dns劫持检测

访问一个网站，持检测浏览器地址栏显示的持检测是 bank.example.com，页面却跳到了某个博彩站。持检测你以为是持检测网站被黑，实际上问题出在 DNS 解析这一步——域名没变，持检测指向的持检测 IP 却被偷偷换掉了。这就是持检测 DNS 劫持最典型的现场。

DNS 的持检测本质是"域名到 IP 的翻译"。你输入域名，持检测系统向 DNS 服务器发问，持检测服务器回一个 IP，持检测浏览器再去连那个 IP。持检测劫持就发生在这个问答环节：攻击者要么篡改你发出的持检测请求，要么伪造服务器返回的持检测应答，要么直接在本地 DNS 缓存里塞一条假记录。持检测你看到的域名还是对的，路由器却把你领到了别人家门口。

三种常见的劫持路径

本地劫持最常见。路由器被刷了恶意固件，或者电脑中了改 hosts 文件的木马，DNS 请求还没出局域网就被截住了。我见过一台家用路由器，管理密码还是默认的 admin/admin，攻击者远程登录后把 DNS 改成了自己的服务器，全家所有设备上网都经过他的解析。这种劫持排查起来最快——直接看路由器 WAN 口的 DNS 设置对不对。

链路劫持更隐蔽。DNS 查询默认走 UDP，没有加密，中间任何一个节点都能偷看甚至篡改。运营商偶尔会干这事，把不存在的域名解析到自己的广告页。攻击者也能在公共 Wi-Fi 的出口做同样的事。你连上一个免费热点，打开任何网站都先弹广告，基本可以怀疑 DNS 被链路劫持了。

DNS 服务器劫持影响面最大。2010 年百度域名被劫持事件，攻击者篡改了百度 baidu.com 的 NS 记录，把全球用户导向了一个"伊朗网军"的页面。这属于直接攻击权威 DNS 服务器，普通用户完全无从防御，只能等域名注册商修复。

怎么判断自己有没有中招

最直接的办法是对比解析结果。在命令行里跑 nslookup example.com 8.8.8.8，指定用 Google 的公共 DNS 查询，再跑一次 nslookup example.com 用本地默认 DNS。两个结果不一致，本地 DNS 大概率有问题。如果本地解析出来的 IP 指向一个你完全不认识的机房，或者 ping 那个域名返回的 IP 和在线 DNS 查询工具（比如 dnschecker.org）给出的结果对不上，劫持基本坐实了。

还有个土办法：直接访问 https://ipinfo.io 看出口 IP 归属地。如果显示你在北京，解析出来的服务器 IP 却落在境外某个小机房，而网站本身并没有海外节点，这就很可疑了。

加密是唯一的出路

传统 DNS 明文传输的缺陷没法靠"小心"来弥补。DoH（DNS over HTTPS）和 DoT（DNS over TLS）把查询请求整个加密，中间节点看不到你问了什么，也改不了应答。Firefox 和 Chrome 现在都支持开启 DoH，Windows 11 也内置了 DoH 选项。把 DNS 设成 https://dns.google/dns-query 或者 https://cloudflare-dns.com/dns-query，链路劫持就失效了。

本地劫持还得靠另一层防护。路由器管理密码换成强密码，关掉 WAN 口的远程管理，定期检查 DNS 设置有没有被改。hosts 文件用 attrib 命令锁成只读，木马想改也改不动。企业环境里，DNSSEC 能验证应答的签名，防止伪造，但部署率一直不高，配置也麻烦。

DNS 劫持不会消失，因为 DNS 协议设计之初就没考虑安全问题。1983 年那会儿，谁能想到互联网会长成今天这样。普通用户能做的，就是把 DNS 查询加密，把本地设备管好，剩下的交给 HTTPS——就算 DNS 被劫持到了假 IP，证书校验也会拦下大部分冒牌网站。前提是，你没点那个"继续访问不安全网站"的按钮。