OSS - OopsSec Store

为你实际交付的应用提供安全培训。

涵盖 Web、API、身份验证、业务逻辑、密码学、供应链、AI 代理和 MCP 的 36 个挑战。

攻破一个基于 Next.js、React、TypeScript 和 Prisma 构建的故意存在漏洞的电子商务应用。
找出漏洞。利用它们。理解它们为何奏效。

Docker Hub · npm · 路线图 · 通关指南 · 贡献 · 适合新手的问题


   ____  ____ ____     ____                  ____            ____  _
  / __ \/ __// __/    / __ \ ___   ___  ___ / __/ ___  ____ / __/ / /_ ___   ____ ___
 / /_/ /\ \ _\ \     / /_/ // _ \ / _ \(_-<_\ \  / -_)/ __/_\ \  / __// _ \ / __// -_)
 \____/___//___/     \____/ \___// .__/___/___/  \__/ \__//___/  \__/ \___//_/   \__/
                                /_/

# Start with Node.js
npx create-oss-store my-ctf-lab && cd my-ctf-lab && npm start

# Start with Docker
docker run -p 127.0.0.1:3000:3000 leogra/oss-oopssec-store

# Then open http://localhost:3000 and start hacking

_{Storefront · 你正在攻击的电商应用}	_{玩家仪表盘 · 进度、难度与类别细分}
_{OSSBot · 你进行提示注入的 AI 客服助手}	_{路线图 · 那些会随生产代码一起发布的漏洞}

_{点击任意截图可查看完整尺寸。}

快速上手

	启动实验环境 `npx create-oss-store my-ctf-lab && cd my-ctf-lab && npm start` _{或者使用 Docker 运行。商店会在 localhost:3000 启动。}
	攻克挑战 #1 公开环境变量泄露：Next.js 将支付密钥打包进客户端 bundle。 _{简单 · 15–20 分钟 · 只需浏览器开发者工具。}
	卡住了？阅读通关指南每个挑战都有一份，从漏洞到利用再到修复。 _{第一篇：从浏览器中读取密钥：Next.js 中的 NEXT_PUBLIC_ 陷阱。}
	验证 flag 将 `OSS{...}` 粘贴到 flag 校验器中，即每个页面上的浮动小部件。 _{你的玩家仪表盘会追踪剩余内容。}
	选择下一个路线图按章节排列了所有挑战：难度、预计用时、前置条件。 _{拿下下一张卡片，然后回到第 2 步。↻}