一、网页被偷梁换柱的那一刻先描述几个似曾相识的场景打开一个正规网站右下角莫名弹出低俗广告访问银行页面地址栏的域名明明没输错页面样式却隐约不对家里所有设备的浏览器都被植入了同一个推广链接重装系统也没用。这些现象背后往往不是网站被黑了也不是设备中毒了而是更隐蔽的一层出了问题DNS 劫持——你查询电话簿的环节被人动了手脚查到的号码是假的于是你被悄悄接到了别处。DNS 是互联网的寻路系统它本身没有加密、缺乏身份校验早期设计的遗留问题因此在整个链路里属于被攻击的高发环节。这篇讲清楚劫持有哪几种形态、怎么用 DNS查询确认它、以及怎么防。二、四种劫持形态从近到远按发生的位置从用户身边往外排DNS 劫持主要有四种第一种本机劫持。设备的 hosts 文件被篡改或者恶意软件修改了系统的 DNS 设置。特征是只影响这一台设备其他设备正常。第二种路由器劫持。路由器的 DNS 设置被改——常见途径是弱密码被破解、固件漏洞被利用。特征是同一网络下的所有设备同时异常换个网络比如手机切流量就恢复正常。这是家庭和小企业最常见的中招形态。第三种链路劫持。中间环节个别运营商节点、公共 WiFi对 DNS 应答做手脚返回被替换的解析结果。特征是特定网络环境下才出现且往往是部分域名中招——常见目的是注入广告或导流。第四种缓存投毒。攻击者向 DNS 服务器注入伪造的应答记录污染其缓存让所有使用该服务器的用户都拿到错误结果。这种影响面最大但针对的多是大型 DNS 服务个人用户遇到概率低。四种形态的共同点用户以为自己在访问 A实际被送到了 B。三、识别三个可疑信号不需要专业知识三个信号就能提高警觉信号一解析结果不唯一。同一个域名在电脑上解析出一个 IP手机上解析出另一个或者换个网络结果就变。正常站点的解析不会这样飘。信号二HTTPS 证书报警。被劫持的流量如果试图冒充加密站点浏览器会因为证书对不上而报警。看到证书不安全的提示还继续访问等于把账号密码直接交出去。信号三全站一致的广告或跳转。访问不同的网站都出现同一个来源的广告或被导向同一个推广页——这说明问题不在那些网站而在你共用的某个环节本机、路由器或链路。四、确认用 DNS查询交叉验证怀疑被劫持后用交叉验证把它钉死第一步本机直查。命令行执行nslookup 域名 223.5.5.5指定公共 DNS 查询再执行nslookup 域名用当前默认 DNS 查询对比两次结果。两者不一致说明你正在使用的 DNS 返回了被篡改的答案。第二步在线多线路验证。打开 http://www.kkce.comKKCE 快快测的 DNS查询页面输入同一域名用平台的多地区、多运营商线路查一遍如果全网线路的解析结果一致且与你第一步中指定公共 DNS 的结果相符——那标准答案就确定了你本地那个不一致的结果即为劫持证据。第三步污染专项检测。对疑似被污染的域名用 KKCE 的 DNS污染检测功能做专项检查它会把各地返回的解析结果逐一比对异常结果直接标注比人工对比效率高得多。第四步核对 IP 归属。把可疑的解析结果用 IP查询核对归属地——一个正规企业的域名解析到了陌生的境外小机房基本可以断定有问题。五、防御五道防线确认和处置之后把防线搭起来第一道换用可信的公共 DNS。把设备和路由器的 DNS 设置为大型公共解析服务如 223.5.5.5、114.114.114.114避开不可信的小运营商默认 DNS。这一步能挡掉大部分链路劫持。第二道启用加密 DNS。现代操作系统和浏览器已支持 DoHDNS over HTTPS和 DoTDNS over TLS把查询过程加密让中间环节看不到也改不了你的解析请求。这是对付链路劫持最彻底的手段。第三道守住路由器。改掉默认密码、关闭远程管理、及时更新固件。路由器是家庭网络的大门大门没锁DNS 设置随时会被人改写。第四道认准 HTTPS 与证书。涉及账号、支付的页面证书报警一律停手。证书校验是劫持难以逾越的最后一道关卡——劫持者能改解析却伪造不了正规证书。第五道站长侧的持续监测。如果你是网站管理者自己的域名被劫持会让访客集体中招。给域名配置定期 DNS查询巡检和污染检测解析结果一有异动立刻告警比等访客投诉快得多。六、KKCE 的反劫持工具链从识别到监测http://www.kkce.comKKCE 快快测的工具一站配齐免费、无需注册、无广告DNS 查询——核心验证工具。多地区多运营商线路并行查询支持指定不同 DNS 服务器对比结果支持 IPv4/IPv6 双栈交叉验证标准答案与本地答案的差异DNS 污染检测——针对域名解析的专项体检逐一比对各地返回结果异常解析直接标注排查地区性劫持的对症工具IP 查询——核对可疑解析结果的归属地与运营商陌生境外机房 IP 一眼现形SSL 检测——验证站点证书有效性与证书链完整性证书环节是识别劫持的重要旁证网站测速 / 在线 Ping——劫持往往伴随访问异常多节点实测能快速确认影响范围自动监控——对重要域名定时拨测解析结果被篡改第一时间告警把被动发现变成主动防御。七、总结DNS 劫持的应对可以浓缩成三句话识形态本机、路由器、链路、缓存投毒四种形态按影响范围快速归类会验证指定可信 DNS 查询与当前 DNS 查询对比再用在线多线路 DNS查询锁定标准答案不一致即是证据设防线可信公共 DNS 打底、加密 DNS 加固、路由器设防、证书报警即停、站长持续监测。解析环节是互联网的隐形咽喉被掐住时症状千奇百怪根源却只有一个。养成用 DNS查询做交叉验证的习惯打开 http://www.kkce.com几分钟就能确认你的电话簿还干不干净。