Agentic Testari Sentinel Hub · FriendlyAI agentictestari.com

Luottamuksellinen

L3 MAX Public-max · ei-tuhoava

Julkisen pinnan arviointi — Tieturi

WordPress training site. Live XML-RPC methods, SSH:22 on web IP, weak headers, partial DMARC. True L3: HIGH 4 · MEDIUM 5.

Kohde tieturi.fi Päivä 2026-07-29 RoE public-max · ei-tuhoava Engagement eng_tieturi_l3_1358

HIGH

MED

INFO

—

Johtoyhteenveto

Miksi toimia nyt

Nämä havainnot eivät ole teoreettisia: ne ovat julkisia pintoja. Jokaisessa kortissa on todiste, vaikutus, omistaja, korjaus ja validointi.

Jokainen havainto: ongelma, missä, vaikutus, omistaja, PoC, korjaus, validointi.

WordPress training site. Live XML-RPC methods, SSH:22 on web IP, weak headers, partial DMARC. True L3: HIGH 4 · MEDIUM 5.

Pinossa tässä ajossa

Komponentti	Käytössä	Huom
ParviClaw Core + AWP	KYLLÄ (lab)	pack engagementissa
ParviSight browser	osittain	HTTP walk
PayBotFin Witness live	sopimuksen mukaan	rehellinen laajuus

Havainnot

Jokainen havainto: ongelma, missä, vaikutus, omistaja, PoC, korjaus, validointi.

TI-H1

XML-RPC fully enabled

KORKEA

Ongelma

https://tieturi.fi/ — POST system.listMethods returns large method set (system.multicall, wp., metaWeblog., pingback., WPML translationproxy., …). last_reprobe=2026-07-31.

XML-RPC enables amplified brute force and pingback abuse.

Missä

https://tieturi.fi/ · https://tieturi.fi

Mitä hyökkääjä tai agentti-hakkeri voi tehdä

Human: Public xmlrpc surface on tieturi.fi expands attacker recon.
Agent (LLM+tools): Keep surface in continuous recon.
If invasive/destructive: Escalate if second bug/credential. L3 public-max is read-only.

Kenen vastuulla

Tieturi — turva / tuote / infra (vahvista omistaja)

PoC (todiste — ei korjaa)

Read-only. Does not change the system.

curl -sS -X POST https://tieturi.fi/xmlrpc.php -H 'Content-Type: text/xml' --data '<?xml version="1.0"?><methodCall><methodName>system.listMethods</methodName></methodCall>' | head -c 500

Miten korjata

Disable XML-RPC if unused; WAF rate-limit; block system.multicall from internet.

Miten validoida korjaus

Continuous automated abuse.

TI-H2

SSH TCP/22 open on web IP

KORKEA

Ongelma

What / evidence: Live connect to port 22 open on https://tieturi.fi / www. Fix: Bastion/VPN only; key-only last_reprobe=2026-07-31.

SSH on public web IP is a permanent brute-force target.

Missä

tieturi.fi · TCP/22

Mitä hyökkääjä tai agentti-hakkeri voi tehdä

Human: SSH on public IP is a permanent brute-force target.
Agent (LLM+tools): Port-scan brand IPs; spray against TCP/22.
If invasive/destructive: Shell on host. L3 only proves port open.

Kenen vastuulla

Tieturi — turva / tuote / infra (vahvista omistaja)

PoC (todiste — ei korjaa)

Read-only. Does not change the system.

nc -zv -w 3 tieturi.fi 22

Miten korjata

Close TCP/22 on public edge or restrict by allowlist/bastion; keys-only; fail2ban; no password auth.

Miten validoida korjaus

Exposure remains until closed.

TI-H3

Dangerous HTTP methods (deep matrix)

KORKEA

Ongelma

https://tieturi.fi/ — What / evidence: Deep: TRACE/PUT/DELETE/PATCH returned 200 HTML — re-baseline methods on edge. Fix: Force 405 for TRACE/write verbs last_reprobe=2026-07-31.

Public brand surface on tieturi.fi expands recon until closed.

Missä

https://tieturi.fi/ · https://tieturi.fi

Mitä hyökkääjä tai agentti-hakkeri voi tehdä

Human: Public edge surface on tieturi.fi expands attacker recon.
Agent (LLM+tools): Keep surface in continuous recon.
If invasive/destructive: Escalate if second bug/credential. L3 public-max is read-only.

Kenen vastuulla

Tieturi — turva / tuote / infra (vahvista omistaja)

PoC (todiste — ei korjaa)

Read-only. Does not change the system.

curl -sSI 'https://tieturi.fi/'

Miten korjata

Remove unnecessary public hosts on tieturi.fi DNS or enforce strong auth/WAF; re-test from internet.

Miten validoida korjaus

Exposure remains until closed.

TI-H4

Public wp-login + weak headers

KORKEA

Ongelma

https://tieturi.fi/wp-login.php — What / evidence: wp-login public; CSP/XFO/nosniff missing (only HSTS class). Fix: MFA/WAF + full headers last_reprobe=2026-07-31.

Default WP login is a permanent spray target.

Missä

https://tieturi.fi/wp-login.php · https://tieturi.fi

Mitä hyökkääjä tai agentti-hakkeri voi tehdä

Human: Public wp_login surface on tieturi.fi expands attacker recon.
Agent (LLM+tools): Keep surface in continuous recon.
If invasive/destructive: Escalate if second bug/credential. L3 public-max is read-only.

Kenen vastuulla

Tieturi — turva / tuote / infra (vahvista omistaja)

PoC (todiste — ei korjaa)

Read-only. Does not change the system.

curl -sSI 'https://tieturi.fi/wp-login.php'

Miten korjata

MFA, rate limit, WAF, optional allowlist; combine with blocking user REST enum.

Miten validoida korjaus

Exposure remains until closed.

TI-M1

DMARC quarantine pct=25

KESKI

Ongelma

DNS TXT at _dmarc.tieturi.fi publishes a DMARC policy with p=none (monitor-only). Receiving servers do not quarantine/reject forged @tieturi.fi mail on DMARC fail. This is email brand spoofing / BEC risk, not a website bug. Proof: dig TXT _dmarc.tieturi.fi +short last_reprobe=2026-07-31.

Brand email spoofing / BEC remains easier while DMARC on tieturi.fi is not reject.

Missä

DNS record (not a website): _dmarc.tieturi.fi TXT
Mail domain: @tieturi.fi

Mitä hyökkääjä tai agentti-hakkeri voi tehdä

Human: Forge invoices / IT resets as @tieturi.fi while p=none.
Agent (LLM+tools): Re-check DMARC; automate brand-domain spoof campaigns.
If invasive/destructive: Financial fraud via trusted-looking mail — not CMS takeover from this alone. L3 only proves DNS policy (dig).

Kenen vastuulla

Tieturi — turva / tuote / infra (vahvista omistaja)

PoC (todiste — ei korjaa)

Read-only. Does not change the system.

dig TXT _dmarc.tieturi.fi +short

Miten korjata

Align SPF/DKIM for all legitimate senders; move DMARC to p=quarantine then p=reject; monitor rua; document third-party senders.

Miten validoida korjaus

Re-run PoC from public internet until closed (tieturi.fi).

TI-M2

Fat SPF ~all

KESKI

Ongelma

multi-vendor softfail (surface: https://tieturi.fi/). last_reprobe=2026-07-31.

Weak SPF increases spoof windows for the brand domain.

Missä

https://tieturi.fi/ · https://tieturi.fi

Mitä hyökkääjä tai agentti-hakkeri voi tehdä

Human: Public spf surface on tieturi.fi expands attacker recon.
Agent (LLM+tools): Keep surface in continuous recon.
If invasive/destructive: Escalate if second bug/credential. L3 public-max is read-only.

Kenen vastuulla

Tieturi — turva / tuote / infra (vahvista omistaja)

PoC (todiste — ei korjaa)

Read-only. Does not change the system.

curl -sSI 'https://tieturi.fi/'

Miten korjata

Tighten SPF includes for tieturi.fi; avoid overly broad ~all without DMARC reject.

Miten validoida korjaus

Re-run PoC from public internet until closed (tieturi.fi).

TI-M3

No CAA / security.txt

KESKI

Ongelma

No CAA / security.txt (surface: https://tieturi.fi/). last_reprobe=2026-07-31.

Public brand surface on tieturi.fi expands recon until closed.

Missä

https://tieturi.fi/ · https://tieturi.fi

Mitä hyökkääjä tai agentti-hakkeri voi tehdä

Human: Public edge surface on tieturi.fi expands attacker recon.
Agent (LLM+tools): Keep surface in continuous recon.
If invasive/destructive: Escalate if second bug/credential. L3 public-max is read-only.

Kenen vastuulla

Tieturi — turva / tuote / infra (vahvista omistaja)

PoC (todiste — ei korjaa)

Read-only. Does not change the system.

curl -sSI 'https://tieturi.fi/'

Miten korjata

Remove unnecessary public hosts on tieturi.fi DNS or enforce strong auth/WAF; re-test from internet.

Miten validoida korjaus

Re-run PoC from public internet until closed (tieturi.fi).

TI-M4

Related hosts

KESKI

Ongelma

events Eventilla, uutiskirje, true.tieturi.fi live (surface: https://tieturi.fi/). last_reprobe=2026-07-31.

Public brand surface on tieturi.fi expands recon until closed.

Missä

https://tieturi.fi/ · https://true.tieturi.fi · https://tieturi.fi

Mitä hyökkääjä tai agentti-hakkeri voi tehdä

Human: Public edge surface on tieturi.fi expands attacker recon.
Agent (LLM+tools): Keep surface in continuous recon.
If invasive/destructive: Escalate if second bug/credential. L3 public-max is read-only.

Kenen vastuulla

Tieturi — turva / tuote / infra (vahvista omistaja)

PoC (todiste — ei korjaa)

Read-only. Does not change the system.

curl -sSI 'https://tieturi.fi/'

Miten korjata

Remove unnecessary public hosts on tieturi.fi DNS or enforce strong auth/WAF; re-test from internet.

Miten validoida korjaus

Re-run PoC from public internet until closed (tieturi.fi).

TI-M5

Session cookie flags incomplete

KESKI

Ongelma

Session cookie flags incomplete (surface: https://tieturi.fi/). last_reprobe=2026-07-31.

Public brand surface on tieturi.fi expands recon until closed.

Missä

https://tieturi.fi/ · https://tieturi.fi

Mitä hyökkääjä tai agentti-hakkeri voi tehdä

Human: Public edge surface on tieturi.fi expands attacker recon.
Agent (LLM+tools): Keep surface in continuous recon.
If invasive/destructive: Escalate if second bug/credential. L3 public-max is read-only.

Kenen vastuulla

Tieturi — turva / tuote / infra (vahvista omistaja)

PoC (todiste — ei korjaa)

Read-only. Does not change the system.

curl -sSI 'https://tieturi.fi/'

Miten korjata

Remove unnecessary public hosts on tieturi.fi DNS or enforce strong auth/WAF; re-test from internet.

Miten validoida korjaus

Re-run PoC from public internet until closed (tieturi.fi).

Liitteet (AWP + Core)

Oikea pack L3 max retestistä 2026-07-31 (public-max, ei-tuhoava). Jokaisella tiedostolla on kuvateksti.

1) awp-receipt.json — AWP-krypto

Mikä se on: allekirjoitettu Agent Witness Protocol -kuitti (offline-tarkistettava).
Mitä se todistaa: meidän testi-/engagement-lokimme eheyden.
Mitä se EI ole: ei yksin todista bugia hostissanne (se on kunkin havainnon PoC).
→ lataa awp-receipt.json

2) leaves.jsonl — engagement-päiväkirja

→ lataa leaves.jsonl · leaf-chain.txt (PASS)

3) retest-raw.json — HTTP-probet

→ lataa retest-raw.json

4) agentic-walk.json + core-export

agentic-walk.json · core-export.json · kansio

Miten AWP:ta käytetään / varmennetaan (open-source)

npx agent-witness-protocol verify awp-receipt.json

PASS (rehellisesti): kuitin allekirjoitus ja Merkle-todiste ok — testiloki on ehjä.
PASS ei tarkoita: että tuotantobugi on korjattu, tai että PayBotFin live-witness oli käytössä (local_awp_dev / DEV_LAB).

Korjausjärjestys tiimille

Sulje HIGH-julkiset altistukset ensin (auth / VPN / DNS).
Korjaa MEDIUM-otsikot, postikäytäntö ja non-prod.
Uudelleentestaa PoC:t julkisesta netistä kunnes kiinni.
Arkistoi AWP/evidence auditointia ja retestiä varten.