DNS劫持是一种网络攻击手段，攻击者通过篡改DNS解析过程，将用户对合法域名的访问导向恶意网站（如钓鱼页面、广告页面或包含恶意软件的站点），下面是几种常见的实现方式及原理，但请务必注意：未经授权的DNS劫持是违法行为，仅用于网络安全防护或学习研究。
1. 本地DNS劫持（修改主机文件或路由器DNS）
这是最简单的形式，攻击者在用户设备或路由器上修改DNS设置。
修改hosts文件：在用户电脑的hosts 文件（Windows：C:\Windows\System32\drivers\etc\hosts，Linux/macOS：/etc/hosts）中添加一行记录，192.168.1.100 www.baidu.com，用户访问www.baidu.com 时就会被引导到192.168.1.100。
篡改路由器DNS：攻击者通过弱密码入侵用户家庭路由器，将路由器的DNS服务器地址（通常是自动获取的ISP提供的DNS）改为攻击者控制的恶意DNS服务器，所有连接该路由器的设备都受影响。
攻击者位于用户和正常DNS服务器之间，拦截并篡改DNS查询和响应。
ARP欺骗：在局域网内，攻击者发送伪造的ARP（地址解析协议）包，让用户设备以为攻击者的MAC地址是网关或DNS服务器的MAC地址，这样用户的DNS查询会先经过攻击者。
DNS响应伪造：攻击者截获用户的DNS查询后，立即伪造一个假的DNS响应（指向恶意IP）发回给用户，而真正的DNS服务器响应可能被丢弃或延迟。
3. DNS缓存投毒（DNS Cache Poisoning）
针对递归DNS服务器（如运营商DNS、公共DNS）进行的攻击。
原理：攻击者向DNS服务器发送大量精心构造的虚假DNS响应，利用DNS协议本身的漏洞（如ID预测、端口随机性不足），让DNS服务器错误地缓存了恶意的域名解析记录，后续所有使用该DNS服务器的用户都会被引导到错误地址。
典型手法：当DNS服务器向权威DNS查询attacker.com 时，攻击者抢在真响应之前，伪造一个包含www.baidu.com 指向恶意IP的应答，附带在响应中，如果服务器信任了这个额外信息，就会缓存该结果。
攻击者直接攻破域名的权威DNS服务器（如域名注册商的DNS管理平台），或通过社会工程学获取管理权限，然后在服务器上直接添加或修改域名的A记录、CNAME记录等。
后果：全球范围内所有访问该域名的人都会受到影响，破坏力极大（例如当年巴西银行域名劫持事件）。
利用路由器或光猫的已知漏洞（如远程命令执行、未授权访问），将系统的默认DNS服务器地址强制修改为恶意服务器，重置后依然生效。
未经授权的DNS劫持属于非法行为，可能构成《刑法》中的“破坏计算机信息系统罪”、“非法控制计算机信息系统罪”或“非法获取计算机数据罪”。
- 合法场景仅限：
- 在自己的网络环境中进行安全测试（如渗透测试靶场）。
- 企业内网统一管理，通过内部DNS服务器控制员工访问（需明确告知）。
- 自己个人学习时，在自己的虚拟机或测试设备上操作。
- 用户主动授权的软件（如防沉迷、家长控制软件）限制访问特定站点。
1、使用加密DNS：启用 DNS over HTTPS（DoH）或 DNS over TLS（DoT），例如浏览器设置、操作系统开启“安全DNS”，或配置公共DoH服务器（如https://dns.alidns.com/dns-query）。
2、检查路由器设置：定期登录路由器后台，确认DNS设置未被篡改，并修改路由器默认密码。
3、开启DNSSEC：域名注册商和DNS服务器支持的话，开启DNS安全扩展（DNSSEC），可以验证DNS响应的真实性。
4、安装杀毒软件/防火墙：及时更新系统补丁和杀毒软件，防止恶意软件修改hosts文件或网络配置。
5、警惕公共WiFi：在公共WiFi下，使用VPN或加密DNS，避免被局域网中间人攻击。
DNS劫持的核心是控制“域名 -> IP”的映射过程，而防御的核心是验证数据的可靠性和来源的完整性，如果你对某个具体场景（如企业内网测试）有进一步需求，建议先查阅相关法律法规，并在受控环境下操作。
文章摘自：https://idc.huochengrm.cn/dns/26948.html
评论