OSS - OopsSec Store

実際に提供しているアプリのためのセキュリティトレーニング。

Web、API、認証、ビジネスロジック、暗号、サプライチェーン、AIエージェント、MCPにわたる36のチャレンジ。

Next.js、React、TypeScript、Prismaで構築された、意図的に脆弱なEコマースアプリを攻略せよ。
バグを見つけ、悪用し、なぜそれが機能するのかを理解する。

Docker Hub · npm · ロードマップ · ウォークスルー · コントリビューション · 初心者向けイシュー


   ____  ____ ____     ____                  ____            ____  _
  / __ \/ __// __/    / __ \ ___   ___  ___ / __/ ___  ____ / __/ / /_ ___   ____ ___
 / /_/ /\ \ _\ \     / /_/ // _ \ / _ \(_-<_\ \  / -_)/ __/_\ \  / __// _ \ / __// -_)
 \____/___//___/     \____/ \___// .__/___/___/  \__/ \__//___/  \__/ \___//_/   \__/
                                /_/

# Start with Node.js
npx create-oss-store my-ctf-lab && cd my-ctf-lab && npm start

# Start with Docker
docker run -p 127.0.0.1:3000:3000 leogra/oss-oopssec-store

# Then open http://localhost:3000 and start hacking

_{Storefront · あなたが攻撃する e コマースアプリ}	_{プレイヤーダッシュボード · 進捗、難易度、カテゴリ別の内訳}
_{OSSBot · プロンプトインジェクションの対象となる AI サポートアシスタント}	_{ロードマップ · 本番コードに紛れ込むバグたち}

_{スクリーンショットをクリックするとフルサイズで表示されます。}

はじめに

	ラボを起動する `npx create-oss-store my-ctf-lab && cd my-ctf-lab && npm start` _{または Docker で実行する。ストアは localhost:3000 で起動します。}
	チャレンジ #1 に挑戦する公開環境変数の漏洩: Next.js がクライアントバンドルに埋め込んでしまう決済用シークレット。 _{初級 · 15〜20 分 · 必要なのはブラウザの devtools だけ。}
	行き詰まったら? ウォークスルーを読むすべてのチャレンジに用意されています。脆弱性からエクスプロイト、修正まで。 _{最初の一本: Reading Secrets From the Browser: The NEXT_PUBLIC_ Trap in Next.js。}
	フラグを検証する `OSS{...}` をフラグチェッカー(全ページに表示されるフローティングウィジェット)に貼り付けます。 _{プレイヤーダッシュボードで残りのフラグを追跡できます。}
	次のチャレンジを選ぶロードマップでは、すべてのチャレンジが章ごとに整理されています: 難易度、所要時間の目安、前提条件。 _{次のカードに進み、ステップ 2 に戻りましょう。 ↻}