为什么DNS会被篡改
你有没有遇到过输入一个网址，结果跳到一个乱七八糟的广告页面？或者明明想上银行官网，却进了个长得像模像样的假网站？这很可能是你的DNS服务器被篡改了。DNS就像互联网的电话簿，负责把域名翻译成IP地址。一旦这个“电话簿”被人动了手脚，你就可能被带到不该去的地方。
常见的篡改方式包括路由器劫持、恶意软件修改系统设置，甚至有些公共Wi-Fi会偷偷替换DNS。尤其是家用路由器，很多用户从没改过默认密码，黑客轻松登录后台，把DNS换成他们控制的服务器，流量就悄悄被重定向了。
从路由器入手加固防线
大多数家庭网络的DNS起点是路由器。第一步就是登录路由器管理页面（通常是192.168.1.1或192.168.0.1），检查DNS设置是否被改成奇怪的地址。正规的可以填8.8.8.8（Google DNS）或者223.5.5.5（阿里云DNS）。别用运营商默认的，有些会插广告。
更关键的是改掉路由器的默认密码。很多人图省事，admin/admin用了好几年。去“系统工具”或“管理设置”里设个强密码，至少8位，字母数字符号混合。顺便把远程管理功能关掉，避免外网直接连进来。
检查设备本地的DNS配置
有时候路由器没问题，但电脑或手机自己被改了。Windows点开“网络和共享中心”，进当前连接的属性，看IPv4里的DNS是不是干净。Mac在“系统设置→网络→高级→DNS”里查。安卓和iOS也能在Wi-Fi设置里手动指定DNS。
如果你发现某个陌生程序在后台修改网络设置，大概率中招了。这时候杀毒软件得跑一遍，重点查autorun类和驱动级的恶意程序。
启用加密DNS提升安全性
传统DNS查询是明文传输的，中间人很容易监听甚至篡改。现在主流操作系统都支持加密DNS，比如DNS over HTTPS（DoH）和DNS over TLS（DoT）。Windows 11可以在“网络设置”里开启DoH，选Cloudflare或阿里云的服务。路由器如果刷了OpenWrt，也能装dns-forwarder走加密通道。
举个例子，在支持DoH的浏览器里输入：
chrome://settings/security打开“使用安全DNS”，选择“自动”或指定服务商。这样即使本地网络不干净，DNS请求也很难被中途调包。
企业环境下的防护策略
公司网络更复杂，光靠改密码不够。建议在网络边界部署DNS防火墙，对异常查询行为做拦截。比如员工电脑突然大量请求赌博网站的域名，系统应该能识别并阻断。
内部DNS服务器要启日志审计，定期比对解析记录有没有被非法添加。还可以配置DNSSEC，通过数字签名验证响应来源的真实性。虽然部署麻烦点，但能有效防伪造。
另外，员工教育不能少。很多人点开邮件里的链接毫不怀疑，一不小心就下载了伪装成PDF的exe文件。这类程序常自带DNS劫持功能，一旦运行，整个局域网都可能受影响。