把一台安卓手机接上Kali，安卓用adb devices敲下去，渗透屏幕上蹦出那串序列号的安卓时候，渗透测试才算真正开始。渗透很多人卡在这一步——手机没反应，安卓或者显示unauthorized。渗透别急着换线，安卓先看手机屏幕有没有弹“允许USB调试”。渗透没弹？安卓开发者选项里把“USB调试”关了再开一次。这招我试过不下二十次，渗透比重启adb服务管用。安卓

Kali里自带的渗透adb版本有时候比手机端旧，反过来也一样。安卓去年帮一个朋友测他的渗透旧红米，adb一直掉线，安卓换了三条线都没用。后来发现是Kali的adb 1.0.41和安卓5.1的adbd协议对不上。去Google官网下个platform-tools，把/usr/bin/adb替换掉，问题消失。所以别迷信“Kali自带就是好”，该换就换。

连上之后，第一件事不是急着装msf，而是adb shell id。看看返回的是不是uid=2000(shell)。如果是root，恭喜你，这手机要么是工程机，要么已经被root过。普通零售机基本都是shell权限。这时候你想读/data/data下的东西？门都没有。但你可以干很多事：adb pull /sdcard/ 把整个外部存储拖下来，里面经常躺着聊天记录备份、下载的APK、甚至某些App的明文配置。

说到APK，Kali里有个工具叫apktool，配合dex2jar和jd-gui，能把一个没加壳的App拆得底朝天。我拿一个国内某二线电商App练过手。apktool d app.apk之后，在res/values/strings.xml里直接搜到硬编码的API密钥，还是AWS的。开发者大概觉得没人会反编译。更离谱的是，AndroidManifest.xml里exported=true的组件有六个，其中两个是ContentProvider，路径遍历一下就能读到内部数据库。这不算渗透，这叫捡漏。

但现在的App没那么好说话了。加固、混淆、反调试，一套组合拳下来，apktool直接报错。这时候得换思路。frida-server推上去，用objection跑个memory dump，或者hook关键函数看参数。我习惯先跑frida-ps -U，看看进程列表里有没有“frida”字样——有些App会检测。有的话，改个名字再推。别笑，真有用。

网络层面的事更直接。手机连上WiFi，Kali开个arp-scan，看看局域网里有哪些设备。找到目标手机的IP，跑nmap -sV。如果它开了5555端口，adb connect直接上。很多廉价智能电视盒子、车机、甚至某些POS机，出厂就开着5555。我见过一个餐厅点菜平板，5555端口裸奔，adb连上去就是root。里面存着所有订单和会员手机号。老板完全不知道。

中间人攻击在安卓上反而麻烦。Android 7之后，用户证书不再被App默认信任。你想抓HTTPS流量，要么root后把证书塞进系统目录，要么用Xposed模块绕过SSL pinning。我一般用Magisk模块“MagiskTrustUserCerts”，省事。抓包工具用Burp或者mitmproxy都行。但注意，很多App现在用证书绑定，你抓到的全是加密乱码。这时候frida的脚本就派上用场了，搜“ssl unpinning”脚本，一抓一大把。

最后说个真事。某次内部测试，目标App有个WebView，加载远程页面时没校验URL。我搭了个HTTP服务，返回一段JS，直接调用App暴露的JavascriptInterface，读到了用户token。整个过程没用到任何0day，全是配置疏忽。安卓渗透就是这样，大部分时候你面对的不是坚不可摧的堡垒，而是一扇没关的窗户。

Kali只是个工具箱。真正决定成败的，是你愿不愿意花二十分钟去看AndroidManifest.xml里那些不起眼的属性。