手机入侵教程

去年秋天，手机我表弟的入侵手机突然开始自己往外发短信。不是教程那种群发的广告，是手机精准发给他通讯录里备注为“老板”“客户”“妈”的那几个人。内容很简短：“我换号了，入侵存一下新号。教程”新号码是手机个170开头的虚拟号段。他当时正坐在我旁边打游戏，入侵手机就搁在桌上，教程屏幕亮起来的手机时候他愣了三秒，然后整个人从沙发上弹了起来。入侵

这件事让我对“手机入侵”这四个字的教程理解彻底变了。以前总觉得那是手机电影里才有的情节，或者至少得是入侵黑客盯上了什么大人物。可现实是教程，一个普通大学生的手机，在黑产链条里可能只值几块钱——入侵成本比我们想象的低得多。

短信里的那个链接，你点不点

最常见的入口还是短信。不是那种“恭喜中奖”的弱智钓鱼，现在的手法精细多了。我见过一条伪装成“菜鸟裹裹”的短信，说快递在运输途中破损，要理赔。链接点进去是个和菜鸟官方几乎一模一样的页面，连客服头像的像素颗粒感都做出来了。你填完姓名、电话、银行卡号，页面会“卡”一下，然后提示“系统繁忙，请稍后重试”。其实这时候你的信息已经打包发走了。

有个做安全的朋友告诉我，他们监测到过一批短信，专门挑凌晨两点到四点发。这个时间段人睡得迷迷糊糊，看到“账户异常”之类的字眼，第一反应是慌张，第二反应是赶紧点链接处理。理性判断能力基本为零。他自己就中过招——半夜收到“ETC扣费失败”的短信，点进去填了信息，第二天早上才发现信用卡被盗刷了三千多。

公共WiFi和那些“免费”的充电口

商场、咖啡厅、机场的免费WiFi，名字起得越像官方的越危险。“Starbucks_Free_WiFi”和“Starbucks_WiFi_Official”，普通人根本分不清哪个是真哪个是假。连上假的之后，你刷什么网页、输什么密码，后台看得一清二楚。更狠的是，有些假热点会给你推一个“浏览器更新”的弹窗，点下去就装了木马。

公共充电桩也是个坑。去年315曝光过，有些充电桩在插上数据线的那一刻，就通过USB调试模式往手机里装东西。你以为只是在充电，其实手机已经被人接管了。安卓手机如果开了“USB调试”，连上这种充电桩，对方能直接读你的通讯录、相册，甚至用你的摄像头。iPhone相对安全些，但也不是绝对——如果弹窗让你“信任此电脑”，你手滑点了信任，那就等于把钥匙递出去了。

手机里那些要命的权限

装App的时候，你注意过它要什么权限吗？一个手电筒App要读取通讯录，一个计算器要访问位置信息。这些权限一旦给了，后台就能干很多事。我见过最离谱的是一个壁纸App，安装量几百万，它要的权限里包括“读取短信”和“发送短信”。后来被曝光，它会在后台偷偷给指定号码发扣费短信，一条两块钱，用户根本察觉不到。

还有输入法。第三方输入法如果权限给全了，你打的每一个字它都能看到。密码、银行卡号、私密聊天，全在它眼皮底下。有些输入法会把这些数据传回服务器做“词库优化”，至于中间有没有被截留、有没有被卖，那就只有天知道了。

说回我表弟。后来查清楚了，是他下载了一个破解版游戏，安装的时候顺手给了“读取短信”的权限。那个App在后台躺了半个月，摸清了他发短信的习惯和通讯录分组，然后才开始动手。发完那几条短信之后，它自己卸载了，连图标都没留下。

手机这东西，现在装着我们的钱、我们的关系、我们的秘密。可很多人对待它的态度，比对待自家大门还随意。大门你还知道出门要反锁，手机呢？App要权限就给，链接想点就点，WiFi见着免费就连。入侵手机这件事，技术门槛在降低，但真正的漏洞，往往是我们自己把门敞开的。