当您在浏览器中输入一个网址（www.example.com）并按下回车键时，您的计算机并不会直接知道这个域名对应的服务器在哪里，这时，域名系统（DNS）就扮演了“互联网电话簿”的角色，它负责将这个易于记忆的域名翻译成机器能够理解的IP地址（如 184.216.34），从而引导您访问正确的网站，这个看似自动化的过程并非总是安全无虞，一种名为“本地DNS劫持”的网络攻击正潜伏其中。
什么是本地DNS劫持？
本地DNS劫持，也称为DNS重定向，是一种网络攻击手段，攻击者通过篡改用户设备（如电脑、手机）或本地网络设备（如路由器）上的DNS设置，将用户的正常域名解析请求导向一个由攻击者控制的恶意服务器，就是在您的“电话簿”上偷偷修改了电话号码，当您想拨打一个合法号码时,实际上接通了一个骗子。
本地DNS劫持的实现途径
攻击者实施本地DNS劫持的方法多种多样,主要针对用户网络环境中的薄弱环节。
路由器劫持
这是最常见的劫持方式之一，许多家庭或小型办公室的路由器使用默认的管理员密码（如 admin/admin），或者存在未修复的安全漏洞，攻击者可以轻易地侵入路由器后台，将其DNS服务器地址修改为恶意地址，这样一来，所有连接到该路由器的设备在访问互联网时,都会先经过这个被污染的DNS服务器。
本地计算机篡改 攻击者也可以直接在用户的计算机上动手脚,这通常通过以下两种方式实现：
- 修改Hosts文件：Windows、Linux和macOS系统都有一个名为
hosts的本地文件，它可以强制将特定域名指向一个指定的IP地址，恶意软件或病毒可以修改此文件，将常用网站（如银行、社交媒体）的域名指向钓鱼网站的IP。 - 植入恶意软件：通过捆绑软件、钓鱼邮件等方式，在用户电脑中植入木马或恶意程序，这些程序会直接修改网络适配器中的DNS服务器设置,实现更隐蔽的劫持。
中间人攻击 当您连接到一个不安全的公共Wi-Fi（如咖啡馆、机场）时，攻击者可以利用网络嗅探和欺骗技术，在同一网络内扮演“中间人”角色，他们可以截获您的DNS请求，并返回一个伪造的响应,将您引向恶意网站。
本地DNS劫持的危害
一旦DNS被劫持，用户将面临多种严重的安全风险,包括但不限于：
- 钓鱼网站与信息窃取：将用户访问的银行、电商网站重定向到高度仿假的钓鱼页面，骗取用户的账号密码、信用卡信息等敏感数据。
- 恶意广告与流量劫持：在用户正常浏览的网页中插入大量弹窗广告，或将用户引导至广告联盟页面,为攻击者创造非法收益。
- 恶意软件分发：将用户引向伪装成软件下载站点或系统更新页面的恶意网站，诱骗用户下载并安装更多病毒、勒索软件。
- 网络监控与数据窃听：劫持DNS后，攻击者可以监控用户的所有网络访问记录，分析用户行为,为后续的精准攻击做准备。
为了更直观地理解其原理,可以参考下表：
| 环节 | 正常DNS解析 | 被劫持的DNS解析 |
|---|---|---|
| 用户请求 | 用户在浏览器访问 www.safebank.com |
用户在浏览器访问 www.safebank.com |
| DNS查询 | 向可信DNS服务器（如运营商或公共DNS）查询 | 向被篡改的恶意DNS服务器查询 |
| 返回结果 | 返回真实的银行网站IP地址 2.3.4 |
返回攻击者控制的钓鱼网站IP地址 6.7.8 |
| 最终访问 | 用户安全地登录真实银行网站 | 用户在不知情中访问了钓鱼网站 |
如何防范本地DNS劫持
防范本地DNS劫持需要从多个层面入手,构建坚实的网络安全防线。
- 加固路由器安全：立即修改路由器的默认管理员密码，并设置一个高强度密码，定期检查并更新路由器固件，修复已知安全漏洞，在路由器后台,可以手动将DNS服务器设置为可靠的公共DNS服务。
- 使用可信的公共DNS服务：相比部分运营商提供的DNS，知名的公共DNS服务（如Google的
8.8.8、Cloudflare的1.1.1或阿里云的5.5.5）通常具有更高的安全性和响应速度,能有效抵御部分DNS劫持和污染。 - 养成良好的计算机使用习惯：安装并更新可靠的安全软件，定期进行全盘扫描，不要轻易下载来源不明的软件，警惕钓鱼邮件和可疑链接，定期检查本地的
hosts文件,确保未被篡改。 - 警惕公共Wi-Fi：尽量避免在公共Wi-Fi环境下进行涉及敏感信息的操作（如网上银行、在线支付），如果必须使用，建议通过VPN（虚拟专用网络）加密您的网络流量,可以有效防御中间人攻击。
相关问答FAQs
Q1: 我如何判断自己的网络是否遭到了本地DNS劫持？
A: 判断方法有几个，留意访问网站时是否出现异常，例如频繁弹出广告、页面被重定向到陌生网站，或者在访问知名网站时浏览器提示安全证书错误，可以进行技术检测：在电脑的命令提示符（CMD）中输入 nslookup www.一个你熟悉的网站.com，查看返回的IP地址是否与官方公布的一致，或者在不同网络环境下多次查询，如果IP地址频繁变动或指向不明地址，则可能被劫持，直接检查电脑网络连接属性和路由器后台的DNS设置,看是否被修改为陌生的IP地址。
Q2: 本地DNS劫持和DNS缓存污染是一回事吗？ A: 不是一回事，但都属于DNS攻击的范畴。本地DNS劫持主要攻击的是用户终端（电脑、路由器）的DNS配置，影响范围通常是单个用户或单个局域网内的用户，而DNS缓存污染（也称DNS欺骗）是攻击者攻击的是DNS服务器本身（通常是运营商或区域性DNS服务器），通过向其缓存中投递虚假记录，使得所有向该服务器查询请求的用户都会得到错误的IP地址，其影响范围更广，可能波及成千上万的用户，简而言之，前者是“篡改你家的电话本”，后者是“篡改电信局的查询系统”。