____  ____ ____     ____                  ____            ____  _
  / __ \/ __// __/    / __ \ ___   ___  ___ / __/ ___  ____ / __/ / /_ ___   ____ ___
 / /_/ /\ \ _\ \     / /_/ // _ \ / _ \(_-<_\ \  / -_)/ __/_\ \  / __// _ \ / __// -_)
 \____/___//___/     \____/ \___// .__/___/___/  \__/ \__//___/  \__/ \___//_/   \__/
                                /_/

# Node.js
npx create-oss-store my-ctf-lab && cd my-ctf-lab && npm start

# Docker
docker run -p 3000:3000 leogra/oss-oopssec-store

# Then open http://localhost:3000 and start hacking

Содержание

• Возможности
• Почему OopsSec Store?
• Установка
  • Быстрый старт (npm)
  • Docker
• Зал славы
• Структура проекта
• Недавняя активность
• Тестирование
• Отказ от ответственности
• Участие в разработке
• Набор для преподавателей
• Ведущие контрибьюторы

[!WARNING] Это приложение содержит преднамеренные уязвимости безопасности и ни в коем случае не должно разворачиваться в производственной среде.

Возможности

• Специально уязвимое e-commerce приложение (XSS, CSRF, IDOR, JWT-атаки, обход пути, SQL-инъекции и другое)
• Построено на Next.js, React, Prisma и SQLite
• REST API с документированными векторами атак
• 36 CTF-заданий в 11 главах, организованных в виде структурированной дорожной карты обучения
• Документация по уязвимостям и прохождения сообщества для каждого задания
• Автоматические тесты, проверяющие, что эксплойты по-прежнему работают (PR, случайно исправляющие уязвимость, не пройдут CI)

Почему OopsSec Store?

OopsSec Store — единственное специально уязвимое веб-приложение, построенное на Next.js и React. Это тот стек, с которым вы действительно столкнётесь в продакшене. А поверхность атак эпохи ИИ является частью основной учебной программы, а не дополнением: prompt-инъекции, отравление MCP-инструментов, бэкдоры в ИИ-агентах кодинга и цепочка supply-chain атак через npm, смоделированная от начала до конца.

_{Последняя проверка — июнь 2026 года, против Juice Shop v20 и DVWA 2.x. Заметили неточность? Откройте issue или отправьте PR.}

Установка

Быстрый старт

npx create-oss-store my-ctf-lab
cd my-ctf-lab
npm start

Затем откройте в браузере http://localhost:3000.

Настройка вручную

Склонируйте репозиторий и запустите скрипт настройки:

git clone https://github.com/kOaDT/oss-oopssec-store.git
cd oss-oopssec-store
npm run setup

Этот скрипт создаёт файл .env, устанавливает зависимости, настраивает базу данных SQLite, наполняет её CTF-флагами и запускает приложение на порту 3000.

Docker

Node.js не требуется. Нужен только Docker.

Из Docker Hub (самый быстрый способ)

docker run -p 3000:3000 leogra/oss-oopssec-store

Для сохранения данных между перезапусками:

docker run -p 3000:3000 -v oss-data:/app/data leogra/oss-oopssec-store

Из исходного кода (Docker Compose)

git clone https://github.com/kOaDT/oss-oopssec-store.git
cd oss-oopssec-store
docker compose up -d

Или с помощью вспомогательных npm-скриптов:

npm run docker:up       # Start in background (builds image on first run)
npm run docker:logs     # Follow container logs
npm run docker:down     # Stop the container
npm run docker:reset    # Wipe data and restart fresh

База данных инициализируется при первом запуске. Данные сохраняются между перезапусками через именованные тома Docker. Чтобы сбросить всё (прогресс по флагам, пользователей, загрузки), выполните npm run docker:reset.

Зал славы

Нашли все флаги? Откройте pull request, чтобы попасть в Зал славы. Добавьте свою запись в hall-of-fame/data.json, и ваш профиль появится на странице /hall-of-fame в приложении.

Структура проекта

Недавняя активность

Тестирование

Проект включает регрессионные тесты безопасности, которые проверяют, что все цепочки эксплойтов и флаги по-прежнему работают. Эти тесты намеренно проверяют небезопасное поведение. Они запускаются в каждом PR, поэтому если вы случайно залатаете уязвимость, CI это обнаружит.

Запуск тестов

# Unit tests (utility functions: MD5 hashing, JWT, input filters)
npm run test:unit

# API exploitation tests (requires a running server)
npm run test:api

# E2E exploitation tests (requires a running server)
npm run test:e2e

# Open Cypress interactive mode
npm run test:e2e:open

# All tests
npm run test:ci

Отказ от ответственности

[!CAUTION] Этот проект предназначен только для образовательных целей и санкционированного тестирования безопасности. Он содержит намеренные уязвимости и небезопасные конфигурации. Авторы не несут ответственности за любое неправомерное использование, ущерб или несанкционированный доступ. Используйте его в изолированных средах.

Участие в разработке

OSS – OopsSec Store распространяется по лицензии MIT. Вклад приветствуется.

Способы внести вклад:

• Добавлять новые задания по безопасности
• Писать или улучшать прохождения
• Расширять приложение
• Сообщать об ошибках и исправлять их
• Улучшать документацию

Смотрите дорожную карту с запланированными работами или возьмите простую задачу для старта.

Нашли все флаги? Поделитесь своими прохождениями на сайте документации.

Об ошибках и предложениях сообщайте через GitHub Issue. Рекомендации см. в CONTRIBUTING.md.

🎓 Используете OopsSec Store в курсе или CTF?

Ознакомьтесь с набором для преподавателей — готовым руководством с таблицами покрытия OWASP, шаблонами учебных программ, FAQ по развёртыванию и шаблоном отчёта для студентов.

/ Ведущие контрибьюторы