极客网络 |2026-09-25 23:29 |访客 |阅读 1 |评论 0

网址没变、页面变广告？DNS 被劫持的三步排查与四条修复

一、先认症状：三种表现说明是解析被动了手脚

症状	现象	说明
网址不变页面变	域名还是那个域名，内容却成了推广页、弹窗、赌博站	请求被解析到攻击者搭的镜像站，常诱导你输入隐私数据
证书报错	连知名平台也弹红色"不安全"警告	流量被中间人截获，DNS 劫持正是其常见手段；此时别点"继续访问"
全家设备一起出问题	同一网络下手机、电脑都不正常	基本可排除单机中毒，问题在路由器或运营商侧

第三条是最有价值的判断依据。只有一台设备异常，先查这台机器；所有设备一起异常，先查网关。

排查要讲顺序，乱改设置只会治标。三步，成本从低到高：

查路由器 DNS 配置：登录管理后台（通常是 192.168.1.1 或 192.168.0.1），看 WAN 口和 DHCP 设置里的 DNS 是否被改成陌生 IP——尤其是境外地址，这就是直接证据。处置方式是恢复出厂设置，并把管理员密码换成高强度组合。
查本机 DNS 设置：Windows 里打开网络适配器属性，看 IPv4 的 DNS 服务器地址是否被填了奇怪 IP 或一堆备用地址；再开命令提示符执行 ipconfig /displaydns 看缓存，如果出现大量你没访问过的域名，说明缓存也被污染了。
确认是否 ARP 欺骗：执行 arp -a，把网关 MAC 地址和路由器机身标签比对。不一致说明局域网里有人在伪造网关。处置：断开可疑设备，开启路由器的 IP 与 MAC 绑定。

动作	怎么做	作用
换可信 DNS	电脑和路由器都改为公共 DNS，例如 `223.5.5.5` 或 `8.8.8.8`	绕开被污染的本地解析，让请求直达权威节点
清空缓存	命令行执行 `ipconfig /flushdns`	验证劫持是否已解除
全盘查杀	用信誉良好的安全软件重点扫浏览器插件、启动项、系统服务	不少木马靠改注册表实现持久化，工具可自动恢复默认网络配置
重置网络栈	管理员权限运行 `netsh winsock reset` 和 `netsh int ip reset`，重启	修复被破坏的 TCP/IP 组件，清掉底层残留

顺序建议：先换 DNS + 清缓存看效果，再查杀，最后才动协议栈——重置网络栈会短暂影响所有网络配置，放在最后最稳妥。

开启 DoH（DNS over HTTPS）：在浏览器安全 DNS 选项或系统网络配置里启用。查询内容加密后，即使链路被监听也改不了结果，这是目前对抗 DNS 劫持最有效的手段。
路由器固件每季度检查一次：旧固件的已知漏洞是被利用的入口；同时关闭 WAN 口 Ping 与远程管理，别让外网直接摸到后台。
密码与双因素：路由器管理界面、系统账户用至少 12 位、含大小写字母与特殊字符的密码；域名注册商账号务必开双重认证——控制了解析服务，等于间接控制了你的域名。

最后一句总结：DNS 劫持隐蔽，但可查、可修、可防。真正有效的动作只有两个——把默认 DNS 换成可信公共地址并加密传输，以及养成定期看路由器日志和固件的习惯。这两件事做完，绝大多数家庭和小办公室场景都能挡住。

YOU LIKE