DNS劫持是一种网络攻击手段，攻击者通过篡改DNS解析结果，将用户引导至恶意网站而非其原本想要访问的目标网站，以下是关于DNS劫持的原理、常见手法及防御措施的详细说明：
1、DNS的作用
DNS（域名系统）将人类可读的域名（如www.example.com）转换为机器可读的IP地址（如192.0.2.1），当你在浏览器输入网址时，设备会向DNS服务器发起查询请求。
2、劫持的核心
攻击者在DNS查询的某个环节篡改响应结果，使用户被重定向到攻击者控制的恶意服务器（如钓鱼网站或广告页面）。
原理：修改用户设备的hosts 文件或DNS设置。
操作：
- Windows 的C:\Windows\System32\drivers\etc\hosts 文件添加恶意条目（如恶意IP www.taobao.com）。
- 路由器DNS被恶意软件篡改（如改为攻击者控制的DNS服务器）。
防御：定期扫描恶意软件，检查hosts文件，使用可靠的路由器密码。
原理：攻击者在用户与DNS服务器之间拦截并篡改通信。
场景：公共Wi-Fi中，攻击者伪造DNS响应包，将www.bank.com 指向钓鱼网站IP。
防御：使用VPN或加密的DNS（如DNS-over-HTTPS/DoH）。
原理：利用路由器弱密码或固件漏洞，登录管理后台修改DNS设置。
案例：将路由器DNS改为攻击者的恶意DNS服务器（如185.228.168.9）。
防御：更新路由器固件，使用强密码，关闭远程管理功能。
原理：运营商或公共DNS服务商主动劫持（如广告注入或审查）。
示例：访问不存在的域名时，运营商返回广告页面而非错误提示。
应对：更换可信的DNS服务商（如Cloudflare1.1.1.1 或 Google8.8.8.8）。
5. DNS缓存投毒（Cache Poisoning）
原理：攻击者向DNS服务器注入虚假记录，污染其缓存。
影响：所有查询该服务器的用户均被重定向。
防护：DNS服务器需启用DNSSEC（域名系统安全扩展）。
原理：木马或病毒修改系统DNS设置或安装恶意DNS代理。
行为：设备自动将DNS请求转发至攻击者控制的服务器。
清除：使用杀毒软件（如Malwarebytes）全盘扫描。
1、对比DNS响应
- 使用nslookup 或dig 查询同一域名：
nslookup www.example.com 8.8.8.8 # 使用Google DNS
nslookup www.example.com # 使用本地DNS- 若结果不一致，本地可能被劫持。
2、检查路由器DNS
登录路由器管理界面（通常为192.168.1.1），确认DNS服务器地址是否被篡改。
3、HTTPS证书验证
访问银行等网站时，若浏览器提示“证书错误”，可能是重定向到了钓鱼网站。
1、使用加密DNS
- 开启DNS-over-HTTPS (DoH) 或 DNS-over-TLS (DoT)，防止监听和篡改。
*（如Firefox设置：网络设置 → 启用基于HTTPS的DNS）
2、定期检查网络设备
- 更新路由器固件，禁用WPS，使用WPA3加密。
- 修改默认管理员密码（避免使用admin/password）。
3、安装可靠的安全软件
- 使用杀毒软件（如Bitdefender、Kaspersky）并定期扫描。
4、手动配置可信DNS
- 将设备或路由器DNS设为：
- Cloudflare:1.1.1.1 和1.0.0.1
- Google:8.8.8.8 和8.8.4.4
- 国内可选：阿里云223.5.5.5 或 腾讯云119.29.29.29。
5、启用DNSSEC
- 在支持DNSSEC的域名注册商处配置，确保DNS响应未被篡改。
DNS劫持属于违法行为，在多数国家/地区可能面临刑事处罚（如《网络安全法》）。
- 本文仅用于技术认知与防御，请勿用于非法用途。
通过以上措施，可显著降低DNS劫持风险，关键点在于：加密DNS查询 + 设备安全加固 + 警惕异常网络行为，遇到可疑重定向时，立即断开网络并排查。
文章摘自：https://idc.huochengrm.cn/dns/12749.html
评论