____  ____ ____     ____                  ____            ____  _
  / __ \/ __// __/    / __ \ ___   ___  ___ / __/ ___  ____ / __/ / /_ ___   ____ ___
 / /_/ /\ \ _\ \     / /_/ // _ \ / _ \(_-<_\ \  / -_)/ __/_\ \  / __// _ \ / __// -_)
 \____/___//___/     \____/ \___// .__/___/___/  \__/ \__//___/  \__/ \___//_/   \__/
                                /_/

# Node.js
npx create-oss-store my-ctf-lab && cd my-ctf-lab && npm start

# Docker
docker run -p 3000:3000 leogra/oss-oopssec-store

# Then open http://localhost:3000 and start hacking

Sumário

• Recursos
• Por que o OopsSec Store?
• Instalação
  • Início rápido (npm)
  • Docker
• Hall da fama
• Estrutura do projeto
• Atividade recente
• Testes
• Aviso legal
• Contribuição
• Kit para educadores
• Principais colaboradores

[!WARNING] Este aplicativo contém falhas de segurança intencionais e nunca deve ser implantado em um ambiente de produção.

Recursos

• Aplicativo de e-commerce intencionalmente vulnerável (XSS, CSRF, IDOR, ataques JWT, path traversal, injeção de SQL e muito mais)
• Construído com Next.js, React, Prisma e SQLite
• API REST com vetores de ataque documentados
• 36 desafios CTF em 11 capítulos, organizados em um roadmap de aprendizado estruturado
• Documentação de vulnerabilidades e walkthroughs da comunidade para cada desafio
• Testes automatizados que verificam se os exploits continuam funcionando (PRs que corrigirem uma vulnerabilidade por acidente falharão no CI)

Por que o OopsSec Store?

OopsSec Store é o único aplicativo web intencionalmente vulnerável construído com Next.js e React. A stack que você realmente encontrará em produção. E a superfície de ataque da era da IA faz parte do currículo principal, não um complemento: injeção de prompt, envenenamento de ferramentas MCP, backdoors em agentes de codificação de IA e uma cadeia de ataque à supply-chain do npm simulada de ponta a ponta.

_{Última verificação em junho de 2026, contra o Juice Shop v20 e o DVWA 2.x. Encontrou alguma imprecisão? Abra uma issue ou abra um PR.}

Instalação

Início rápido

npx create-oss-store my-ctf-lab
cd my-ctf-lab
npm start

Em seguida, abra http://localhost:3000 no seu navegador.

Configuração manual

Clone o repositório e execute o script de configuração:

git clone https://github.com/kOaDT/oss-oopssec-store.git
cd oss-oopssec-store
npm run setup

Isso cria o arquivo .env, instala as dependências, configura o banco de dados SQLite, o popula com as flags de CTF e inicia o aplicativo na porta 3000.

Docker

Não é necessário Node.js. Apenas Docker.

Pelo Docker Hub (mais rápido)

docker run -p 3000:3000 leogra/oss-oopssec-store

Para persistir os dados entre reinicializações:

docker run -p 3000:3000 -v oss-data:/app/data leogra/oss-oopssec-store

A partir do código-fonte (Docker Compose)

git clone https://github.com/kOaDT/oss-oopssec-store.git
cd oss-oopssec-store
docker compose up -d

Ou usando os scripts auxiliares do npm:

npm run docker:up       # Start in background (builds image on first run)
npm run docker:logs     # Follow container logs
npm run docker:down     # Stop the container
npm run docker:reset    # Wipe data and restart fresh

O banco de dados é inicializado no primeiro início. Os dados persistem entre reinicializações por meio de volumes nomeados do Docker. Para redefinir tudo (progresso das flags, usuários, uploads), execute npm run docker:reset.

Hall da fama

Encontrou todas as flags? Abra um pull request para entrar no Hall da Fama. Adicione sua entrada em hall-of-fame/data.json e seu perfil aparecerá na página /hall-of-fame do aplicativo.

Estrutura do projeto

Atividade recente

Testes

O projeto inclui testes de regressão de segurança que garantem que todas as cadeias de exploit e flags continuem funcionando. Esses testes validam deliberadamente o comportamento inseguro. Eles são executados em todo PR; portanto, se você corrigir uma vulnerabilidade acidentalmente, o CI a detectará.

Executando os testes

# Unit tests (utility functions: MD5 hashing, JWT, input filters)
npm run test:unit

# API exploitation tests (requires a running server)
npm run test:api

# E2E exploitation tests (requires a running server)
npm run test:e2e

# Open Cypress interactive mode
npm run test:e2e:open

# All tests
npm run test:ci

Aviso legal

[!CAUTION] Este projeto é apenas para fins educacionais e testes de segurança autorizados. Ele contém vulnerabilidades intencionais e configurações inseguras. Os autores não são responsáveis por qualquer uso indevido, dano ou acesso não autorizado. Use-o em ambientes isolados.

Contribuição

OSS – OopsSec Store é licenciado sob MIT. Contribuições são bem-vindas.

Formas de contribuir:

• Adicionar novos desafios de segurança
• Escrever ou melhorar walkthroughs
• Estender o aplicativo
• Reportar e corrigir bugs
• Melhorar a documentação

Consulte o Roadmap para ver o trabalho planejado ou escolha uma good first issue.

Encontrou todas as flags? Compartilhe seus walkthroughs no site de documentação.

Para bugs ou sugestões, abra uma GitHub Issue. Consulte CONTRIBUTING.md para obter as diretrizes.

🎓 Usando o OopsSec Store em um curso ou CTF?

Confira o Kit para Educadores - um guia pronto para uso com grades de cobertura OWASP, modelos de ementa, FAQ de implantação e um modelo de relatório para estudantes.

/ Principais colaboradores