Connections 里出现"未知"应用 — 不是设备被入侵

现象

Connections 列表里某些连接的应用图标显示为 Android 默认机器人、应用名显示"未知"（Unknown），目标端口通常是 53（DNS）、有时是各种临时端口。

原因

不是设备被入侵——这是 Android 系统的一个已知限制：

原因一：短连接 UID 映射丢失

Android 的 VpnService 把包路由到虚拟接口后，需要一个步骤把每个包和发起它的应用 UID 关联。这个关联存在时间窗口：

• 连接建立阶段：UID 能准确关联
• 连接迅速关闭（短连接）：系统还没来得及写 UID 映射，包就已经发出去了
• PCAPdroid 收到包时查不到对应的 UID，就归到"未知"

典型场景：应用发一个短的 DNS 查询、一次快速探测连接、或某个第三方 SDK 发的一次性请求。

原因二：Android netd 守护进程发起的 DNS 查询

Android 系统有一个netd 守护进程负责很多底层网络操作，包括代应用发起 DNS 查询：

• netd 自己发的 DNS 查询不会标记原始应用 UID
• PCAPdroid 收到这些 DNS 查询时不知道是谁让 netd 发的，只能归为"未知"
• 这也是 DNS 查询经常出现在"未知"里的原因

原因三：部分系统服务连接

某些 Android 系统服务（不是普通应用）也会发网络连接，它们的 UID 可能是系统内部 UID（比如 UID 0、UID 1000、UID 2000+）。PCAPdroid 的"未知"分类里可能也包含这些。

怎么区分是不是异常

如果"未知"连接里大量出现：

• 同一个外部 IP 上的大流量上行（可能是数据外传）
• 不知名域名的周期性连接（可能是 C2 控制通道）
• 非 DNS 端口的"未知"TCP 连接

这些才值得警惕，建议进一步排查。

正常情况

正常 Android 设备上，"未知"连接应该很少、主要是 DNS 查询、散落在不同应用旁边。这是正常现象，不是入侵。