在浩瀚的数字海洋中,域名系统（DNS）扮演着互联网“电话簿”的角色，它负责将我们易于记忆的网址（如 www.example.com）翻译成机器能够理解的IP地址，当这本“电话簿”在您自己的计算机上被恶意篡改时，就发生了所谓的“本机DNS劫持”，这是一种隐蔽且危害性极大的网络攻击，它直接作用于用户设备，绕过了许多常规的网络防护，将用户引向钓鱼网站、恶意软件下载页或充斥着广告的陷阱，了解其原理、识别方法及应对策略，对于每一位网络用户而言都至关重要。
什么是本机DNS劫持？
本机DNS劫持,顾名思义，是指攻击者通过技术手段，直接修改用户个人计算机（本机）上的DNS解析配置，从而控制该计算机的域名访问流向，与攻击路由器或DNS服务器不同，本机劫持的影响范围仅限于被感染的单台设备，攻击者无需侵入整个网络，只需在这台设备上“做手脚”，就能实现精准打击，当用户在浏览器中输入一个网址时，本机被篡改的DNS解析机制会直接返回一个由攻击者指定的虚假IP地址，而非该域名真实的IP地址，用户则在毫不知情的情况下被“劫持”到了危险地带。
本机DNS劫持的常见手段
攻击者实施本机DNS劫持的途径多种多样,主要利用了操作系统和应用程序的配置漏洞，以下是几种最常见的手段：
-
篡改Hosts文件 Hosts文件是操作系统中的一个本地文件，用于在DNS查询之前强制将域名映射到特定的IP地址，它的优先级高于DNS服务器，攻击者通过恶意脚本或手动修改，将银行、电商等常用网站的域名指向一个钓鱼网站的IP地址，将
www.icbc.com.cn指向一个假冒的IP，用户访问时便会落入圈套。 -
修改网络适配器设置 在Windows或macOS系统中，用户可以为每个网络连接（如Wi-Fi、以太网）手动指定DNS服务器地址，恶意软件或某些不规范的网络工具会自动将此设置修改为攻击者控制的恶意DNS服务器，此后，本机所有的DNS查询请求都会发送到这个“黑心”服务器，由它随心所欲地返回虚假解析结果。
-
恶意软件或病毒植入 这是最普遍的传播方式，许多木马、广告软件或间谍软件在侵入系统后，其核心功能之一就是篡改DNS设置，它们可能潜伏在盗版软件、游戏外挂或来路不明的邮件附件中，一旦用户执行，便会静默地在后台完成劫持配置。
-
流氓浏览器插件 部分浏览器扩展插件看似提供了便利功能，实则暗藏玄机，一些恶意插件会获取浏览器权限，篡改浏览器的网络代理或DNS设置，导致仅在该浏览器中访问特定网站时被劫持，增加了用户的排查难度。
如何判断是否遭遇了本机DNS劫持？
本机DNS劫持具有较强的隐蔽性,但总会留下一些蛛丝马迹，当出现以下症状时，您应提高警惕：
- 访问网站异常：明明输入的是正确的网址，却跳转到毫不相干的陌生网站，尤其是赌博、色情或低俗广告页面。
- 频繁弹出广告：在浏览正常网页时，无故弹出大量广告窗口，或者网页内容被强行插入广告横幅。
- 安全软件报警：可信的杀毒软件或防火墙频繁拦截网络连接或提示“DNS查询被篡改”等警告。
- 网络诊断工具发现异常：可以使用命令行工具进行检测，在Windows系统中打开CMD（命令提示符），输入
nslookup www.baidu.com，查看返回的IP地址是否为百度官方的IP地址（可以通过其他未受感染的设备查询对比），如果返回的IP明显异常，则极有可能已被劫持。
应对与防范策略
一旦确认遭遇本机DNS劫持,不必惊慌，按照以下步骤即可有效清除并加固系统防线。
| 排查步骤 | 操作指南 | 目的 |
|---|---|---|
| 检查并清理Hosts文件 | 路径通常为 C:\Windows\System32\drivers\etc\hosts，用记事本打开，检查文件末尾是否有可疑的IP-域名映射条目，除 0.0.1 localhost 等系统默认条目外，其他不熟悉的条目均可删除或用 注释掉。 |
清除最高优先级的静态域名劫持。 |
| 重置网络DNS设置 | 进入“控制面板” > “网络和 Internet” > “网络和共享中心”，点击当前连接，进入“属性” > “Internet协议版本4 (TCP/IPv4)”，选择“自动获取DNS服务器地址”，或手动填入可靠的公共DNS，如 114.114.114 或 8.8.8。 |
恢复正常的DNS查询路径，摆脱恶意DNS服务器控制。 |
| 全面扫描恶意软件 | 使用知名的安全软件（如火绒、卡巴斯基、Malwarebytes等）对全盘进行深度扫描，清除潜在的恶意程序、插件和注册表项。 | 根除导致劫持的“罪魁祸首”。 |
| 审查浏览器插件与程序 | 检查所有浏览器的扩展插件列表，卸载来源不明、权限过高或不需要的插件，在“程序和功能”中卸载近期安装的可疑软件。 | 清除通过浏览器或软件植入的劫持渠道。 |
| 建立良好的安全习惯 | 定期更新操作系统和软件补丁；不下载盗版软件；不轻易打开陌生邮件附件；使用复杂密码并开启双因素认证。 | 从源头上预防恶意软件的侵入。 |
相关问答FAQs
我已经手动设置了公共DNS（如 8.8.8.8），为什么还会被劫持？ 解答： 这是一个常见的误区，设置公共DNS确实能防止来自ISP或路由器层面的DNS污染，但它无法防御本机层面的劫持，因为攻击者通过修改Hosts文件或植入恶意软件，其劫持行为发生在DNS请求发送到公共DNS服务器之前，Hosts文件的优先级最高，而恶意软件则可以直接在系统底层拦截和伪造DNS响应，完全绕过了您设置的公共DNS服务器，防范本机DNS劫持需要结合本地安全检查，而不仅仅是依赖外部DNS。
本机DNS劫持和路由器DNS劫持有什么核心区别？ 解答： 核心区别在于影响范围和攻击点。
- 本机DNS劫持：攻击点在用户的个人电脑或手机上，它只影响这一台被感染的设备，网络中的其他设备不受影响，排查和修复主要在单台设备内部进行。
- 路由器DNS劫持：攻击点在家庭或办公室的共享路由器上，攻击者侵入路由器管理后台，修改其DNS设置，这会导致连接到该路由器的所有设备（电脑、手机、智能电视等）同时被劫持，修复需要登录路由器管理界面，将DNS设置恢复为自动获取或可靠的公共DNS，并修改路由器登录密码，前者是“单点生病”，后者是“全家遭殃”。