寻求针对RSASignHash(SHA256,Pkcs1)签名PDF的攻击方案

1. 无私钥场景的经典攻击 #

• Bleichenbacher填充 oracle 攻击：这是PKCS#1 v1.5签名体系的固有漏洞。如果目标系统的签名验证环节会区分填充错误与哈希不匹配的不同错误提示，就可以利用该漏洞：
  1. 修改目标PDF内容，生成对应内容的SHA256哈希值；
  2. 按照Bleichenbacher攻击流程，构造符合PKCS#1 v1.5格式的伪造签名块；
  3. 替换原PDF中的签名值，使验证逻辑通过。
• 哈希碰撞尝试：SHA256目前尚无实用的碰撞攻击手段，但如果目标系统存在哈希截断、弱哈希衍生逻辑等问题，理论上可尝试构造碰撞内容（不过当前SHA256的碰撞成本极高，几乎无法落地）。

2. 部分信息泄露场景的攻击 #

• 私钥部分比特泄露的恢复：若获取到私钥的部分比特信息（如高/低比特段），可通过格基规约算法（如LLL算法）推导完整私钥，进而直接伪造任意内容的签名。
• 侧信道攻击：通过捕获签名生成过程中的计时、功耗等侧信道数据，分析RSA模运算的时间差异或功耗波动，推导出私钥的模与指数信息。

3. PDF结构层面的绕过技巧 #

• 修改非签名覆盖区域：PDF签名通常通过/ByteRange指定受保护的字节范围，若能找到签名未覆盖的可修改区域（如部分元数据、注释、非核心渲染内容），可直接修改这些部分而不触发签名验证失败。
• 合法签名重放：如果目标系统未对签名的唯一性（如未绑定唯一文档ID、时间戳）做校验，可将已有的合法签名复制到其他PDF文件中，实现伪造签名的效果。

注意事项 #

• 所有攻击行为必须在合法授权范围内实施，未授权的攻击可能违反法律法规。
• Bleichenbacher攻击依赖验证侧的填充错误泄露，若目标系统对所有验证错误返回统一提示，该攻击无法生效。

内容的提问来源于stack exchange，提问作者HNIM600