dns劫持

你正看着手机，突然弹出一个“系统升级”的页面，要求输入银行卡号验证身份。你以为是运营商搞的鬼，其实真正的幕后黑手可能远在千里之外——他们只是篡改了你访问的DNS记录，让你“以为”自己去了银行官网，实际上页面是骗子精心仿制的。这，就是DNS劫持。

DNS是互联网的“电话簿”。你输入网址时，它负责把域名翻译成服务器能懂的IP地址。一旦这本电话簿被动手脚，你输入“bank.com”，DNS却把你领到“fake-bank.com”。整个过程用户毫无感知，浏览器地址栏显示的就是你输入的网址，HTTPS小锁头也挂着——但页面是假的。

去年我们公司做过一次内部安全测试。技术人员在办公网里搭建了一个伪造的Office 365登录页，然后通过路由器劫持DNS，把公司员工访问的login.microsoftonline.com重定向到那个假页面。结果48小时内，有37个员工主动输入了密码，其中12个人还通过了“二次验证”——他们甚至把手机收到的验证码也填了进去。测试结束后，我们给那12个人发了封邮件，他们的第一反应都是：“不可能，网址是对的，锁头也是绿的。”

问题就出在这。DNS劫持分两种：一种是路由器或局域网层面的“本地劫持”，攻击者黑进你家路由器，改掉DNS设置。另一种是“上游劫持”，直接攻击运营商的DNS服务器，或者更狠的，通过BGP路由协议劫持整个流量路径。2018年，黑客就利用这种手法，把亚马逊DNS流量引导到自己的服务器上，盗取了价值超过10万美元的加密货币。

普通人怎么防？别以为装个杀毒软件就万事大吉。杀毒软件管的是文件病毒，DNS劫持发生在网络层面，它根本看不见。更讽刺的是，很多免费WiFi的提供者自己就在干这种事——你连上咖啡馆的WiFi，他们篡改DNS，往你浏览的网页里注入广告，这都算“良性”的。恶性的直接窃取账号密码。

我有个朋友是搞外贸的，去年他的邮箱被劫持了整整两周。骗子修改了他邮箱里的自动转发规则，所有客户邮件都先发到骗子那里，筛选出有付款信息的，再伪造一封“账号变更通知”发给客户。最后他损失了4万美金。事后查原因，就是一个月前他在某酒店连了公共WiFi，当时路由器已经被植入了恶意DNS配置。

真正的防护手段其实很简单：手动把路由器的DNS改成公共DNS，比如谷歌的8.8.8.8或者阿里的223.5.5.5。但这治标不治本——如果攻击发生在运营商层面，改本地DNS也没用。更靠谱的做法是开启DNSSEC（域名系统安全扩展），它相当于给电话簿加了防伪水印，能验证DNS查询结果是否被篡改。但全球只有不到20%的域名启用了这个功能，大多数普通用户根本不知道它存在。

最让人头疼的是，DNS劫持的检测极其困难。你没法用肉眼分辨真假页面，只能靠网站证书链的完整性验证。但很多用户连“证书”是什么都不知道，更别说去检查证书颁发机构是否可疑了。

说到底，DNS劫持之所以屡禁不止，是因为它利用了互联网最底层的信任机制。这个机制从1983年设计之初就没考虑过安全问题，后来缝缝补补加了HTTPS、加了证书验证，但根基依然是脆弱的。你我能做的，就是别点陌生邮件里的链接，别连来路不明的WiFi，定期检查路由器设置——虽然这些建议听起来老生常谈，但现实中，绝大多数被劫持的人，恰恰就是栽在这些“老生常谈”上。

本文地址：http://www.79wt.cn/news/1621b0699831.html