OSS - OopsSec Store

実際に出荷するアプリのためのセキュリティトレーニング。

Web、API、認証、ビジネスロジック、暗号技術、サプライチェーン、AIエージェント、MCPにわたる36のチャレンジ。

Next.js、React、TypeScript、Prismaで構築された、意図的に脆弱なEコマースアプリを攻略せよ。
バグを見つけ、悪用し、なぜそれが機能するのかを理解する。

Docker Hub · npm · ロードマップ · ウォークスルー · コントリビューション · Good first issues


   ____  ____ ____     ____                  ____            ____  _
  / __ \/ __// __/    / __ \ ___   ___  ___ / __/ ___  ____ / __/ / /_ ___   ____ ___
 / /_/ /\ \ _\ \     / /_/ // _ \ / _ \(_-<_\ \  / -_)/ __/_\ \  / __// _ \ / __// -_)
 \____/___//___/     \____/ \___// .__/___/___/  \__/ \__//___/  \__/ \___//_/   \__/
                                /_/

# Start with Node.js
npx create-oss-store my-ctf-lab && cd my-ctf-lab && npm start

# Start with Docker
docker run -p 127.0.0.1:3000:3000 leogra/oss-oopssec-store

# Then open http://localhost:3000 and start hacking

_{Storefront · あなたが攻撃する e コマースアプリ}	_{Player dashboard · 進捗、難易度、カテゴリ別の内訳}
_{OSSBot · あなたがプロンプトインジェクションする AI サポートアシスタント}	_{Roadmap · 本番コードに紛れ込むバグたち}

_{スクリーンショットをクリックすると拡大表示できます。}

はじめに

	ラボを起動する `npx create-oss-store my-ctf-lab && cd my-ctf-lab && npm start` _{または Docker で実行する。ストアは localhost:3000 で起動します。}
	チャレンジ #1 に挑む Public env variable leak: Next.js がクライアントバンドルに埋め込んでしまう決済シークレット。 _{Easy · 15〜20 分 · 必要なのはブラウザの devtools だけ。}
	詰まったら? ウォークスルーを読むすべてのチャレンジに用意されています。脆弱性からエクスプロイト、修正まで。 _{最初の一本: Reading Secrets From the Browser: The NEXT_PUBLIC_ Trap in Next.js。}
	フラグを検証する `OSS{...}` をフラグチェッカーに貼り付けます。これは全ページに表示されるフローティングウィジェットです。 _{player dashboard が残りの進捗を追跡します。}
	次のチャレンジを選ぶ roadmap がすべてのチャレンジを章ごとに整理しています: 難易度、所要時間の目安、前提条件。 _{次のカードに進み、ステップ 2 に戻ります。 ↻}

[!TIP] すべて攻略しましたか? Hall of Fame に参加し、リポジトリにスターを付け、Show your solve にあなたのルートを投稿してください。

_{オフェンシブセキュリティは初めてですか? TryHackMe room では、最初のフラグをガイド付きのストーリーで体験できます。}

機能

意図的に脆弱な e コマースアプリ (XSS、CSRF、IDOR、JWT 攻撃、パストラバーサル、SQL インジェクションなど)
Next.js (App Router)、React、TypeScript、Prisma、SQLite で構築
攻撃ベクトルが文書化された REST API
11 章にわたる 36 の CTF チャレンジ。体系的な学習ロードマップとして構成
各チャレンジの脆弱性ドキュメントとコミュニティによるウォークスルー
ガイド付きの TryHackMe room: The Summer Audit、8 タスクと 7 フラグ。初心者向けのストーリー形式の入門編
エクスプロイトが今も機能することを検証する自動テスト (誤って脆弱性を修正してしまう PR は CI で失敗します)

なぜ OopsSec Store なのか?

モダンなフレームワークは、セキュリティ脆弱性が現れる場所と、その修正方法を変えてきました。OopsSec Store は、古典的な脆弱性クラスを、今日多くの開発者が使うスタックに落とし込みます: Next.js App Router、React、TypeScript、Prisma です。

サーバーレンダリングコンポーネント、ミドルウェア、ORM は、異なる信頼境界と障害モードをもたらします。いくつかのチャレンジでは、このスタックに対する公開済みの CVE も再現しています。

カリキュラムは、AI 支援開発とともに登場した攻撃対象領域もカバーしています: カスタマーサポートエージェントに対するプロンプトインジェクション、MCP ツールポイズニング、バックドア入りのコーディングエージェントルールファイル、そして npm タイポスクワットチェーンのエンドツーエンドシミュレーションです。

oss-oopssec-store

人気

OSS - OopsSec Store

はじめに

目次

機能

なぜ OopsSec Store なのか?