Lipunryöstössä saa lukea julkisia lähteitä, kuten opettajan kotisivuja sekä omia ja toisten julkisia raportteja.
- Paikallinen tekoäly. Omaa tekoälyä ei tarvita lipunryöstössä, eikä siitä todennäköisesti ole juuri hyötyä. Mutta siltä varalta, että joku miettii tätä: Paikallisen tekoälyn käyttö lipunryöstössä on sallittu, jos ilmoittaa Terolle etukäteen sähköpostilla siitä, antaa opettajalle sähköpostitse täydellisen kopion keskustelusta tekoälyn kanssa ja kaikki paramaterit, sekä kopion tekoälyn koodista ja painoista tai linkin niihin. Ulkopuolisen tekoälyn käyttö verkon yli on lipunryöstössä kielletty.

Vinkit

Sanakirjan teko, vaihtoehtoja
- cewl (verbose, limit depth)
- copy-paste, sanat erilleen, duplikaatit pois
- Elokuu2026!, Syyskuu2026!...
Hashcatin säännöistä best64 on kokeilemisen arvoinen
O'Reilly Learning videot ja kirjat pääset lukemaan ilmaiseksi HH tunnuksilla, kun kirjaudut kirjaston kautta.

Onnea lipunryöstöön!

h8 Bonus

Vapaaehtoinen bonus: luettele ja linkitä tähän tekemäsi

a) Vapaaehtoiset tehtävät
b) Ristiinarvioinnin jälkeen olennaisesti parannetut tehtävät
c) Kurssin ulkopuolella tekemäsi kiinnostavat hakkerointihaasteet, esimerkiksi
- Projektit
- HackTheBox korkatut koneet, mukaan ruutukaappaus pistesivustasi. Erottele retired ja non-retired. (Ei non-retired boksien läpikävelyohjeita julkiseen weppiin)
- Lipunryöstöt

Tehtävän määräaika on 24 h ennen viimeisen opetuskerran alkua. Tämä bonustehtävä on kokonaan vapaaehtoinen.

Card Size Gallery

Mon, 03 Aug 2026 20:22:31 +0300

List of products is often shown as images on a grid. This pattern is called "cards".

Card Size Gallery allows you to test what different card formats look like.

Try Card Size Gallery - right in your browser.

Clanker warning: I created this AI-assisted.

Kokoro TTS - Voice Comparison

Wed, 08 Jul 2026 17:10:54 +0300

Free, open weight models can generate speech. On your local machine.

Listen to voice samples of all Kokoro TTS voices on the web.

Optionally, install Kokoro with Podman.

Listen and Compare Voices in Your Browser

Search and filter by gender and language. The demo text is currently only in English.

Kokoro is a free text-to-speech engine, architected by Li, Han, Raghavan, Mischler and Mesgarani; and trained by @rzvnzn. I just created the samples and the page to filter them. Their default flagship voice is af_heart (English, female), but there are many other interesting voices.

Listen Kokoro samples now.

Run Kokoro with Podman

These commands assume you already have Podman installed. Podman runs containers like Docker. It's safer than Docker, as it does not require root (or the infamous root-equivalent docker group).

Let's download and run Brauns ready-made Kokoro container:

$ podman run -p 8880:8880 ghcr.io/remsky/kokoro-fastapi-cpu

Web user interface: http://localhost:8880/web/

API, usable with Python requests http://localhost:8880/v1

cdu - Jump up to project directory

Mon, 06 Jul 2026 11:58:45 +0300

You're five levels deep in your git repo. You would like to get to the top level. 'cdu'.

An up only directory jumper for zsh and bash. Nicely complements other directory jumpers, like zoxide, autojump or fasd.

Usage example

$ pwd
/home/tero/code/revincom/doc/design/subsystems/nav/fallbacks/sun
$ cdu
/home/tero/code/revincom
Found .git

If you have really deep repos, such as monorepos, cdu can help you even more.

Deep in a Django project, cdu jumps to manage.py level first. The next cdu will take you to repo root.

A new 'cdu', change dir up

I have used a longer bash version for years. This is a rewrite to support both zsh and bash. It's also shorter. Prettier and more features, but less tested than the old one.

Save the source code to a dir where it runs (e.g. /usr/local/bin/changedirup). Make runnable (chmod ugo+rx /usr/local/bin/changedirup). Add to your .bashrc and .zshrc: 'alias cdu="source changedirup"'. Log out and back.

And now you can jump up with 'cdu'.

Source code, GPL

#!/bin/bash
# changedirup - cd up to project top dir, 'alias cdu="source changedirup"'
# To persist it, add the alias to .zshrc or .bashrc

# Single usage also works with 'source cdu' or '. cdu'
# Can be run again to go to even higher project dir. 
# cdu works with zsh and bash. Shebang #! is just for syntax highlight.
# SPDX-License-Identifier: GPL-3.0-or-later
# SPDX-FileCopyrightText: Copyright 2020-2026 Tero Karvinen https://TeroKarvinen.com

CDU_PWD_WAS="$(pwd)"
cd ..
while true; do
 for f in .git Makefile .profile .bashrc README.md requirements.txt go.mod manage.py hosts.ini .project project.godot Dockerfile Cargo.toml index.theme config.toml default.gpr DICOMDIR ansible.cfg site.yml Vagrantfile package.json pyproject.toml zowe.yaml pom.xml build.gradle Gemfile composer.json docker-compose.yml compose.yaml .cobaltstrike.beacon_keys flake.nix .zshrc .ssh .sliver .sliver-client .msf4 havoc_default.yaotl .projectile .svn .hg .fossil .jj .editorconfig _darcs .bzr Cargo.lock .bash_profile
 do
 if [ -e "$f" ]; then
 echo "Found $f"
 pwd
 break 2
 fi
 done

 if [ "$(pwd)" = "/" ]; then
 cd "$CDU_PWD_WAS"
 echo "No project files found above. Working directory unchanged."
 pwd
 break
 fi

 cd .. || break # prevent infinite loop in the rare case cd fails for permissions
done

ppp Personal Project Portfolio

Thu, 02 Jul 2026 11:52:15 +0300

Arrange your ideas into a skill tree.

Pick little wins on your way to big goals
Ship something at every step
Turn ambition into output

Open ppp in your browser. Free, no login.

Talk nerd to me

Single 50 kB HTML file with no dependencies. Use online or 100% offline. Your data stays yours: JSON export and import. Fully usable with keyboard-only - or mouse-only with keyboard just for typing names. A vibe-coded GUI editor for a directed acyclic graph with project-specific attributes: costs, deliverables, soft benefits. Public beta.

Gain a bird's-eye view with ppp. I hope you have more ideas than time to do them. Use ppp to decide which path to pick next. Once you're committed, use calendar.txt and todo.txt for day-to-day and hour-to-hour.

Try ppp

Try ppp. Free web access, no login required. Optionally save the 50 kB HTML file for 100% offline use. Looking forward to your comments.

Apache installed with Ansible - quick notes

Thu, 09 Apr 2026 16:10:04 +0300

Install Apache 2 web server automatically. Serves a web site on the front page of http://localhost. Pages can be edited as a normal user - without root or sudo.

Simplified Ansible role. An example of package-file-server pattern. Just notes, no tutorial.

Using these short notes require a working Ansible configuration - Hello Ansible.

Package-file-service pattern

Daemons, like Apache2 web server, are somewhat similar. They are configured with package-file-service pattern. Install the daemon, change configuration by editing files, start it.

package - sudo apt-get install apache2
files - sudoedit /etc/apache2/...
service - sudo systemctl restart apache2

Changes to configuration files only take effect after you kick the daemon. Thus, file in tasks/main.yml notify the handler "restart apache2".

tree of roles/apache2/

roles/apache2/ # All files related to "apache2" role
├── files/ # Master copies of files
│   └── example.com.conf
├── handlers/ # restarting services
│   └── main.yml
└── tasks/ # most ansible code
└── main.yml

tasks/main.yml

- apt:
 name: apache2
 state: present

- copy:
 dest: "/etc/apache2/sites-available/example.com.conf"
 src: "example.com.conf"
 owner: "root"
 group: "root"
 mode: "0644"
 notify: restart apache2

- file:
 src: /etc/apache2/sites-available/example.com.conf
 dest: /etc/apache2/sites-enabled/example.com.conf
 owner: root
 group: root
 state: link
 notify: restart apache2

handlers/main.yml

- name: restart apache2
 systemd:
 name: apache2
 state: restarted

files/example.com.conf

# Managed file, changes will be overwritten

<VirtualHost *:80>
 ServerName example.com
 DocumentRoot /home/tero/publicsite/

 <Directory /home/tero/publicsite/>
 require all granted
 </Directory>
</VirtualHost>

Adminstrivia

Apache httpd logo is a trademark of The Apache Software Foundation.

Passwordless Sudo with Ansible

Thu, 02 Apr 2026 16:44:50 +0300

Sudo without password, automatically. Short example role for ansible.

The role

creates a new user in "sudoless" group
adds a sudoers.d/ NOPASSWD rule for the group

Prerequisites

Applying this example file requires you to have Ansible working.

Tero's rule #1 for IaC: Manual before auto.

So it's a good idea to try creating passwordless sudo manually first.

Draft: This article has commands written from memory. It has not gone trough quality assuarance and testing yet.

Tree

$ tree -F
./
├── ansible.cfg
├── hosts.ini
├── roles/
│   ├── antero/
│   │   └── tasks/
│   │   └── main.yml
│   └── world/
│   └── tasks/
│   └── main.yml
└── site.yml

Role - antero

cat roles/antero/tasks/main.yml

- group:
 name: "sudoless"
 state: present
- user:
 name: "antero"
 state: present
 groups: ["sudoless", "sudo", "adm"]
- authorized_key:
 user: "antero"
 key: "ssh-ed25519 U2VlIHlvdSBhdCBUZXJvS2FydmluZW4uY29tIQ== tero@example.com"
- copy:
 dest: "/etc/sudoers.d/sudoless"
 content: "%sudoless ALL = (ALL) NOPASSWD: ALL\n"
 owner: "root"
 group: "root"
 mode: "0644"

First run - chicken or egg?

For the first run, you don't yet have sudo without password.

Let's make ansible try for sudo rights. Add "become: true" in the correct block in site.yml:

- hosts: all
 become: true
 roles:
 - world
 - antero

$ ansible-playbook site.yml

Now it should complain that sudo needs password. Ansible asks this with -K aka --ask-become-password.

$ ansible-playbook site.yml --ask-become-password

Tips

When you got it to work manually, you have your example. Copy it to automation!

Copy paste paths.
Copy files or file contents.
Use 'stat' to check for modes (permissions). Do not guess octal permissions, you have to understand them to avoid privesc worries.

Some IaC programs only reliably understand octal modes (numbers), and only as strings. I would also recommend explicit leading zero meaning no special permissions (no setgid...). So "0644", in quotes. Maybe it has improved over the years? Who knows.

Sudo without password

Thu, 02 Apr 2026 16:04:03 +0300

Ansible needs root on the slave. One way is to allow 'sudo' without password.

Summary for gurus (the rest of us can read the article):

$ cat /etc/sudoers.d/sudoless
%sudoless ALL = (ALL) NOPASSWD: ALL

Draft: This article has commands written from memory. It has not gone trough quality assuarance and testing yet.

This short tutorial assumes you know the basics of Linux command line and have installed openssh-server.

Create the new user

Let's create a user and add it to "sudoless" group that we'll set up later. We'll call him antero, a neologism from "Ansible" and "Tero", yours truly.

Always use only good passwords. Never use bad passwords, even for a moment. Practice doing it right, don't practice doing it wrong.

$ sudo adduser antero
$ sudo groupadd sudoless
$ sudo adduser antero sudoless

Broken sudo insurance

Open a new window, ssh to target machine as needed. Then open a root shell using sudo.

If we break sudo, this might be a way to fix it. Otherwise, broken sudo prevents us from using sudo to fix the broken files.

$ sudo -i # just while fiddling with sudoers

We don't wont to work in the root shell (where the prompt is a hash "#").

So leave the root shell window behind and go back to the normal window.

New sudoers rule

Let's create a sudoers rule that allows members of "sudoless" group use 'sudo' without password.

Visudo runs our default $EDITOR. But has some checks for obvious errors.

As usual, we'll use .d/ dirs if available. And luckily, sudoers has /etc/sudoers.d/.

$ sudo visudo /etc/sudoers.d/sudoless

Add our oneliner there

%sudoless ALL = (ALL) NOPASSWD: ALL

What does the sudoers line mean?

Token	Meaning
%sudoless	Percent "%" means group
ALL	All computers
=	Literal equals "=", a separator
(ALL)	Runas: may become any user, including root
NOPASSWD	Tag: don't prompt for password
:	Literal colon ":", a separator
ALL	All commands permitted

So it's something like:

%group COMPUTERS: (RUNAS) TAG: COMMANDS.

Test

not tested == not done

New groups are effective only after logout-login. So if you're logged in as "antero", log out and back.

If you have recently given 'sudo' commands as "antero", sudo will remember your credentials for a while. Use 'sudo -k' to forget them.

$ ssh antero@localhost
$ sudo -k
$ sudo echo "See you at TeroKarvinen.com"
See you at TeroKarvinen.com

No password asked? Great! You now have passwordless sudo. You could use it with Ansible.

Adminstrivia

Sudo logo my Mark Stillman 2019, received under CC-BY-4.0.

DORA & Threat Lead Penetration Testing with Marko

Tue, 31 Mar 2026 14:54:33 +0300

Banks are now required to do red teaming exercises. Marko Buuri (Bank of Finland) showed us how TIBER-FI helps to create threat intel based red teaming exercises.

Marko's visit was part of my Penetration Testing course. You can join my list to get invitations to similar events.

Synopsis

Cybersecurity red team testing has evolved from underground art to regulated operations in the European financial sector. This lecture explores the requirement for advanced threat-led penetration testing in EU's DORA regulation, and practical guidance on how those projects are organized and delivered according to the TIBER-EU guidance across Europe.

Slides

Buuri 2026: DORA and TLPT testing - Lecture for Haaga-Helia on 31 March 2026 (pdf, 2 MB)

Slides taster

You can download the whole deck.

Bio

Marko Buuri is cyber security adviser in the Bank of Finland (Suomen Pankki). He has over 20 years of in-house and consulting cyber experience. Since 2020 he's been involved in implementing and operating TIBER-FI red team testing framework for the financial sector in Finland.

SSH public key - Login without password

Thu, 26 Mar 2026 14:50:58 +0200

SSH is the leading solution for securily logging into servers.

Many products use SSH in the background: git, rsync, ansible...

Public key authentication is quite convenient. You don't need to type your password for every 'git push' or 'ansible-playbook'. Use correctly, it can also make your server more secure.

This example is written for Debian 13-trixie.

Draft: This article has commands written from memory. It has not gone trough quality assuarance and testing yet.

Install SSH

Install the OpenSSH-server package

$ sudo apt-get update
$ sudo apt-get -y install ssh

Make SSH daemon start on boot (enable) and also start it now (--now)

$ sudo systemctl enable --now ssh

Test SSH

Normally, you would say user@host, such as tero@example.com. Here, we can leave out username, as it's the same on both machines.

$ ssh localhost

With 'w', you can see yourself logged in twice: once on the desktop, once trough ssh.

remote$ exit

Generate a keypair

$ ssh-keygen # enter enter enter to accept the defaults

If you already have a keypair, don't overwrite it. The public key ($HOME/.ssh/id_*.pub) is literally public, you can use the same public key in all hosts. The public key ends with ".pub".

If you need the public key for VPS (virtual private server) provider, you can see and copy-paste your keys with 'head $HOME/.ssh/id*.pub'.

Copy it to hosts where you can already log in.

$ ssh-copy-id localhost

Once you've entered your password for the last time, ssh-copy-id adds your public key into .ssh/authorized_keys on the remote machine. Now your key is authorized for logins.

Your public key is used automatically

$ ssh localhost

Did you log in without giving your password?

Well done, you've now automated login with SSH public keys.

Troubleshooting

Here are some helpfull troubleshooting commands.

Client side:

$ ssh -v localhost

Server side:

$ sudo journalctl --follow
$ sudo systemctl status ssh

2026s

Tunkeutumistestaus

Oppimistavoitteet

Aikataulu

Kertausmateriaalia

Luettavaa ja linkkejä

Vanhoja toteutuksia

Läksyt

h1 Kybertappoketju

h2 DORA the Explora

h3 EternalHomework

h4 Täysin Laillinen Sertifikaatti

h5 Fuzzy

h6 Koita simpukoita

h7 Toukokuu2026!

h8 Bonus

Card Size Gallery

Kokoro TTS - Voice Comparison

Listen and Compare Voices in Your Browser

Run Kokoro with Podman

See also

cdu - Jump up to project directory

Usage example

A new 'cdu', change dir up

Source code, GPL

ppp Personal Project Portfolio

Talk nerd to me

Try ppp

Apache installed with Ansible - quick notes

Package-file-service pattern

tree of roles/apache2/

tasks/main.yml

handlers/main.yml

files/example.com.conf

Adminstrivia

Passwordless Sudo with Ansible

Prerequisites

Tree

Role - antero

First run - chicken or egg?

Tips

Sudo without password

Create the new user

Broken sudo insurance

New sudoers rule

Test

Adminstrivia

DORA & Threat Lead Penetration Testing with Marko

Synopsis

Slides

Links

Slides taster

Bio

SSH public key - Login without password

Install SSH

Test SSH

Automatic login with SSH public key

Troubleshooting