DNS劫持怎么判断？从异常现象到命令验证的完整排查指南
简答：先不要只看网页能否打开：依次切换网络、查看当前DNS、对同一域名查询多个DNS服务器，再核对权威结果。若只有某台设备或某个路由器异常，优先查本机、路由器和缓存；若不同网络都返回异常记录，再检查域名侧配置。
定义：DNS劫持是解析请求或DNS记录被异常修改，使域名解析到非预期地址或被导向非预期服务；单次解析失败、IP变化或网页打不开本身不能直接证明发生了劫持。
结论速查：先看症状，再做对比
DNS劫持的核心判断不是“网页打不开”，而是同一域名在不同解析路径下出现稳定且无法解释的异常差异。CISA将DNS基础设施遭篡改描述为修改A、MX或NS等记录，使流量被导向攻击者控制的地址；但本机缓存、路由器配置、CDN调度、服务故障和域名自身改记录，也可能产生相似表现。可先按下表初判，再用命令确认。
| 现象 | 可能原因 | 下一步 |
|---|---|---|
| 只有一台电脑异常，手机正常 | hosts文件、本机DNS、浏览器缓存或恶意软件 | 查当前DNS、hosts和本机缓存 |
| 连接同一Wi-Fi的设备都异常，切手机热点正常 | 路由器DNS、DHCP配置或该网络的递归DNS | 对比Wi-Fi与手机热点的解析结果 |
| 多个网络都返回同一陌生地址 | 域名记录、权威DNS、CDN或域名账户问题 | 查询NS、SOA并联系域名/DNS管理方 |
| 仅偶尔超时或返回NXDOMAIN | 网络丢包、递归DNS故障、缓存或域名不存在 | 更换查询服务器并重复测试 |
| 被跳转、出现广告或证书警告 | DNS异常、网页脚本、代理、网关注入或钓鱼站 | 先核对解析地址和HTTPS证书，不要输入账号密码 |
快速判定：至少在两个网络、两个递归DNS上重复查询同一域名；只有本地路径异常时，优先查设备或路由器；多个独立DNS和网络都指向同一结果时，不能仅凭“IP陌生”认定劫持，还要核对权威DNS与服务商记录。
命令工具的用途和限制可参考Microsoft 的 nslookup 文档与BIND 9 的 dig 文档。
前置条件：记录对象、网络和当前DNS
开始前准备三项信息：一是出现问题的完整域名，例如www.example.com；二是异常发生的网络，包括家用Wi-Fi、公司网络和手机热点；三是当前设备正在使用的DNS服务器地址。不要把真实业务域名或内部域名直接公开到社交平台，截图时可遮挡账号、内网地址和访问令牌。
- Windows：打开命令提示符，运行
ipconfig /all，查看当前网卡的“DNS Servers”。 - macOS：打开“系统设置—网络—当前连接—详细信息—DNS”；不同系统版本的菜单名称可能变化，以当前页面为准。
- Android：在“设置—网络和互联网—私人DNS”查看或调整私人DNS；不同厂商路径可能不同。Google说明私人DNS只保护DNS问题与答案，不等于保护所有网络流量，见Android网络设置说明。
- iPhone：进入“设置—Wi-Fi—当前网络的信息按钮”，可查看并配置DNS；Apple的操作入口见iPhone Wi-Fi设置说明。
测试时尽量关闭会接管DNS的浏览器扩展、代理客户端或安全软件的网页过滤功能，并记录关闭前后的结果。若问题只在某个浏览器出现，不要直接把它归因于DNS劫持。
最短流程：5步判断DNS劫持
- 先确认异常范围。访问两个正常网站和目标域名；再用同一设备切换Wi-Fi与手机热点。如果异常随网络变化，优先检查路由器、DHCP或该网络的DNS；如果只随设备变化，优先检查本机。
- 查询系统默认DNS。Windows运行
nslookup example.com，输出顶部的Server和Address就是本次使用的DNS服务器。Microsoft说明，省略服务器参数时，nslookup会使用默认DNS服务器；也可指定服务器进行对比，见nslookup命令说明。 - 指定多个DNS服务器查询。Windows依次运行
nslookup example.com 1.1.1.1和nslookup example.com 8.8.8.8；具体公共DNS地址仅作示例，实际可替换为你信任且允许使用的解析服务。macOS或Linux可运行dig example.com、dig @1.1.1.1 example.com和dig @8.8.8.8 example.com。BIND文档说明，dig @server name type可指定查询服务器和记录类型，适合比较不同DNS返回结果，见dig手册。 - 查询权威DNS。先运行
dig example.com NS，找出该域名的权威DNS，再针对权威服务器查询dig @权威DNS example.com A和dig @权威DNS example.com AAAA。Windows可用nslookup -type=NS example.com。权威结果与本地递归DNS不同，可能是缓存、CDN分流、地域调度或记录尚未同步，不应自动判定为劫持。 - 记录并重复。把时间、网络、设备、DNS服务器、A/AAAA结果、是否跳转和证书提示记录下来，间隔几分钟重查。若结果只在一个设备或一个网络出现，沿本机或路由器分支排查；若不同网络和DNS都一致异常，检查域名控制台、DNS托管商和证书配置。
建议不要只使用ping判断。一个域名可能有多个IP、CDN节点或IPv4/IPv6结果；“IP不同”本身不是劫持证据，“能ping通”也不能证明HTTPS访问目标正确。
验证标准：什么结果才接近“确认”
可把证据分成三层。第一层是现象证据：陌生跳转、广告注入、证书名称不匹配或只有特定网络异常。它只能说明连接路径有问题，不能单独确认DNS劫持。
第二层是解析对比证据：同一域名、同一记录类型，在本机默认DNS与多个独立DNS之间持续出现差异；同时，切换网络后差异随网络消失或转移。这时更像本机、路由器或递归DNS路径异常，但仍需排除正常的地域解析和缓存。
第三层是权威记录证据：多个网络的递归DNS都返回同一异常结果，且权威DNS、域名托管控制台、CDN配置或证书记录显示被修改或不一致。这时应联系域名注册商、权威DNS托管方或企业网络管理员，并保留查询时间、完整输出和账户操作日志。CISA建议检查DNS记录、修改DNS账户密码、启用多因素认证并监控证书透明度日志，见CISA DNS基础设施篡改指南。
成功标准：恢复DNS自动获取或可信配置后，多个网络下的解析结果符合权威记录；浏览器不再跳转；HTTPS证书与目标域名匹配；重复查询不再出现只在某一网络持续存在的异常。
分层排错：按来源处理，不要一上来重装系统
本机或浏览器异常
- 检查hosts文件是否存在目标域名的固定映射；Windows路径通常为
C:\Windows\System32\drivers\etc\hosts，macOS/Linux通常为/etc/hosts，修改前先备份。 - 清理本地DNS缓存后重查。Windows可运行
ipconfig /flushdns；Microsoft将该命令用于清理DNS客户端缓存，见Microsoft DNS客户端排错说明。 - 停用可疑扩展、代理、网页过滤和安全软件的DNS接管功能，使用无痕窗口或另一浏览器复测。
路由器或局域网异常
- 登录路由器管理页面，检查WAN、DHCP和LAN中的DNS服务器是否被改成陌生地址；菜单名称以当前固件为准。
- 恢复为自动获取或可信DNS后，保存配置并重启路由器，再让终端重新获取网络。
- 立即修改路由器管理密码，启用固件更新和多因素认证（如果设备支持）；不要把恢复出厂作为第一步，除非已备份宽带拨号和无线配置。
运营商、企业网络或递归DNS异常
- 比较公司网络、家用宽带和手机热点；若只在一个网络发生，向网络管理员或服务商提交完整查询记录。
- 可临时测试加密DNS。Chrome的安全DNS可在“设置—隐私和安全—使用安全DNS”中配置，但Google说明在自动模式遇到问题时可能回退到非加密解析；因此启用后仍需复测，不能把它当作绝对证明，见Chrome安全DNS说明。
域名、CDN或权威DNS侧异常
- 核对A、AAAA、CNAME、NS、SOA记录的修改时间、TTL和管理账户操作日志。
- 检查CDN是否按地区、运营商、IPv4/IPv6返回不同地址；多IP或地址变化在大型服务中可能是正常调度。
- 若发现账户登录异常、NS被改、证书警告持续存在，应先保护域名账户、撤销陌生会话并联系注册商或DNS托管方。
边界与延伸：DNSSEC、DoH和DoT能解决什么
DNS over HTTPS（DoH）和DNS over TLS（DoT）可以让DNS查询在传输过程中加密，减少局部网络直接观察或篡改明文DNS的机会，但它们不能修复权威DNS记录已被修改、终端感染恶意软件、浏览器代理接管、服务器被入侵或HTTPS证书错误。Apple文档显示，macOS和iOS可通过系统DNS设置使用DoH或DoT配置，但是否可用取决于系统、配置描述文件或相关应用，见Apple DNS Settings文档。
DNSSEC用于验证DNS记录的签名链，适合由域名和DNS服务管理者部署；普通用户不能仅靠更换DNS判断目标域名是否启用了DNSSEC。若你只能确认“某个网站打不开”，更稳妥的结论是“DNS解析或连接路径异常，尚未确认劫持”，并继续完成多网络、多DNS和权威记录对比。
本页没有提供任何实测测速或可用性保证；命令输出、菜单名称和DNS结果会随操作系统、网络、CDN及域名配置变化。测试完成后，若你曾手动修改DNS、代理或hosts文件，应恢复原设置并再次验证。
给办公网络的记录模板
如果问题影响跨网络办公、远程系统或API调用，可按下面字段保存一次完整记录，便于管理员复现：
- 发生时间：使用本地时间并注明时区。
- 设备与系统：Windows、macOS、iOS或Android，以及系统版本。
- 网络：公司Wi-Fi、家庭宽带、手机热点或有线网络。
- 当前DNS：系统显示的DNS服务器地址。
- 查询命令：完整保留
nslookup或dig命令和输出。 - 记录类型：A、AAAA、CNAME、NS或SOA。
- 现象：打不开、跳转、证书警告、超时、NXDOMAIN或仅某客户端异常。
- 处理动作：是否清缓存、换网络、恢复DNS、关闭代理或修改路由器配置。
- 复测结果：在哪些网络和设备上恢复，哪些环境仍然异常。
这份记录能帮助区分“DNS查询异常”和“DNS查询正常但后续TCP、TLS、代理或应用层连接失败”，避免把所有跨网络连接问题都归结为DNS劫持。
常见问题
DNS劫持和DNS污染怎么区别？
DNS劫持通常强调解析请求、递归DNS或域名记录被改写并导向非预期地址；DNS污染通常指查询结果被错误注入、缓存或阻断，导致返回错误地址或异常状态。仅凭打不开、IP不同或NXDOMAIN不能区分，必须比较多个网络、多个DNS和权威记录。
网站被跳转就一定是DNS劫持吗？
不一定。跳转可能来自网站自身配置、浏览器扩展、代理、网关注入、恶意软件或钓鱼页面。先用nslookup或dig比较A/AAAA记录，再检查HTTPS证书和浏览器代理；如果解析正常，重点转向应用层和终端排查。
怎么在Windows上快速判断DNS是否异常？
先运行<code>ipconfig /all</code>查看当前DNS，再运行<code>nslookup example.com</code>、<code>nslookup example.com 1.1.1.1</code>和<code>nslookup example.com 8.8.8.8</code>。记录Server、Address和返回结果，切换手机热点重复测试；不要只依据一个IP就下结论。
macOS或Linux没有dig怎么办？
macOS和多数Linux系统通常可使用dig或host；如果命令不存在，可先用系统提供的DNS工具或安装与你的发行版匹配的BIND工具包。Windows则可直接使用系统自带的nslookup。命令参数可能随工具版本变化，以本机帮助信息为准。
开启私人DNS或安全DNS后就不会被劫持了吗？
不能保证。加密DNS主要保护查询传输过程，无法修复权威DNS记录被改、设备被感染、代理接管、CDN配置错误或证书问题。开启后仍要用多网络和权威DNS对比验证，并确认浏览器是否使用了自己的安全DNS。