如何防止DNS劫持？

本文目录导读：

1. 目录导读
2. 什么是DNS劫持？——你真的理解它的危害吗？
3. DNS劫持的常见模式
4. 核心防护策略一：选用安全的DNS服务器
5. 核心防护策略二：启用DNS over HTTPS（DoH）与DNS over TLS（DoT）
6. 核心防护策略三：定期检查本地hosts文件与路由器设置
7. 进阶防护：DNSSEC（域名系统安全扩展）
8. 实战问答：当怀疑被劫持时，你该怎么办？
9. 建立多层防御体系

如何防止DNS劫持？——从原理到实战的全面防护指南

目录导读

1. 什么是DNS劫持？——你真的理解它的危害吗？
2. DNS劫持的常见模式：网络攻击、运营商劫持与恶意软件
3. 核心防护策略一：选用安全的DNS服务器
4. 核心防护策略二：启用DNS over HTTPS（DoH）与DNS over TLS（DoT）
5. 核心防护策略三：定期检查本地hosts文件与路由器设置
6. 进阶防护：DNSSEC（域名系统安全扩展）
7. 实战问答：当怀疑被劫持时，你该怎么办？
8. 建立多层防御体系

---

什么是DNS劫持？——你真的理解它的危害吗？

Q：DNS劫持听起来很技术，普通用户会遇到吗？
A：当然会。 简单说，DNS是互联网的“电话簿”，当你输入“example.com”时，DNS会将其翻译为服务器IP地址，如果这个“翻译”过程被恶意篡改（比如把银行网站指向假页面），就是DNS劫持。

危害包括：

• 钓鱼网站骗取账号密码
• 强制植入广告（运营商劫持常见）
• 流量劫持至恶意软件下载页
• 阻止访问某些正规网站

典型案例： 2018年，黑客曾通过劫持路由器DNS，让全球数十万用户访问虚假的加密货币交易平台，损失惨重。

---

DNS劫持的常见模式

Q：哪些场景下最容易发生DNS劫持？
A：主要分三类：

1. 本地/路由器劫持
   黑客通过弱密码入侵你家路由器，修改DNS设置，所有连接该路由器的设备都会受影响。

2. 运营商劫持（ISP级别）
   某些网络服务商为了插入广告或限制访问，在服务器端强制修改DNS响应——这是最常见但最隐蔽的。

3. 恶意软件劫持
   病毒或木马修改系统文件（如Windows的hosts文件或网络配置），指定恶意DNS服务器。

4. 中间人攻击（公共WiFi）
   在不可信的热点中，攻击者拦截你的DNS请求并返回假结果。

---

核心防护策略一：选用安全的DNS服务器

Q：我该用什么DNS？谷歌的8.8.8.8？
A：不推荐只依赖默认的ISP DNS。 以下是经过验证的可靠选择：

DNS提供商	主要地址（IPv4）	特点
Cloudflare	1.1.1 / 1.0.0.1	速度最快，注重隐私，日志保留24小时
Quad9	9.9.9	内置威胁情报，自动拦截已知恶意域名
OpenDNS	67.222.222 / 208.67.220.220	内容过滤和家庭保护功能强大

操作步骤：

• Windows：控制面板 → 网络和共享中心 → 更改适配器设置 → 右键点击网络 → 属性 → 选择“Internet协议版本4” → 手动填入首选DNS备用DNS。
• 路由器：登录管理后台（通常是192.168.x.x） → 找到DHCP/WAN设置 → 填入上述DNS并保存重启。

注意： 更改后使用 nslookup example.com 确认响应IP是否为真实目标。

---

核心防护策略二：启用DNS over HTTPS（DoH）与DNS over TLS（DoT）

Q：改了DNS地址，运营商还能改我的请求吗？
A：仍可能。 传统DNS请求是明文的（UDP 53端口），运营商或网络中间人可轻易篡改，解决方案是加密DNS查询。

DoH vs DoT的区别：

• DoH：使用HTTPS协议，端口443，与网页流量混在一起，更难被屏蔽。
• DoT：使用独立TLS连接，端口853，但可能被IT管理员封锁。

启用方法：

• 浏览器层面： Chrome、Firefox都支持，进入设置 → 隐私与安全 → 启用“使用安全DNS”，选择Cloudflare或自定义。
• 系统层面： Windows 11/10已原生支持DoH，设置 → 网络和Internet → 以太网/WiFi → 编辑DNS → 将“首选DNS加密”改为“仅加密”并填入对应DoH地址（如 https://cloudflare-dns.com/dns-query）。
• 路由器层面： 购买支持DoH/DoT的高级路由器（如华硕Merlin固件、Synology Router）并配置。

优势： 一旦启用，即使运营商想劫持，看到的也只是加密乱码流量，无法篡改结果。

---

核心防护策略三：定期检查本地hosts文件与路由器设置

Q：我怀疑已经中招了，怎么自查？
A：做三件事：

1. 检查hosts文件

   • Windows：C:\Windows\System32\drivers\etc\hosts
   • Mac/Linux：/etc/hosts
     正常文件只包含注释或本地回环地址（0.0.1 localhost），如果发现常见的域名（如 facebook.com、google.com）指向陌生IP地址，立即删除对应行并保存。

2. 查看路由器DNS设置
   前文所述，确认没有被更改为 8.8.8 以外的非法地址，常见恶意DNS包括：168.x.x 的本地IP或 x.x.x 等非标准DNS。

3. 使用在线检测工具
   访问 whois.domaintools.com 并查询你的公网IP，看是否有多个域名指向你的IP——这是DNS劫持或恶意域名的典型信号。

---

进阶防护：DNSSEC（域名系统安全扩展）

Q：企业级用户或对安全性要求极高，还需要什么？
A：建议部署DNSSEC。 它对DNS记录进行数字签名，确保终端收到的查询结果确实来自权威服务器，未经篡改。

原理（不复杂版本）：

• 当你的DNS服务器（如 Cloudflare）收到一个DNSSEC保护的域名查询时，它会验证数字签名。
• 如果签名无效,终端会被拒绝连接，从而阻止劫持。

限制：

• 需要你有服务器管理权限（比如自建DNS解析）。
• 不是所有域名都支持签名（需要域名注册商开启）。
• 对于普通家庭用户,启用DoH/DoT即可覆盖95%的劫持风险。

---

实战问答：当怀疑被劫持时，你该怎么办？

Q：我点开了一个正常网站，但跳转到了赌博广告页面，怎么立即处理？
A：分步执行：

1. 切换网络：用手机4G/5G热点验证——如果问题消失，说明是你家庭网络被劫持（重置路由器）。
2. 重置路由器：拔电30秒再插上（非重启），然后登录后台修改DNS为 1.1.1（写死，别用自动获取）。
3. 清理设备：扫描病毒（推荐Malwarebytes），检查hosts文件。
4. 浏览器急救：清除缓存、Cookie，禁用所有扩展（可能是扩展劫持）。
5. 长期预防：修改路由器的管理密码，关闭WPS功能，开启防火墙（默认开启即可）。

Q：被运营商劫持怎么办？
A： 使用DoH浏览器（如Firefox开启HTTPS-only模式）或全局DoH设置（参见第4节），如果仍被插入广告，向工信部投诉（运营商违规）。

---

建立多层防御体系

防止DNS劫持不是用单一工具，而是层层防护：

1. 替换默认DNS：首选Cloudflare的 1.1.1（隐私保护）或Quad9（威胁拦截）。
2. 加密查询：至少浏览器开启DoH，最好系统或路由器全面启用。
3. 常查异常：每月检查一次hosts文件和路由器DNS。
4. 提升硬件安全：更换有漏洞的老旧路由器，定期更新固件。
5. 自律行为：避免点击不明链接，不下载破解软件，公共WiFi不开网络银行。

DNS是互联网入口，劫持就是偷换门牌号。 尽管不能100%杜绝（比如零点击漏洞），但采用上述方法后，你的风险会从“常见”降到“罕见”。

如果你现在的系统完全没有做任何防护,目前最有效的3分钟解决方案是：在浏览器设置中开启安全DNS并指向 1.1.1，然后修改路由器DNS为 1.1.1 和 9.9.9，这就能挡住99%的常见劫持，剩下的0.9%，由系统更新和持续警惕来封堵。