星河
当你以为手机很安全时，你的短信可能早已"透明"
一、事件回顾：一场迟到的披露
2025年9月23日，国际知名安全研究机构 Rapid7 公开披露了一个令人震惊的漏洞：CVE-2025-10184。
这不是一个普通的漏洞。
它影响了 OPPO、一加、realme 三大品牌的所有搭载 ColorOS/OxygenOS 系统的设备，而最早受影响的版本可以追溯到 2019年的 ColorOS 7.1。
这意味着，这个漏洞已经在全球数亿台设备中静默存在了至少六年。
二、技术原理：一个优雅的"SQL注入"
漏洞机制
该漏洞利用了 Android 系统中 Telephony Provider 的权限绕过缺陷，通过构造特殊的数据库查询语句（1=1 AND SQL注入），任意应用可以：
✅ 无需申请任何权限
✅ 无需用户任何交互
✅ 完全静默地读取所有短信
攻击特征
SELECT address, body, date FROM sms ORDER BY date DESC LIMIT 100攻击者可以获取的信息包括但不限于：
📱 短信发送方号码
📝 短信完整内容
🕐 收发时间戳
🔐 验证码
💳 银行通知
📦 物流信息
💬 私密对话
漏洞影响范围
三、真实案例：你的手机正在"裸奔"吗？
想象以下场景：
场景一：验证码窃取
你刚注册了一个新的交易平台账号，短信验证码
123456发来了。 此时，手机里某个看似正常的"手电筒APP"已经悄悄读取了这条短信。 几秒后，你的账号在异地登录。
场景二：用户画像构建
某个"天气预报APP"每天默默地读取你的所有短信。 银行通知、快递信息、社交验证码…… 三个月后，它对你的消费习惯、社交圈、财务状况了如指掌。
场景三：定向诈骗
攻击者通过批量安装恶意应用，收集大量用户的短信数据。 筛选出银行卡余额提醒、贷款通知等敏感信息。 精准实施电信诈骗，成功率提升300%。
这不是危言耸听，这是正在发生的事实。
四、检测方法：一分钟自查
📊 验证你的设备是否受影响
关注本公众号，回复关键词：CVE-2025-10184 获取官方验证工具APK（安全研究者开发）
检测步骤
安装验证APK
运行程序（自动检测1分钟）
查看结果：
✅ 无数据显示 → 你的设备未受影响
❌ 显示短信数据 → 你的设备存在漏洞
五、应急响应：自救指南
🚨 普通用户（无需技术背景）
立即行动
更换设备 在补丁推送前，将SIM卡转移到其他品牌手机使用
清理短信 立即删除所有历史短信，并清空回收站（彻底删除）
隔离安装 新安装的应用优先在虚拟机或云手机中试用
最小化风险 接收验证码时，清理后台所有应用
临时防护方案（需Shizuku工具）
⚠️ 该方案有一定操作难度，请仔细阅读
工具准备：
操作步骤：
安装上述两个工具
启用"无线调试"并启动Shizuku
在Blocker中授权Shizuku权限
搜索并进入"电话/短信存储"应用
禁用以下三个内容提供者：
PushMessageProviderPushShopProviderServiceNumberProvider
⚠️ 重要提示：
重启后需重新开启三个选项 → 再次重启 → 确认短信正常收发 → 再次关闭选项
该方案在下次重启前有效
🔧 高级用户（已Root）
方案一：Xposed模块拦截
验证工具内置了Xposed模块，可实时拦截并记录调用此漏洞的应用：
实时弹窗提示
记录攻击日志
需手动勾选应用范围
方案二：数据库权限修改
使用MT管理器修改数据库文件权限：
路径：/data/data/com.android.providers.telephony/databases/
文件：mmssms.db
操作：移除所有读权限⚠️ 部分机型可能导致短信接收异常，需自行测试
六、官方响应：一场漫长的等待
披露时间线
2025-05-01 Rapid7首次联系一加安全团队 → 无回应
2025-05-06 第二次邮件联系 → 无回应
2025-07-02 联系客服 + 安全团队 → 客服回复"转达"
2025-07-10 催促客服 → 无回应
2025-07-22 通过X平台联系 → 无回应
2025-08-16 联系OPPO CNA代表 → 无回应
2025-09-23 公开披露漏洞（180天责任披露期满）
2025-09-24 一加终于回应："正在调查"补丁推送计划
根据社区反馈，OPPO、一加、realme 将在 2025年10月中旬 全球推送安全补丁。
建议：
密切关注系统更新推送
收到更新后立即安装
更新后使用验证工具再次检测
七、深度思考：我们能学到什么？
对于用户
权限不等于安全 即使APP不申请权限，也可能通过系统漏洞获取数据
来源审查至关重要 只安装来自官方应用商店的应用，避免第三方渠道
定期清理敏感数据 短信、通话记录等敏感信息应定期删除
及时更新系统 系统补丁往往包含重要的安全修复
对于开发者
深度防御原则 不要仅依赖权限系统，敏感数据需多层保护
安全审计必要性 定期进行第三方安全审计，发现潜在风险
责任披露机制 建立有效的安全响应团队，快速响应漏洞报告
对于厂商
响应速度决定影响范围 从首次报告到回应用时近5个月，这是不可接受的
主动安全检测 不应等待外部研究者发现问题，而应主动审计代码
透明沟通 及时向用户通报安全问题及修复进展
八、总结：安全永远在路上
CVE-2025-10184 不是第一个，也不会是最后一个重大安全漏洞。
但它提醒我们：
📱 你的手机，可能并不如你想象的安全
🔐 隐私保护，需要用户、开发者、厂商共同努力
⚡ 安全意识，比安全软件更重要
📢 获取验证工具
立即检测你的设备是否受影响！
关注本公众号 回复关键词：CVE-2025-10184 获取最新安全验证工具
📚 参考资料
免责声明： 本文仅供安全研究和用户自查使用，验证工具来源于安全社区研究者。请勿将相关技术用于非法用途，由此产生的一切法律责任由使用者自行承担。
文章作者： wjlin0 发布日期： 2025年10月 标签： #信息安全 #CVE202510184 #OPPO漏洞 #一加手机 #短信泄露
守护数字安全，从关注开始