有时候，网站明明没宕，服务器没出问题，可就是有用户告诉你“打不开”，还跳转到了奇怪的网址。这时候你一脸懵地刷新几次，发现自己访问是正常的。到底是谁在搞鬼？多半是——DNS劫持。
DNS劫持，就像你给快递员报了一个地址，本来想寄到上海，结果被他偷偷改成了广州。你还以为快递丢了，其实早就送到别人手上了。
很多人听说过 DNS，但一听“劫持”两个字，立刻联想到黑客攻击、高级技术，其实有时候连你所在的 Wi-Fi 提供商都可能是“劫匪”。今天这篇，我们就来深挖这个问题——它是怎么来的，怎么现形，怎么解决，怎么防得住。
DNS 是什么？DNS 劫持又是什么鬼？
我们先把概念讲清楚，不然你会发现很多文章讲了一大堆技术名词，你看完一脸问号。
DNS（Domain Name System）是干嘛的？说白了，它就是“互联网的电话簿”。你记不住 IP，但记得百度是 baidu.com，DNS 负责把这个域名翻译成真实的服务器 IP 地址。
现在想象一下：
你打了个电话给“银行客服”，以为接通了正规渠道，结果对面是个诈骗电话。这就是 DNS 被“劫持”之后的效果：你访问了错误的服务器，还以为是官方页面。
DNS劫持的常见方式：他们是怎么动手脚的？
1. 本地劫持（用户设备）
最简单的方式，就是感染你的电脑或手机，比如篡改了 hosts 文件、植入恶意 DNS 代理程序。
表现：你的设备访问某个网址总是跳转到“奇怪的网站”
典型场景：在公共 Wi-Fi 下被“投毒”，浏览器自动弹广告
2. 路由器劫持（网络出口）
你的路由器是你与外网的门卫，如果被攻击者攻破，他可以把 DNS 查询请求“偷梁换柱”。
表现：家里所有设备访问某些网站都出问题
常见原因：用默认密码、固件版本老旧
3. DNS 服务提供商劫持（运营商/第三方DNS）
最“黑”的一种方式，是运营商或者一些野路子的 DNS 服务提供商，在 DNS 查询返回结果中加入自己的东西，比如广告跳转、流量劫持等。
表现：网站打开慢、加载广告、间歇性错误
特点：更隐蔽、追查更难
怎么发现 DNS 被劫持了？
你可能想问：“DNS 劫持不是很隐蔽吗？我怎么知道自己是不是中招了？”别慌，我们一步步来排查。
1. 用命令行工具查 DNS
bash nslookup yourdomain.com dig yourdomain.com
这两个命令可以告诉你当前域名解析到哪个 IP 地址。对比你预期的 IP，有没有被篡改。
如果你在本地查出来的 IP 跟服务器真实地址对不上，就有问题。
2. 使用第三方监测平台
这些平台可以检测你的域名在全国各地不同网络环境下的解析结果，能快速判断是不是局部地区出问题。
3. 查看 HTTP Header 与页面源代码
有些劫持并不更改 IP，而是通过中间代理修改网页内容，比如加入广告、JS 跳转等。你可以：
检查浏览器开发者工具的“响应头”和“页面源代码”
发现奇怪的 JS 脚本、重定向、iframe 嵌套
如何快速定位劫持位置？
知道被劫持还不够，你得知道是哪一段出问题了。
排除法检查步骤：
更换 DNS（如 8.8.8.8 或 1.1.1.1）
若问题消失，说明是原 DNS 服务被污染
换网络试试（移动→Wi-Fi 或 Wi-Fi→手机热点）
若问题消失，可能是路由器或 ISP 劫持
用 VPN 测试国际链路
若 VPN 环境一切正常，说明是国内网络链路或 DNS 有问题
清除本地 DNS 缓存
bash
ipconfig /flushdns # Windowsdscacheutil -flushcache # macOS
有时候是缓存问题，而非持续劫持。
遇到 DNS 劫持怎么办？实用解决方案来了
这部分我们不讲“理论防护”，直接告诉你可落地的解决手段。
1. 使用可信的公共 DNS
如：
Google DNS：
8.8.8.8 / 8.8.4.4Cloudflare DNS：
1.1.1.1 / 1.0.0.1阿里 DNS：
223.5.5.5 / 223.6.6.6
推荐做法：服务器端和客户端都用可信 DNS，并在配置中强制使用 DNS-over-HTTPS（DoH）或 DNS-over-TLS（DoT）。
2. 在站点部署 HSTS 与 HTTPS 强制跳转
HTTPS 虽不能防 DNS 劫持，但能防止被劫持后“伪造的内容”加载成功。
开启 HTTP -> HTTPS 强制跳转
配置浏览器的 HSTS preload 列表，防止中间人伪装站点
3. 开启 DNSSEC（如支持）
DNSSEC 是 DNS 的“签名验证”，可防止返回数据被篡改。但注意：
并非所有 DNS 服务商支持
部署较复杂，需配合注册商设置
4. 设置监控机制
使用监测平台定期监控解析记录是否被更改、污染，例如：
自建定时任务 +
dig验证 IP 是否匹配使用网站监控平台设置“DNS 异常告警”
除了被动防御，我们还能做什么？
你能不能发现一个问题并不是最厉害的，你能不能“第一时间”发现才是关键。
构建主动式 DNS 安全监测体系
每 5 分钟解析一次主域名
比对返回 IP 与白名单
出现差异则发告警通知（邮件、短信、企业微信）
将异常 IP 加入黑名单，拒绝访问
如果你是一个平台的运维负责人，这种机制是必须的。
再强调一次：DNS 劫持不是“黑客行为”，是“常态威胁”
很多运维人员对“DNS劫持”没意识，是因为它发生得悄无声息。但一旦你用心去追查，会发现很多莫名其妙的问题背后，真的是解析在捣鬼。
就像你手机信号不好，不一定是运营商的问题，也可能是你附近有人建了“假基站”。DNS 劫持，就是互联网的“假基站”。
如果你的网站用户经常在某些地区反馈“打不开”、“访问慢”，别只盯着服务器日志，多看看 DNS 链路，也许真相就在那一跳。
豫公网安备41160202000677
