____  ____ ____     ____                  ____            ____  _
  / __ \/ __// __/    / __ \ ___   ___  ___ / __/ ___  ____ / __/ / /_ ___   ____ ___
 / /_/ /\ \ _\ \     / /_/ // _ \ / _ \(_-<_\ \  / -_)/ __/_\ \  / __// _ \ / __// -_)
 \____/___//___/     \____/ \___// .__/___/___/  \__/ \__//___/  \__/ \___//_/   \__/
                                /_/

# Node.js
npx create-oss-store my-ctf-lab && cd my-ctf-lab && npm start

# Docker
docker run -p 3000:3000 leogra/oss-oopssec-store

# Then open http://localhost:3000 and start hacking

فهرس المحتويات

• الميزات
• لماذا OopsSec Store؟
• التثبيت
  • بدء سريع (npm)
  • Docker
• قاعة المشاهير
• بنية المشروع
• النشاط الأخير
• الاختبارات
• إخلاء المسؤولية
• المساهمة
• حزمة المعلّم
• أبرز المساهمين

[!WARNING] يحتوي هذا التطبيق على ثغرات أمنية متعمّدة ويجب أبدًا نشره في بيئة إنتاج.

الميزات

• تطبيق تجارة إلكترونية ضعيف بشكل متعمّد (XSS, CSRF, IDOR, هجمات JWT, اجتياز المسار, حقن SQL, والمزيد)
• مبني باستخدام Next.js وReact وPrisma وSQLite
• REST API مع نواقل هجوم موثّقة
• 36 تحدي CTF عبر 11 فصلًا، مرتّبة وفق خارطة طريق تعليمية منظمة
• توثيق للثغرات وأدلة حلول مجتمعية لكل تحدٍّ
• اختبارات آلية تتحقق من أن الاستغلالات ما تزال تعمل (أي PR يصلح ثغرة عن طريق الخطأ سيفشل في CI)

لماذا OopsSec Store؟

OopsSec Store هو تطبيق الويب الضعيف عن قصد الوحيد المبني باستخدام Next.js وReact — التقنية التي ستصادفها فعلًا في بيئة الإنتاج. وسطح الهجوم في عصر الذكاء الاصطناعي جزء من المنهج الأساسي، وليس مجرد فكرة لاحقة: حقن الأوامر (prompt injection)، وتسميم أدوات MCP، وأبواب خلفية لعملاء البرمجة بالذكاء الاصطناعي، وسلسلة هجمات على سلسلة التوريد npm محاكاة بالكامل من البداية إلى النهاية.

_{آخر تحقق: يونيو 2026، مقابل Juice Shop v20 وDVWA 2.x. رصدت معلومات غير دقيقة؟ افتح issue أو افتح PR.}

التثبيت

بدء سريع

npx create-oss-store my-ctf-lab
cd my-ctf-lab
npm start

ثم افتح http://localhost:3000 في متصفحك.

الإعداد اليدوي

استنسخ المستودع وشغّل سكربت الإعداد:

git clone https://github.com/kOaDT/oss-oopssec-store.git
cd oss-oopssec-store
npm run setup

ينشئ هذا ملف .env، ويثبّت التبعيات، ويجهّز قاعدة بيانات SQLite، ويملؤها بأعلام CTF، ويشغّل التطبيق على المنفذ 3000.

Docker

لا يتطلب Node.js. يكفي Docker.

من Docker Hub (الأسرع)

docker run -p 3000:3000 leogra/oss-oopssec-store

للاستمرار بالاحتفاظ بالبيانات عبر عمليات إعادة التشغيل:

docker run -p 3000:3000 -v oss-data:/app/data leogra/oss-oopssec-store

من المصدر (Docker Compose)

git clone https://github.com/kOaDT/oss-oopssec-store.git
cd oss-oopssec-store
docker compose up -d

أو باستخدام سكربتات npm المساعدة:

npm run docker:up       # Start in background (builds image on first run)
npm run docker:logs     # Follow container logs
npm run docker:down     # Stop the container
npm run docker:reset    # Wipe data and restart fresh

تتم تهيئة قاعدة البيانات عند أول تشغيل. تبقى البيانات محفوظة عبر عمليات إعادة التشغيل بواسطة وحدات التخزين المسماة في Docker. لإعادة تعيين كل شيء (تقدّم الأعلام، المستخدمون، الملفات المرفوعة)، شغّل npm run docker:reset.

قاعة المشاهير

وجدت كل الأعلام؟ افتح pull request للانضمام إلى قاعة المشاهير. أضف إدخالك إلى hall-of-fame/data.json وسيظهر ملفك التعريفي في صفحة /hall-of-fame في التطبيق.

بنية المشروع

النشاط الأخير

الاختبارات

يتضمّن المشروع اختبارات انحدار أمنية تضمن أن جميع سلاسل الاستغلال والأعلام ما تزال تعمل. تتحقق هذه الاختبارات عمدًا من السلوك غير الآمن. تُشغَّل في كل PR، لذا إذا أصلحت ثغرة عن طريق الخطأ فسيلتقطها CI.

تشغيل الاختبارات

# Unit tests (utility functions: MD5 hashing, JWT, input filters)
npm run test:unit

# API exploitation tests (requires a running server)
npm run test:api

# E2E exploitation tests (requires a running server)
npm run test:e2e

# Open Cypress interactive mode
npm run test:e2e:open

# All tests
npm run test:ci

إخلاء المسؤولية

[!CAUTION] هذا المشروع مخصص للاختبارات الأمنية التعليمية والمصرّح بها فقط. يحتوي على ثغرات متعمّدة وإعدادات غير آمنة. المؤلفون غير مسؤولين عن أي إساءة استخدام أو ضرر أو وصول غير مصرّح به. استخدمه في بيئات معزولة.

المساهمة

OSS – OopsSec Store مرخّص بموجب MIT. المساهمات مرحّب بها.

طرق المساهمة:

• أضف تحديات أمنية جديدة
• اكتب أو حسّن أدلة الحلول
• وسّع التطبيق
• أبلغ عن الأخطاء وأصلحها
• حسّن التوثيق

اطّلع على خارطة الطريق للعمل المخطط له، أو اختر قضية مناسبة للمبتدئين.

وجدت كل الأعلام؟ شارك أدلة الحلول على موقع التوثيق.

للبق أو الاقتراحات، افتح GitHub Issue. راجع CONTRIBUTING.md للإرشادات.

🎓 هل تستخدم OopsSec Store في دورة تدريبية أو CTF؟

اطّلع على حزمة المعلّم — دليل جاهز للاستخدام يضم جداول تغطية OWASP، وقوالب مناهج، وأسئلة شائعة حول النشر، وقالب تقرير طالب.

/ أبرز المساهمين