企业官网建设流程全解析

免责声明：本文仅用于个人设备自查、学习Android安全技术。

1. 无线ADB调试属于安卓开发者功能，仅可在自己拥有所有权的手机上操作；禁止对他人设备进行调试、扫描、卸载应用。

​2. 开启无线调试后，在公共WiFi环境存在安全风险，操作完成后务必关闭无线调试。

​3. 操作前建议备份手机重要数据，操作失误导致的任何问题，作者不承担任何责任。

​4. 本文仅用于恶意程序排查，不提供任何黑客、入侵相关技术。

前言

近期网上流传一款名为 systemservice 的安卓木马，包名一般为 com.systemservice 。该木马伪装成系统服务，申请设备管理员、无障碍权限，可以后台录音、截图、读取验证码，普通手机管家很难彻底清除，部分情况卸载后会自动恢复。

注意区分：安卓原生系统进程 system_server 是正常系统核心进程，不是病毒；病毒是第三方安装包 systemservice 。

本文提供两套方案：推荐方案：Termux + 无线ADB（免Root，完整扫描手机全部应用）；备选简易方案（仅Termux容器内，有很大局限性，仅做学习测试）。无需电脑，直接在手机内排查、定位、卸载该恶意程序。

方案一【推荐】Termux + 无线ADB（免Root，完整查杀）

一、手机开启开发者选项 + 无线调试

1. 设置 → 关于手机 → 连续点击版本号7次，输入锁屏密码，开启开发者模式

​2. 返回设置，找到【开发者选项】

​3. 打开 无线调试

​4. 点击【使用配对码配对设备】，截图保存： IP:配对端口 + 6位配对码

配对端口 和 后续adb connect的连接端口不是同一个，每次打开无线调试端口会变化，配对弹窗一旦切页面会消失，不要退出页面。（这里曾经也是给作者搞崩溃过）

二、Termux安装adb工具

打开Termux，依次执行：

pkg update && pkg upgrade -y

pkg install android-tools -y

验证安装成功：adb version（输出版本号即为安装完成）

三、ADB配对（配对窗口保持打开）

格式： adb pair IP:配对端口 6位配对码

eg:adb pair 192.168.1.105:37000 123456(注意空格)

提示 Successfully paired 代表配对成功。

四、建立ADB连接

回到无线调试主页面，复制页面上的IP地址与连接端口，执行：

adb connect 192.168.1.105:41327 （ip只是示例）

输出 connected to xxx 代表连接成功。

五、进入安卓shell，扫描systemservice木马

adb shell

1. 查找第三方恶意包（重点）

pm list packages -3 | grep -i systemservice

（-3 参数：只列出第三方安装包，系统自带程序不会显示。

如果返回 package:com.systemservice ，说明已经找到木马。）

2. 查看木马是否正在后台运行

ps -ef | grep -i systemservice

3. 查看该APP申请的权限（无障碍/设备管理员）

dumpsys package com.systemservice

（注：重点查看： Device Admin 、 Accessibility 无障碍权限。）

4. 卸载恶意程序

pm uninstall com.systemservice

（卸载失败原因：木马获取了设备管理员权限。

解决：手机设置 → 安全 → 设备管理员，先取消该APP的管理员权限，再执行卸载。）

5. 查看木马网络连接（是否后台联网外传数据）

netstat -tunlp

一键扫描脚本（直接复制到adb shell运行）

echo "=====扫描systemservice相关包===="

pm list packages -3 | grep -i systemservice

echo "=====查找运行进程===="

ps -ef | grep -i systemservice

echo "=====网络连接===="

netstat -tunlp

六、操作收尾（必做）

# 退出adb shell

exit

# 断开adb连接

adb disconnect

方案二【备选简易方案】纯Termux容器内扫描（不推荐用于查杀）

（重要限制：Termux是独立容器，该方式只能查看Termux容器内部进程，无法读取手机系统其他APP进程，大概率搜不到安卓系统上的 systemservice 木马，仅适合简单学习测试，不能作为正式查杀手段。）

直接在Termux终端执行：

pkg install grep

ps -ef | grep -i systemservice

（如果有输出，代表Termux容器内存在相关进程；无输出不代表手机没有病毒，只是容器内没有。）

七、常见踩坑汇总

1. adb connect连不上：重新打开无线调试页面，获取新的连接端口；每次打开无线调试端口会变。

​2. 配对码弹窗消失：重新点击【使用配对码配对设备】。

​3. 提示权限拒绝：确认无线调试已打开，手机弹窗点击允许调试。

​4. Termux被系统杀后台：给Termux关闭电池优化，允许后台活动。

​5. 区分正常进程： system_server 是系统核心进程，不要删除； systemservice 第三方包才是木马。

八、补充说明

Termux本身容器内只能看到Termux内部进程，不能直接读取手机全局APP进程，所以必须依靠无线ADB方案才能扫描手机全部应用。

如果卸载后反复自动安装，说明木马存在附属下载器，需要继续查找其他可疑第三方包。

结语

Android安全自查是很好的学习方向，平时不要随意安装来源不明的APK，不要随意授予APP无障碍、设备管理员权限。