在之前的博客文章中，我介绍了我们stripe-ctf-2-vm，一个自给自足的夺旗拼图梯子在一个vm。在这篇文章中，我想谈谈我们如何使用vm向Bazaarvoice的开发人员介绍安全思维。

研发的原则之一是负责任地用数据驱动的决策“快速失败，快速取胜”。是时候进行一个大实验了。我们穿上实验服，找来十几个志愿者参加测试培训。这个会议的格式是这样的:

• 每个参与者都是孤独的竞争对手．
• 鼓励讨论以促进合作。
• 每个谜题都是基于房间的感觉而设定的时间框。
• 每个谜题/时间框都以讨论解决方案结束。

我们学到了什么，第一部分

游戏化学习很难。有一整个领域致力于此是有原因的。我们觉得自己通过提供越来越困难的挑战阶梯、竞争、社交互动和及时反馈而达到了目标。这个实验让我们做出了一些非常重要的调整。

• 单独的竞争者无法有效合作，原因很明显。与会者应组成3人或4人的小团队，以获得更好的社交元素。考虑混合技术技能和/或功能团队。这真的很有帮助。
• 我们需要在谜题的自由体验和挫败感之间找到平衡。密切跟踪时间并在表被翻转之前切入解决方案是个好主意。
• 你还需要跟踪时间，这样你就可以对未来的培训课程应该持续多长时间做出有根据的猜测。
• 对于新接触CTF或安全难题的人，需要监督和鼓励。当小型团队成立时，这更容易做到。
• 每关奖励的奖励并不能激励玩家。

把它带到大联盟

凭借我们所学到的知识和一些与会者的推荐，我们向管理层提出了一种进一步发展的方法。现在，BV的研发管理非常支持学习，我们的副总裁非常重视安全。我们不需要卖为什么非常多，只是如何．由于这种教育被认为对我们工程工作的发展至关重要，我们提出了所有120多名工程师都需要接受培训的理由。我们提供了一个大约9次会议的计划，每次会议有大约20名工程师。一旦我们得到了管理层的支持，我们就向所有的工程人员进行了两分钟的电梯推销，以便他们了解接下来的会议邀请。

如果您在安全代码的价值方面与您的管理层没有融洽的关系，那么您将面临艰巨的工作。我们建议您利用自己的才能，通过代码审查、钢笔测试或模糊工具(如果您有技能的话)来定位一些安全漏洞。web应用程序漏洞最容易利用的是未经处理的输入、跨站点脚本和SQL注入。制作一份演示文稿，介绍越来越多的web应用漏洞，修复产品缺陷的成本，以及你刚刚在产品中发现缺陷的事实。支付外部钢笔测试或安全培训或安全工具可能很昂贵。利用您从演示中获得的优势来倡导一种自下而上的方法，如读书俱乐部或像CTF会议这样的培训，以培养可以为周围的工程师提供建议的安全专家。

会话的模式

一旦你有一屋子的工程师准备好了他们的安全系统，你会怎么做?我们将他们分成几个小团队，尽可能地混合前端、后端和QA技能。接下来的30分钟左右用来帮助参与者设置他们的虚拟机并通过SSH登录。您将遇到的大多数问题可能来自与本地主机VBox适配器的混淆，或者试图直接从VBox UI而不是通过它们的终端和shell脚本运行和登录VM。当您的工程师登录到VM时，您就可以开始演示介绍幻灯片了。

当手指准备好开始拼图时，给每个人密码，并展示拼图0的演示幻灯片(0，因为我们是程序员)。设置谜题，然后让两支队伍全力以赴。提醒每个人在抢夺谜题时大声说出自己的想法是个好主意。并确保他们知道他们可以在VM或github repo中查看源代码(不，您可以在水平/ 0目录不是它的运行实例，所以不要修改它，并期望看到变化)。几分钟后，播放提示幻灯片。但是要了解你的听众。简单的谜题可能不需要提示，难的谜题可能需要更多的喘息空间，在提示出现之前或之后。

在你有一个赢家之后，或者更好的情况是，等到你有两个获胜的团队(你不想进展太快)，展示解决方案和补救幻灯片，并讨论本可以避免漏洞的方法。任何可以用于支持补救讨论的特定于您的堆栈或技术的示例都将极大地加强讨论。一旦所有队伍都解锁了下一关，重复直到你用完时间或直到你解决了所有谜题。后者意味着你们是一群坏蛋。srs !

走得越远越好，奖励攻克最多谜题的团队一些令人垂涎的东西:口袋妖怪人物。或钱。任何一个。

当然，你的里程非常重要，但我们发现以下时间安排对BV研发在我们三个小时的培训课程中是有效的:

我们学到了什么，第二部分

以下是我们从9次会议中学到的东西:

• 安排120多人参加3个小时的培训很难。留出管理时间来处理重新安排的请求，并计划一次补课。
• 每次会话生成一个虚拟机，这样每次的战利品都不同。
• 对于我们的工程师来说，三个小时的课程可以让学生们以小组的形式解决前5到6个谜题，这是对安全漏洞的一个很好的介绍。
• 在会议邀请中向生成的虚拟机发送指令和链接。
• 即便如此，也要计划花前30到40分钟设置vm。
• 不要在邀请中发送ctf用户密码;一些聪明、积极的人会在会议前解决所有问题。如果他们这样做了，他们应该和你一起监考。
• 如果你的公司使用HipChat、Slack或类似软件，那就在每次会议中设置一个仅限受邀者参加的房间。这有助于将解决方案剪切/粘贴到组中。
• 别忘了在房间里工作，给予鼓励，改变兔子洞的方向。每个团队都是不同的，有些更喜欢独处。学着去感受并尊重它。
• 有些工程师会纠结于难题的实现细节:“我不需要学习该死的PHP。”试着让他们明白谜题所造成的更大的脆弱性。试着引导他们思考安全缺陷(而不是特定于语言的缺陷)是如何在您公司的代码中发挥作用的。
• 有些队伍会在解锁下一个关卡后继续前进。大多数时候，随着CTF的继续，这种情况会变得平衡。偶尔你会有一个安全意识很强的团队。如果他们继续前进，你可能需要得到他们的支持，让他们为了士气而远离与其他团队的直接竞争。也许他们可以帮助监考其他人?
• 使用一些简单的东西，比如GoogleDoc表单，在每次会议结束后对参与者进行快速投票。您将获得关于如何更好地为您的组织定制此功能的宝贵反馈。

我们希望您能发现这种向您的工程组织介绍安全编码思维方式的独特方式既有用又有趣。这只是冰山一角。一旦您的工程师以这种方式思考，您将需要制定进一步的计划，以鼓励更多关于通用安全编码模式本身的教育。考虑定期检查安全编码代码，或者与团队中有经验的安全意识的人员进行结对编程。组建团队参加其他CTF比赛和内部安全漏洞奖励也可能有所帮助。如果你想要关于如何为自己实现这一点的提示，或者如果你只是想让我们知道它是如何为你工作的，请不要犹豫与我们联系。