上周帮朋友排查网络故障，劫持教程发现他家的劫持教程路由器DNS被劫持了。打开网页全是劫持教程赌博广告，连百度都跳转到山寨站点。劫持教程检查后发现，劫持教程路由器管理密码还是劫持教程出厂默认的admin/admin。这不是劫持教程个例——我见过太多人栽在DNS上，明明网速没问题，劫持教程却总被劫持到钓鱼网站。劫持教程DNS防劫持没那么玄乎，劫持教程核心就三件事：改默认密码、劫持教程换公共DNS、劫持教程开启DNSSEC。劫持教程下面直接说操作。劫持教程

先处理最基础的劫持教程：路由器管理密码。绝大多数家用路由器被劫持，都是因为密码太弱。登录路由器后台（一般是192.168.1.1或192.168.0.1），找到“系统工具”或“管理”选项，把密码改成至少12位，包含大小写字母、数字和特殊符号。别嫌麻烦——我见过有人用“123456”用了五年，被劫持了还以为是运营商的问题。改完密码后，顺手关闭路由器的远程管理功能，这个功能默认开启的话，等于给黑客留了后门。

第二步，换掉运营商默认DNS。运营商给的DNS服务器经常被污染，尤其是访问一些境外网站时，解析结果会被篡改。我推荐两个公共DNS：阿里云的223.5.5.5和腾讯云的119.29.29.29。国内访问速度快，而且有防劫持机制。在路由器后台的“网络设置”里，找到“DHCP服务器”或“WAN口设置”，把DNS改为手动输入。如果你有技术基础，也可以试试Cloudflare的1.1.1.1，但国内访问延迟偏高，建议备用。

第三步，开启DNSSEC。这个功能大多数人没注意过，但它能验证DNS解析结果的真实性，防止中间人篡改。在路由器后台搜索“DNSSEC”或“安全DNS”，打开开关就行。不过有个坑：部分老路由器不支持DNSSEC，这时候就得在设备端设置。Windows系统可以在“网络适配器”属性里，勾选“DNS over HTTPS”，手动填上DoH服务器地址。macOS和手机端也可以配置，但步骤略繁琐，这里不展开。

光改路由器还不够，设备端也得防。电脑和手机可能会绕过路由器，直接使用运营商分配的DNS。Windows上按Win+R输入“ncpa.cpl”打开网络连接，右键点击正在用的网卡，选“属性”，双击“Internet协议版本4”，把DNS改成和路由器一致。手机端更简单：在WiFi设置里关闭“自动获取”，手动填写DNS。安卓和iOS都能改，但iOS的“私有WiFi地址”功能可能会干扰，建议先关掉。

有个案例值得提一下：去年一个客户公司财务电脑被劫持，转账页面被替换成钓鱼网站，差点损失几十万。查下来发现是内网DNS被ARP欺骗了——攻击者伪装成网关，把DNS请求全部劫持到恶意服务器。这种情况单靠改路由器没用，得在交换机上做端口安全，或者部署防火墙的DNS过滤功能。普通家庭用户不会遇到这种高级攻击，但如果你在公共WiFi下用网银，建议开手机热点操作。

最后说个容易被忽略的点：定期检查DNS解析是否正常。用命令行工具nslookup或dig，查一下常见网站的解析结果，对比真实IP是否一致。比如输入nslookup baidu.com，如果返回的IP和百度官方公告的不符，说明DNS被劫持了。还有个土办法：访问一个不存在的域名，如果跳转出广告页面，那肯定被劫持了。正常情况应该报错“无法解析”。

以上操作半小时能完成。别等被劫持了才想起来改，到时候损失的可不只是时间。如果你的路由器固件太老，连这些设置都没有，建议直接换一台支持IPv6和DNSSEC的新款路由器，一百多块的就能满足需求。