你有没有遇到过这种情况：输入的是银行官网地址，打开的却是一个要求输入卡号密码的陌生页面；或者正常浏览网页时，突然被跳转到广告站点。这很可能不是你的设备出了问题，而是DNS劫持在作祟。
2026年6月，国家互联网应急中心（CNCERT）发布高危预警：大量家用路由器DNS配置被恶意篡改，单日恶意解析次数超过数亿次，单日最高影响境内独立IP超过70万个。2026年7月，云南、贵州、四川等地大量中国移动宽带用户遭遇浏览器自动跳转不良网站的事件。DNS劫持已从偶发的技术攻击演变为影响广泛用户群体的常态化威胁。
一、DNS劫持的根源：为什么你的域名会被“拐走”？
DNS劫持的技术原理基于协议设计的历史局限性。传统DNS查询使用无连接的UDP协议，缺乏加密和身份验证机制，攻击者可轻易伪造源IP地址和端口，向递归服务器发送伪造的响应数据包。要理解DNS劫持的原因，需要先看清攻击者从哪里入手。
本地DNS劫持发生在用户设备层面。恶意软件通过修改系统hosts文件或篡改TCP/IP配置中的DNS服务器地址，将特定域名的解析指向攻击者控制的服务器。这种方式隐蔽性强，用户往往在不知情的情况下被引导至钓鱼网站。
路由器DNS劫持是目前影响最广的一种。攻击者利用路由器固件漏洞或默认弱口令，远程登录路由器管理界面，篡改DNS服务器地址，将其指向恶意DNS服务器。一旦得手，所有通过该路由器联网的设备都会受到影响。2025年的“霜冻舰队”攻击活动就是典型案例，攻击者入侵不安全的MikroTik和TP-Link路由器，将其转化为攻击者控制的恶意资产，核心手段正是DNS劫持。受影响设备主要集中在TP-LINK系列路由器，尤其是TL-WR886N的某些固件版本，恶意DNS服务器的解析请求量最高月度超过237万次。
中间人攻击在用户与递归DNS服务器之间的通信链路上进行。攻击者在公共网络部署伪冒的Wi-Fi热点，或在运营商网络实施流量监听与篡改。当你连接了一个不安全的公共Wi-Fi，你的DNS查询就可能被攻击者拦截和篡改。
DNS缓存投毒针对递归DNS服务器，攻击者通过伪造权威服务器的响应数据，向递归服务器注入虚假的域名解析记录，导致大量用户被重定向。攻击者通过暴力猜测或预测DNS事务ID值，即可让递归服务器接受伪造的响应。这种攻击的特点是“一次投毒，长期影响”，直到服务器缓存过期或被手动清除，错误解析才会失效。
域名注册商或权威DNS服务器被攻破是最彻底但也相对罕见的方式。2025年11月，基于Base的最大去中心化交易所Aerodrome Finance遭遇DNS劫持攻击，攻击者通过篡改其DNS记录，将用户重定向至钓鱼网站，在数小时内窃取了超过100万美元的用户资金。事后调查显示，事件的根本原因是域名注册商NameSilo的内部人员威胁。
二、预防措施：从个人到企业的分层防护
DNS劫持的预防需要从个人用户和企业两个层面分别着手，核心思路是“加密验证、强化设备、持续监控”。
个人用户层面，首先要选择可信的公共DNS服务。将系统默认DNS更换为知名公共DNS服务，如阿里云DNS（223.5.5.5）、Google DNS（8.8.8.8）或Cloudflare DNS（1.1.1.1），可以有效减少DNS被劫持的风险。启用加密DNS协议同样重要。DNS over HTTPS（DoH）和DNS over TLS（DoT）将DNS查询加密传输，防止中间人监听和篡改，现代浏览器大多支持DoH，用户可以在设置中开启此功能。
路由器是家庭网络的重要入口，也是DNS劫持的首要目标。及时修改路由器管理后台的默认口令或弱口令，关闭非必要的远程管理、UPnP、端口映射等功能，减少路由器暴露面，并及时升级固件修复已知安全漏洞。
企业层面，部署DNSSEC是防护DNS劫持的核心技术。DNSSEC通过数字签名验证DNS查询响应的真实性，防止解析结果被篡改，企业应在自己的域名上部署DNSSEC，并鼓励使用支持DNSSEC验证的递归解析器。对DNS和注册商账户启用双因素认证（2FA），实施“Client Lock”或“Registry Lock”功能，并定期审查谁有权限进行DNS更改。此外，部署DNS监控工具实时监测解析记录变化，建立解析结果的基准数据库，及时发现异常变化。
三、解决办法：从紧急处置到深度修复
确认遭受DNS劫持后，应遵循“先排查定位，再精准处理，后长期防护”的原则。
紧急处置阶段，第一步是更换DNS服务器。将设备DNS设置恢复为自动获取，或手动切换至公共DNS服务器，绕过被篡改的本地DNS。第二步是清除DNS缓存。Windows系统以管理员身份打开命令提示符，输入 `ipconfig /flushdns`；Linux系统执行 `sudo systemd-resolve --flush-caches`；Mac系统执行 `sudo killall -HUP mDNSResponder`。第三步是检查路由器配置。登录路由器管理后台，查看DNS服务器地址是否被修改为陌生IP地址，如发现异常，立即恢复为运营商自动下发DNS或可信公共DNS，并重启路由器和联网终端。
深度修复阶段，需要对设备进行全面杀毒扫描，卸载来源不明的软件和插件，禁用可疑的启动项，移除可能篡改DNS的恶意组件。如果是域名注册商或DNS托管平台账号被攻破，应立即登录控制台核对A记录、NS记录是否被未授权修改，修正后立即启用双因素认证并修改密码。若切换网络后劫持现象消失，大概率是运营商层面的DNS劫持，可向网络运营商提交投诉，要求其排查解析链路，修复异常节点。
检测DNS劫持可以通过技术手段实现。使用 `nslookup` 或 `dig` 命令查询同一域名但指定不同的公共DNS服务器（如8.8.8.8和114.114.114.114），比较返回的IP地址是否一致。使用在线工具从全球数十个不同地点查询域名的解析结果，如果特定地区普遍返回另一个错误IP，就是典型的区域性污染证据。访问已知的安全网站时检查其SSL证书是否由可信机构颁发，劫持站点常使用自签名或无效证书。
DNS劫持的修复和预防，本质上是一场针对“互联网指路牌”的攻防战。理解了攻击者从哪里入手，就能有针对性地部署防线。对于个人用户，更换可信DNS、启用加密协议、强化路由器安全是最基本的三道防线。对于企业，DNSSEC部署、账户安全加固和实时监控缺一不可。只有建立起常态化的防护意识，才能在复杂的网络环境中保障访问安全与数据隐私。