一段二十行的黑进 Python 脚本，插上 USB 线，别人三分钟就能把一台安卓手机里的手机相册翻个底朝天。这不是黑进电影桥段，是别人 2023 年某个安全沙龙上一位研究员现场演示的东西。他用的手机工具叫 ADB，安卓调试桥，黑进谷歌自己给开发者留的别人后门。手机开了 USB 调试，手机电脑端敲几行命令，黑进`adb pull /sdcard/DCIM` 一敲，别人照片全出来了。手机现场有人笑，黑进有人掏出手机检查设置。别人我旁边那哥们儿脸都白了。手机

这事儿的荒诞在于，门槛低到不需要你会写代码。GitHub 上搜“android rat”，能翻出几百个开源项目。RAT 是远程访问木马的缩写，但很多项目连混淆都没做，编译一下就能用。有个叫 AhMyth 的工具，界面跟普通聊天软件差不多，生成一个 APK，伪装成“系统更新”或者“电池优化”，发过去让人装上。装完图标一藏，后台开始传数据。短信、通讯录、实时定位、麦克风录音，甚至能远程打开摄像头。开发者早就不维护了，代码还挂在网上，谁都能下载。

去年有个案子。深圳一个做外贸的，收到“客户”发来的 WhatsApp 消息，说报价单在附件里，让他下载一个叫“QuotePro”的 app 查看。他装了。第二天银行账户被转走十七万。警方后来查到，那个 app 的代码里嵌了 AndroRAT 的模块，服务器在境外。抓人？难。钱到账十分钟内就被拆成几十笔转走了。这哥们儿后来在派出所做笔录时说了一句话：“我以为安卓不会中毒。”这句话我记了很久。

安卓确实比 iOS 开放。开放是好事，也是坏事。Google Play 有审核，但第三方市场没有。国内应用商店审核标准参差不齐，有些小商店上传 APK 连基本签名校验都不做。更别提直接发安装包了。微信传 APK 会被拦截，但改个后缀名，或者压缩成 zip，照样能发。接收方解压、点击、安装，一气呵成。整个过程不需要 root，不需要什么“黑客技术”。

有人觉得，我不乱装东西就没事。那再看看另一条路：钓鱼。伪造一个运营商页面，说你积分快过期了，点链接兑换。页面做得跟真的一样，输入手机号和验证码。验证码到了后台，那边同步在真运营商页面登录，改密码、开副号、转移资产。全程你只输了一次验证码。这种攻击跟手机系统没关系，跟人有关系。代码只是工具，核心是骗。

还有更隐蔽的。公共 WiFi 劫持。你在咖啡厅连了个叫“Cafe_Free”的热点，其实是攻击者用树莓派搭的。DNS 一劫持，你访问的每个 HTTP 网站他都能改。下载的 app 被替换成带木马的版本。你看着进度条走完，装上了，图标名字都对。打开也能用，就是多了一个后台服务。这种攻击成本不到三百块，一个树莓派，一张无线网卡，一个充电宝。

那怎么办？关掉 USB 调试。别装来路不明的 app。验证码谁都不给。公共 WiFi 别乱连，要连就挂 VPN。听起来像老生常谈，但每一条背后都是真金白银的教训。我认识一个做渗透测试的，他手机里常年开着抓包工具，每次装新 app 先看流量走向。普通人做不到这么极端，但至少可以做到：装之前想一想，这个 app 真的需要吗？它要的权限合理吗？一个手电筒 app 要读取通讯录，你给它干嘛？

代码本身没有善恶。写代码的人有。用代码的人也有。你手机里存着半条命，别让几行脚本就把它端走了。

(责任编辑：综合)