怎么查手机有没有被监控：先排除正常现象，再盯可疑特征

本篇写给「总觉得手机在偷听、在偷偷上传」的人：先把一批被误解成「被监控」的正常机制排除掉，再列出真正值得警惕的特征，最后给一套用流量监控自查的办法。相关文档：手机流量用得快怎么查.md · 不root拦截应用联网的方法.md

这些现象都不是「被监控」

自查的第一步不是找证据，而是排除误会。下面三类最常被当成「中招」的现象，都是正常机制：

• 状态栏出现钥匙图标：这是安卓对「正在使用 VPN 通道的应用」的统一提示。装了免 root 抓包工具、广告过滤工具、企业 VPN 的设备都会有，不代表有人监听——钥匙亮着只说明有一个应用正在本机处理流量。
• 连接列表里出现「unknown」应用：一些抓包工具里会看到发起方标注为 unknown 的连接。这是系统接口的局限——存活时间极短的连接来不及映射到具体应用，被归进了未知分组，属于正常现象，与入侵无关。
• 出现 10.215.173.1 这样的来源 IP：这是抓包工具创建的本地虚拟网卡的地址，所有经过它的连接都会显示这个来源，不是有人在连接你的手机。

真正值得警惕的特征

排除正常现象后，出现下面这些情况才值得继续追查：

• 设备管理器 / 无障碍服务里出现不认识的、装完就隐藏的应用；
• 系统安全更新长期未打，且设备曾被他人长时间物理接触；
• 关闭所有应用后，上传流量仍持续偏高且说不清去向；
• 证书列表里多了来路不明的根证书。

用流量监控做一次自查

流量行为不会说谎。把手机上的实时连接摊开看一遍，是比「杀毒扫描」更直接的自查：哪些应用在定时上报、连去了什么域名、上传量有多大，一目了然。以 PCAPdroid 这类工具为例，它能按应用过滤连接、提取 TLS 握手里的目标域名（SNI）和 DNS 查询记录，对每一条连接给出应用归属与流量统计——正常的应用上报都有明确域名归属，说不清去向的连接才需要警惕。

有结论之后

自查发现可疑应用，先卸载、再按 不root拦截应用联网的方法.md 把残留连接拦掉；若只是虚惊一场，不妨把流量监控工具留下，日常当「流量透视镜」用。工具的安装方式与使用动线，见 PCAPdroid 流量观察手册。