在浩瀚的数字世界中,我们每天通过输入简短的网址来访问网站，这个过程如同查询一本庞大的电话簿，这本“电话簿”就是域名系统（DNS），它负责将我们熟悉的域名（如 www.example.com）翻译成计算机能够理解的IP地址（如 184.216.34），当这本“电话簿”被恶意篡改时，我们就会被引向错误的目的地，这就是所谓的DNS劫持，对于个人电脑用户而言，这是一种隐蔽且危害性极大的网络攻击。
什么是DNS劫持？
DNS劫持,又称DNS重定向，是一种网络攻击形式，攻击者通过某些技术手段，篡改DNS解析的过程，使得用户在访问特定域名时，被导向一个由攻击者控制的恶意服务器，而非用户原本意图访问的合法服务器，用户往往在毫无察觉的情况下，访问了伪造的网站，这些网站可能模仿银行、社交媒体或电子商务平台的界面，诱骗用户输入账号、密码等敏感信息，从而造成个人信息泄露和财产损失。
DNS劫持的主要类型与原理
DNS劫持并非只有一种形式,攻击者可以从不同层面入手，实现对DNS解析过程的干预，了解其类型有助于我们更好地进行防范。
-
本地DNS劫持：这是最直接针对个人电脑的攻击方式，攻击者通过恶意软件（如木马、间谍软件）感染用户的电脑，然后修改本地系统中的关键文件，最常见的篡改对象是“hosts”文件，这个文件是系统中的一个本地DNS映射表，攻击者可以在其中添加一条记录，例如将
www.yourbank.com指向一个恶意IP地址，恶意软件也可能直接修改电脑网络连接中的DNS服务器地址。 -
路由器DNS劫持：这种攻击影响的是整个局域网，许多家庭或办公室的路由器存在安全漏洞或使用默认的弱密码，攻击者可以轻易地侵入路由器管理后台，将其DNS服务器设置更改为恶意的地址，这样一来，所有连接到该路由器的设备（电脑、手机、智能电视等）在进行DNS查询时，都会先经过这个被劫持的“关口”，从而被集体导向恶意网站。
-
中间人攻击（MITM）DNS劫持：攻击者将自己置于用户设备和真正的DNS服务器之间，拦截双方的通信，当用户的电脑发出DNS查询请求时，攻击者截获该请求，并立即返回一个伪造的、包含恶意IP地址的响应，由于伪造的响应通常比真实服务器的响应更快到达，用户的电脑便会信以为真，连接到恶意网站。
如何识别电脑是否遭受DNS劫持？
DNS劫持具有很高的隐蔽性,但并非无迹可寻，当你的电脑出现以下异常情况时，就需要提高警惕了：
- 访问网站被异常重定向：你输入一个正确的网址（尤其是银行、支付类网站），却被跳转到一个陌生的、设计粗糙或充满广告的页面。
- 频繁出现弹窗广告：在原本不应有广告的网站上，突然出现大量弹窗或横幅广告。
- 浏览器安全证书警告：访问一个本应是HTTPS加密的网站时，浏览器频繁提示“证书错误”或“您的连接不是私密连接”，这通常意味着你被连接到了一个伪造的、没有合法证书的网站。
- 网络速度变慢：恶意DNS服务器可能会记录你的网络行为或故意拖慢响应速度，导致整体上网体验下降。
如果你怀疑自己被劫持,可以通过命令行工具进行初步诊断，在Windows系统中，打开“命令提示符”，输入 ping www.google.com，查看返回的IP地址，用手机切换到移动数据网络，通过在线工具查询同一域名对应的IP地址，如果两者IP地址差异巨大，那么你的电脑或网络环境很可能已被劫持。
如何有效防范与清除DNS劫持？
防范DNS劫持需要多层次的策略,从个人设备到网络环境都应予以重视。
使用可信赖的公共DNS服务 放弃由网络运营商自动分配的DNS，转而使用知名、安全的公共DNS服务，这些服务通常具有更强的安全防护能力和更快的解析速度。
| 公共DNS提供商 | 首选DNS | 备用DNS | 特点 |
|---|---|---|---|
| Google Public DNS | 8.8.8 | 8.4.4 | 稳定、快速，全球通用 |
| Cloudflare DNS | 1.1.1 | 0.0.1 | 强调隐私保护，速度快 |
| Quad9 DNS | 9.9.9 | 112.112.112 | 自动拦截已知恶意网站 |
加强路由器安全 立即修改路由器的默认登录密码，使用包含大小写字母、数字和符号的强密码，定期检查并更新路由器固件，以修复已知的安全漏洞。
安装并更新安全软件 使用可靠的杀毒软件和防火墙，并保持其病毒库为最新状态，定期进行全盘扫描，可以有效清除导致本地DNS劫持的恶意软件。
检查并清理本地hosts文件
手动检查电脑的hosts文件（路径通常为 C:\Windows\System32\drivers\etc\hosts），用记事本打开它，如果发现除了注释行（以#开头）和 localhost 映射之外的其他可疑条目，应及时删除或注释掉。
清除DNS缓存
在修复DNS设置后，应清除本地和路由器的DNS缓存，以确保旧的、错误的解析记录被清除，在Windows命令提示符中输入 ipconfig /flushdns 即可清除本地DNS缓存。
坚持使用HTTPS 在浏览网页时，尽量确保网址以“https://”开头，HTTPS协议会对传输数据进行加密，即使DNS被劫持，攻击者也难以伪造有效的安全证书，浏览器会及时发出警告。
相关问答FAQs
问题1：DNS劫持和DNS污染（DNS缓存投毒）有什么区别？ 解答： DNS劫持是一个广义的术语，泛指一切篡改DNS解析结果的行为，而DNS污染（或称DNS缓存投毒）是DNS劫持的一种具体技术手段，特指攻击者向DNS缓存服务器（通常是运营商或大型机构的DNS服务器）中注入虚假的域名-IP映射记录，这样一来，所有向该缓存服务器查询的用户都会在一段时间内得到错误的IP地址，DNS污染是攻击“中转站”，而本地DNS劫持是攻击“终点站”。
问题2：我已经按照建议修改了电脑和路由器的DNS设置，为什么访问某些网站还是不正常？
解答： 这可能由几种原因导致，请确保你已经清除了本地DNS缓存（使用 ipconfig /flushdns 命令）和浏览器缓存，你的电脑可能仍然潜伏着恶意软件，它会持续篡改你的设置，因此需要进行一次彻底的病毒查杀，还有一种可能是攻击者采用了更深层次的劫持手段，例如通过恶意软件修改了系统底层网络组件，或者你的网络运营商层面存在问题，如果排除了前两者，问题依旧，可以考虑重装操作系统或联系网络服务提供商。