路由器后台登录页面上那行小字，内网劫持我盯了足足三分钟——“DNS服务器：192.168.1.1”。内网劫持这是内网劫持我自己的地址。但我从没设过。内网劫持

事情是内网劫持从弹窗开始的。手机连上家里Wi-Fi，内网劫持随便点开什么App，内网劫持先蹦出来一个全屏广告。内网劫持不是内网劫持运营商那种，是内网劫持嵌在网页里的，关都关不掉。内网劫持我换了浏览器，内网劫持清了缓存，内网劫持甚至把手机网络重置了一遍。内网劫持没用。内网劫持换电脑，一样。这才意识到，问题不在设备，在网关上。

登进路由器管理界面，翻到DHCP设置那一栏，DNS被改成了两个陌生IP。一个是内网地址，另一个指向某台境外服务器。我试着ping了一下内网那个，通的。延迟不到1毫秒。说明局域网里有东西在响应。

这就有意思了。

内网劫持和普通DNS污染不一样。后者是运营商在骨干网层面动手脚，你访问某个域名，它给你返回一个假IP。前者更隐蔽——攻击者已经进了你的局域网，可能是蹭了Wi-Fi，可能是路由器固件有后门，也可能你连过某个恶意热点，凭证被偷了。然后它伪装成网关，或者直接篡改路由器的DNS配置，把内网所有设备的域名解析都捏在手里。

我扫了一遍局域网设备。除了我自己的几台机器，多了一个MAC地址，厂商前缀查不到。IP是192.168.1.87。试着访问它的80端口，返回一个空白页。443端口，证书自签名。基本可以确定，这东西就是劫持的源头。

再回头看路由器日志。三天前凌晨两点十七分，有一条来自WAN口的远程管理登录记录。用户名admin，密码admin。我后背一凉——路由器买回来就没改过默认密码。攻击者大概率是扫到了我的公网IP，用默认凭证登进来，改了DNS，然后在局域网里留了个后门。

整个过程没有触发任何告警。没有异常流量峰值，没有陌生端口扫描。因为它根本不需要这些。它只是安安静静地改了一个配置项，然后所有内网设备的域名解析都绕了一道弯。你输入taobao.com，它先把你引到自己的服务器，再转发给真正的淘宝。中间那一下，足够插广告、偷Cookie、甚至替换支付页面的收款账号。

我拔了那台设备的网线——其实没拔，只是从路由器后台把它拉黑了。然后改路由器密码，关掉WAN口远程管理，把DNS手动设成公共服务器。弹窗消失了。

但这件事让我想了好几天。我们总觉得内网是安全的，防火墙一挡，外面进不来。可实际上，内网劫持根本不需要“进来”。它只需要一个弱密码，一个没打补丁的固件，或者一台已经中招的设备。然后它就像水一样，从那个缝隙渗进来，无声无息地改写规则。

更麻烦的是，你很难发现。DNS劫持不像病毒，不会让电脑变慢，不会弹错误框。它只是让你看到的世界，和真实的世界之间，隔了一层薄薄的、看不见的滤镜。你以为你在访问正确的网站，其实你看到的是别人想让你看到的东西。

我后来把家里所有智能设备都查了一遍。那个MAC地址再没出现过。但我知道，它可能只是换了个方式，还在某个角落等着。

(责任编辑：时尚)