____  ____ ____     ____                  ____            ____  _
  / __ \/ __// __/    / __ \ ___   ___  ___ / __/ ___  ____ / __/ / /_ ___   ____ ___
 / /_/ /\ \ _\ \     / /_/ // _ \ / _ \(_-<_\ \  / -_)/ __/_\ \  / __// _ \ / __// -_)
 \____/___//___/     \____/ \___// .__/___/___/  \__/ \__//___/  \__/ \___//_/   \__/
                                /_/

# Node.js
npx create-oss-store my-ctf-lab && cd my-ctf-lab && npm start

# Docker
docker run -p 127.0.0.1:3000:3000 leogra/oss-oopssec-store

# Then open http://localhost:3000 and start hacking

Table des matières

• Fonctionnalités
• Pourquoi OopsSec Store ?
• Installation
  • Démarrage rapide (npm)
  • Docker
• Hall of fame
• Communauté
• Structure du projet
• Activité récente
• Tests
• Avertissement
• Contribuer
• Kit éducateur
• Principaux contributeurs

[!WARNING] Cette application contient des failles de sécurité intentionnelles et ne doit jamais être déployée dans un environnement de production.

Fonctionnalités

• Application e-commerce intentionnellement vulnérable (XSS, CSRF, IDOR, attaques JWT, path traversal, injection SQL, etc.)
• Construite avec Next.js, React, Prisma et SQLite
• API REST avec vecteurs d'attaque documentés
• 36 défis CTF répartis sur 11 chapitres, organisés selon une feuille de route d'apprentissage structurée
• Documentation des vulnérabilités et procédures pas à pas communautaires pour chaque défi
• Une salle TryHackMe guidée — The Summer Audit, 8 tâches et 7 flags, comme rampe d'accès narrative pour les débutants
• Tests automatisés qui vérifient que les exploits fonctionnent toujours (les PR qui corrigent accidentellement une vulnérabilité échoueront au CI)

Pourquoi OopsSec Store ?

OopsSec Store est la seule application web intentionnellement vulnérable construite avec Next.js et React. La pile technologique que vous rencontrerez réellement en production. Et la surface d'attaque de l'ère de l'IA fait partie du programme principal, pas une réflexion après coup : injection de prompts, empoisonnement d'outils MCP, backdoors d'agents de codage IA, et une chaîne d'attaque de la supply chain npm simulée de bout en bout.

_{Dernière vérification juin 2026, contre Juice Shop v20 et DVWA 2.x. Vous avez repéré une inexactitude ? Ouvrez une issue ou ouvrez une PR.}

Installation

Démarrage rapide

npx create-oss-store my-ctf-lab
cd my-ctf-lab
npm start

Ouvrez ensuite http://localhost:3000 dans votre navigateur.

Installation manuelle

Clonez le dépôt et exécutez le script d'installation :

git clone https://github.com/kOaDT/oss-oopssec-store.git
cd oss-oopssec-store
npm run setup

Ceci crée le fichier .env, installe les dépendances, configure la base de données SQLite, la remplit avec les flags CTF, et démarre l'application sur le port 3000.

Docker

Aucun Node.js requis. Juste Docker.

127.0.0.1:3000:3000 garde le laboratoire accessible uniquement depuis votre propre machine. Utilisez -p 3000:3000 simple uniquement sur une VM isolée que vous contrôlez.

Depuis Docker Hub (le plus rapide)

docker run -p 127.0.0.1:3000:3000 leogra/oss-oopssec-store

Pour conserver les données entre les redémarrages :

docker run -p 127.0.0.1:3000:3000 -v oss-data:/app/data leogra/oss-oopssec-store

Depuis les sources (Docker Compose)

git clone https://github.com/kOaDT/oss-oopssec-store.git
cd oss-oopssec-store
docker compose up -d

Ou avec les scripts d'aide npm :

npm run docker:up       # Démarre en arrière-plan (construit l'image au premier lancement)
npm run docker:logs     # Suit les journaux du conteneur
npm run docker:down     # Arrête le conteneur
npm run docker:reset    # Efface les données et redémarre à neuf

La base de données s'initialise au premier démarrage. Les données persistent entre les redémarrages via les volumes nommés Docker. Pour tout réinitialiser (progression des flags, utilisateurs, téléversements), exécutez npm run docker:reset.

Hall of fame

Vous avez trouvé tous les flags ? Ouvrez une pull request pour rejoindre le Hall of Fame. Ajoutez votre entrée à hall-of-fame/data.json et votre profil apparaîtra sur la page /hall-of-fame de l'application.

Communauté

Questions, solutions et retours se trouvent dans Discussions.

Structure du projet

Activité récente

Tests

Le projet inclut des tests de régression de sécurité qui garantissent que toutes les chaînes d'exploitation et les flags fonctionnent toujours. Ces tests valident délibérément un comportement non sécurisé. Ils s'exécutent à chaque PR, donc si vous corrigez accidentellement une vulnérabilité, le CI le détectera.

Exécution des tests

# Tests unitaires (fonctions utilitaires : hachage MD5, JWT, filtres d'entrée)
npm run test:unit

# Tests d'exploitation API (nécessite un serveur en cours d'exécution)
npm run test:api

# Tests d'exploitation E2E (nécessite un serveur en cours d'exécution)
npm run test:e2e

# Ouvrir le mode interactif Cypress
npm run test:e2e:open

# Tous les tests
npm run test:ci

Avertissement

[!CAUTION] Ce projet est destiné à l'éducation et aux tests de sécurité autorisés uniquement. Il contient des vulnérabilités intentionnelles et des configurations non sécurisées. Les auteurs ne sont pas responsables de toute utilisation abusive, de tout dommage ou accès non autorisé. Utilisez-le dans des environnements isolés.

Contribuer

OSS – OopsSec Store est sous licence MIT. Les contributions sont les bienvenues.

Façons de contribuer :

• Ajouter de nouveaux défis de sécurité
• Rédiger ou améliorer les procédures pas à pas
• Étendre l'application
• Signaler et corriger les bugs
• Améliorer la documentation

Consultez la Feuille de route pour les travaux planifiés, ou attrapez une bonne première issue.

Vous avez trouvé tous les flags ? Partagez vos procédures pas à pas sur le site de documentation.

Pour les bugs ou suggestions, ouvrez une Issue GitHub. Consultez CONTRIBUTING.md pour les directives.

🎓 Utiliser OopsSec Store dans un cours ou un CTF ?

Consultez le Kit éducateur - un guide prêt à l'emploi avec des grilles de couverture OWASP, des modèles de programmes, une FAQ de déploiement et un modèle de rapport étudiant. Vous construisez vos propres outils autour du programme ? Le tout est publié comme un flux lisible par machine à challenges.json, régénéré à chaque déploiement de la documentation.

/ Principaux contributeurs