DNS劫持服务器是什么意思，如何检测和防范DNS劫持？

dns劫持服务器是什么意思

dns劫持服务器是指攻击者通过篡改域名解析流程或DNS服务器配置，使用户在访问正常网站时被强制跳转到恶意页面的技术手段。 说人话就是：你明明敲的是淘宝网址,结果弹出来的是钓鱼网站。

要理解这个概念，得先从DNS的工作逻辑说起，DNS就像互联网的通讯录，你在浏览器里输入域名，DNS服务器就帮你查到这个域名对应的IP地址，然后带你过去，这个查询过程由递归DNS服务器和权威DNS服务器协作完成，任何一环被动手脚,你的访问路径就会跑偏。

攻击者篡改的地方不同，劫持的表现也不一样，有的是在你家路由器里动了手脚，有的是在运营商骨干网上做了拦截，还有的是直接黑掉DNS服务商的管理后台，不管哪种方式，结果都一样：你的流量被引到一个冒牌站点，而不是目的地。

据工信部近年来发布的网络安全通报，DNS劫持一直是国内网络攻击的高发类型，相当一部分企业网站和个人用户都遇到过这类问题，行业共识认为，DNS劫持比DDoS攻击更难防范，因为它发生在系统底层,用户几乎无感知。

dns劫持和dns污染的区别在哪

很多人把这两个概念混为一谈，其实它们是两种完全不同的攻击逻辑，理解这个区别,对你判断自己遭遇的是什么问题很有帮助。

DNS污染是“假回答”，DNS劫持是“改试卷”

DNS污染靠的是在数据传输过程中插入伪造的解析结果，你的电脑发出查询请求，攻击者抢先返回一个错误IP，你的设备就信以为真，这个过程中，真正的DNS服务器并没有被改,只是你收到的答案被掉包了。

DNS劫持则是直接从根源上改掉解析记录，攻击者进入路由器管理后台，把主DNS服务器地址改成自己搭建的恶意服务器；或者入侵域名注册商的账号，把A记录改成钓鱼服务器的IP，你查到的每个结果都是“真”的，只不过这些“真”本身就是伪造的。

用户端的感受差异

污染环境下，你访问被污染的域名时，浏览器可能会提示“无法访问此网站”或者跳到某个错误页面，过一会儿又正常了，时好时坏，劫持环境下，网站能正常打开，但内容被替换成了广告、色情内容或者冒充的登录页面。

有个很典型的场景：手机连着WiFi还能正常上微信，但一打开某银行App就提示网络异常，这种情况多半就是路由器DNS被劫持了，因为App内部有证书校验,能识别出指向的服务器不对劲。

dns被劫持怎么修复

修复方式取决于劫持发生在哪一层，你可以按照从本地到外部的顺序逐个排查,不需要一上来就重装系统。

第一步：检查本地网络配置

路由器DNS被劫持解决方法的第一步是登录路由器后台，大多数家用路由器的管理地址是192.168.1.1或192.168.0.1，输入账号密码进入后，找到“网络设置”或“DHCP服务器”选项,查看DNS设置是否被改过。

• 确认DNS是否被改为陌生IP地址
• 将DNS改回自动获取或填入公共DNS
• 修改路由器管理员密码，避免再次被入侵

第二步：刷新本地DNS缓存

电脑端的错误DNS解析结果会被缓存下来，即使服务器那边恢复正常，你的电脑还是拿着错误记录不放，Windows系统按下Win+R键，输入cmd打开命令行,执行：

ipconfig /flushdns

这条命令会清空本地DNS缓存，让系统重新查询解析记录，Mac系统用sudo dkillcache,恢复后立即生效。

第三步：更换公共DNS服务器

如果本地文件和路由器都排查干净了，但问题还在，那就说明运营商链路上有拦截，这时候直接更换公共DNS就能绕开部分污染,推荐几个常用的：

• 阿里DNS：223.5.5.5
• 腾讯DNS：119.29.29.29
• 谷歌DNS：8.8.8.8（国内访问速度一般）

在电脑的网络适配器设置里，把IPv4的DNS手动改成上面的地址,改完重启浏览器再试。

第四步：检查hosts文件和代理设置

某些劫持会直接修改系统hosts文件，这个文件在C:\Windows\System32\drivers\etc\hosts，用记事本打开，看看里面有没有奇怪的域名映射，正常hosts文件里大部分行都是注释（以#开头），如果有大量非注释内容,清理后保存即可。

虚拟专用网络或代理软件也会引起“伪劫持”现象,退出后看是否恢复正常。

如何判断dns是否被劫持

多数情况下，等到网站页面不对再发现已经晚了,更靠谱的做法是主动检测。

用ping命令验证解析结果

在命令行里输入：

ping 你的域名

看返回的IP地址是否和该网站的真实IP一致，以baidu.com为例，返回的IP如果归属地显示为境外或者不是已知的百度机房段,那就要警惕。

用在线工具交叉对比

国内外的DNS查询工具都可以用，比如国内的站长工具DNS查询，国外的dnschecker.org，对比多个地区解析同一域名得到的结果，正常网站全球解析结果应该指向同一批IP段，如果出现某个地区指向完全不同的IP,说明DNS记录被篡改过。

行业专家指出，这个判断方法能覆盖80%以上的隐患,建议每月查一次自己的网站或者常用网站。

个人电脑dns被劫持怎么办

个人电脑被劫持的典型场景是：打开浏览器跳出大量弹窗广告，主页被锁死，或者输入购物网址跳转到仿冒的优惠页面，这种情况多数是路由器被入侵,其次是电脑里装了恶意插件。

处理步骤按优先级排序：

• 先用手机流量分享给电脑，如果流量下访问正常，那就锁定是路由器问题
• 路由器恢复出厂设置，重新设置拨号信息和WiFi密码
• 电脑上使用360安全卫士或火绒等安全工具做全盘扫描
• 检查浏览器快捷方式的“目标”栏，看是否被附加了推广后缀

很多劫持根本不改DNS服务器，只是往浏览器快捷方式里塞了跳转参数，右键浏览器图标选“属性”，看“目标”这一栏末尾有没有奇怪的网址,有的话删掉就好。

企业网站被劫持的修复路径

企业域名被劫持的情况更严重，因为攻击者往往通过域名管理后台操作，登录域名注册商的控制台，检查域名DNS服务器是否被改为ns1.hacker.com之类的陌生地址，同时确认域名状态是否出现clientHold或serverHold,这两种状态会导致网站无法访问。

如果注册商后台也登不进去，立即联系注册商客服，要求冻结域名转移权限并恢复原始DNS记录，国内常见注册商如简米云、酷番云都有域名安全锁功能,建议默认开启。

Q&A：dns劫持服务器是什么意思常见疑问

问：DNS劫持会影响手机上网吗？

手机连接WiFi时使用的DNS来自路由器分发的配置，路由器被劫持，手机自然跟着遭殃，手机数据网络下相对安全，因为流量不经过你家路由器，判断方法是切换流量测试，如果流量下正常,就锁定WiFi端问题。

问：DNS劫持和DNS缓存中毒有什么区别？

DNS缓存中毒是劫持的一种细分方式，攻击者针对路由器或DNS服务器的缓存区发起注入，让合法DNS服务器记住一条伪造的解析记录，劫持泛指所有篡改解析路径的手段,缓存中毒特指攻击缓存这一种实现手法。

问：重新安装系统能彻底解决DNS劫持吗？

大部分路由器层面的劫持，重装系统解决不了，因为问题在网关设备上，只有确认电脑本机被植入恶意驱动或服务时，重装才有意义，一台干净电脑接入被劫持的路由器,依然会访问到假网站。