路由器 DNS 劫持、惡意 DHCP 伺服器和加密 DNS (DoH/DoT) 恢復¶

每次您輸入類似的網站地址時 chase.com, google.com, 或 apple.com 在您的瀏覽器中，您的裝置會詢問 網域名稱系統 (DNS) 解析器 將人類可讀的名稱轉換為數字 IP 位址 (142.250.190.46）。如果攻擊者悄悄更改您的家庭或辦公室 Wi-Fi 路由器內的主要和輔助 DNS 伺服器設置，則會在您的本地網路上啟動流氓 DHCP 伺服器，修改您電腦的隱藏 hosts 文件，或攔截您在飯店或機場網路上的查詢，他們控制您網路的電話簿。即使您在網址列中輸入準確且拼寫正確的銀行、電子郵件提供者或軟體更新伺服器的 URL，被劫持的 DNS 伺服器（DNSChanger, ghostDNS, ZuoRAT，或本地人 dnsmasq spoofer）可以將您的連線路由到惡意的類似伺服器，阻止您的防毒軟體下載威脅定義，或顯示安裝資訊竊取木馬的虛假「路由器韌體更新/Chrome 關鍵更新」彈出視窗。

不要忽視突然的NET::ERR_CERT_AUTHORITY_INVALID 警告、您自己的家庭 Wi-Fi 上意外的「登入 Wi-Fi 網路」強制門戶彈出窗口，或造訪主要網站時的瀏覽器重定向。透過將目前指派的 DNS 伺服器傳回的內容與受信任的加密解析器進行比較（1.1.1.1, 8.8.8.8, 或 9.9.9.9），審核路由器的 WAN 和 DHCP 設置，刷新中毒的作業系統和瀏覽器 DNS 緩存，並啟用 DNS-over-HTTPS（DoH) 或 DNS-over-TLS (DoT)，您可以在 10 分鐘內消除 DNS 劫持。

現在就這樣做¶

1. **切勿點擊 Advanced -> Proceed to [website] (unsafe) 如果您的瀏覽器突然顯示 NET::ERR_CERT_AUTHORITY_INVALID 或者 MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT 主要銀行、電子郵件或雲端網站上發出警告。 ** 現代 HTTPS (TLS 1.3) 和 HTTP 嚴格傳輸安全性 (HSTS）是您的 DNS 被劫持時的最後一道防線：被劫持的 DNS 伺服器將您的瀏覽器定向到攻擊者的 IP 位址，而您的瀏覽器發現了謊言，因為攻擊者的伺服器不持有 Google 或 Chase 的真正加密私鑰。點擊「仍然繼續」會將您的密碼和會話 cookie 直接交給攻擊者。
2. **切勿下載或運行 "Browser Update.exe / .dmg" 或在家庭或辦公室 Wi-Fi 上突然出現的彈出視窗中輸入您的 Wi-Fi WPA2/WPA3 密碼。 ** 當路由器劫持惡意軟體時 (ghostDNS, Roaming Mantis）將路由器的 WAN/DHCP DNS 伺服器變更為犯罪 IP 位址，其第一個策略是將每個 HTTP 頁面載入重定向到虛假 「您的 Google Chrome / Safari / 路由器韌體已過時」 頁面或虛假 ISP 登入入口網站。
3. **跑10秒 nslookup 或者 dig 現在在您的終端機中進行比較測試，看看您目前的 DNS 伺服器是否對您說謊。 ** 開啟命令提示字元或終端機並進行比較 nslookup google.com （使用您目前指派的路由器/作業系統 DNS 伺服器） nslookup google.com 1.1.1.1 （直接查詢 Cloudflare）。如果您的預設 DNS 伺服器是位於您從未配置過的另一個國家/地區的奇怪公用 IP 位址，或為銀行/防毒網域傳回完全不同的假 IP，則您的 DNS 會被劫持。
4. **暫時將您裝置的 DNS 設定覆蓋為加密 DNS (DoH / DoT 上 1.1.1.1, 9.9.9.9, 或 8.8.8.8）登入路由器或重設密碼之前。 **因為 DNS-over-HTTPS (DoH) 將所有域查找傳送到加密的 TLS Port 443 透過隧道直接連接到 Cloudflare、Quad9 或 Google，在瀏覽器或作業系統內開啟 DoH 會立即使被劫持的路由器或流氓 ISP 解析器失明，以便您可以安全地訪問真實網站並清理您的網路。
5. 透過有線乙太網路線登入您的家庭/辦公室路由器（192.168.1.1 或者 192.168.0.1），檢查兩個 WAN / Internet DNS 和 LAN DHCP Server DNS 字段，如果其中一個包含不熟悉的公共 IP 位址，請執行硬體 30-second Pin-Hole Factory Reset 立即。 ** 更改路由器 DNS 設定的惡意軟體幾乎總是透過暴露的 ** 進入Remote Web Management (WAN Admin) 端口，一個 UPnP （通用即插即用） 連接埠轉送規則，或預設值 admin/admin 密碼（參見 保護家庭路由器和物聯網設備的安全）。
6. 檢查您電腦的本機 hosts 檔案和代理/PAC 設定（C:\Windows\System32\drivers\etc\hosts 在 Windows 或 /etc/hosts 在 macOS/Linux 上）並刷新作業系統 DNS 快取。 ** 即使您的路由器 100% 乾淨，單一 PC 或 Mac 上的本機廣告軟體或特洛伊木馬也可以透過將 IP 重定向注入本機來覆蓋 DNS 解析。 hosts 文件或設定流氓自動代理配置（PAC) Windows Internet 選項中的 URL**。

flowchart TD
    A["疑似 DNS 劫持：證書警告、虛假更新彈出視窗或錯誤站點加載"] --> B["1. 立即在瀏覽器/作業系統中啟用加密 DNS (DoH) 以繞過中毒的解析器"]
    B --> C["2. 執行終端診斷：比較“nslookup example.com”與“nslookup example.com 1.1.1.1”"]
    C --> D{"Wi-Fi 上的所有裝置都會受到影響，還是只有一台特定的電腦/手機受到影響？"}
    D -->|"所有連接 Wi-Fi 的裝置都會受到影響"| E["LAN 上的路由器 WAN/DHCP 劫持或惡意 DHCP 伺服器"]
    E --> F["檢查預設閘道和 DHCP 伺服器 IP ('ipconfig /all')。如果不熟悉 MAC/IP -> 隔離惡意設備"]
    E --> G["硬體出廠重置路由器 -> 更新韌體 -> 停用 WAN 管理和 UPnP -> 將路由器 DNS 設定為 1.1.1.1 / 9.9.9.9"]
    D -->|"只有一台電腦或手機受到影響"| H["本機裝置劫持：檢查網路介面卡靜態 DNS、主機檔案、代理程式/PAC 腳本和瀏覽器擴充"]
    H --> I["清理“/etc/hosts”或“C:\\Windows\\System32\\drivers\\etc\\hosts”，刪除惡意根證書，並重新整理 DNS 快取"]

診斷矩陣：DNS 和網路路由被劫持的 5 層¶

當網域名稱解析到錯誤的伺服器時，劫持就發生在解析鏈中五個不同技術層之一。使用此表來查明哪一層受到損害：

第 1 階段：60 秒命令列 DNS 和 DHCP 取證審核¶

在重置任何內容之前，請在電腦上開啟終端機並執行這些精確的唯讀命令來捕獲電腦目前使用的 DNS 伺服器和 DHCP 伺服器的證據。

1.Windows 10 和 Windows 11（Command Prompt 或者 PowerShell）¶

# 1. Inspect your active Default Gateway, DHCP Server IP, and configured DNS Servers:
ipconfig /all

# 2. Check if any non-commented IP redirect lines exist in your local Windows hosts file:
findstr /V "^#" "%SystemRoot%\System32\drivers\etc\hosts" | findstr /V "^$"

# 3. Check if a rogue Proxy Server or Automatic Configuration Script (PAC) is hijacking browser traffic:
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL

# 4. Compare what your current default DNS server returns vs. Quad9 (9.9.9.9) and Cloudflare (1.1.1.1):
nslookup www.microsoft.com
nslookup www.microsoft.com 9.9.9.9

• 如何讀取步驟 1 的輸出（ipconfig /all):
• 看看DNS Servers。通常，這會顯示您的家用路由器的專用 LAN IP (192.168.1.1, 192.168.0.1, 10.0.0.1），你故意設定的一個著名的公共解析器（1.1.1.1, 1.0.0.1, 8.8.8.8, 8.8.4.4, 9.9.9.9, 208.67.222.222），或您的正版寬頻 ISP 的區域 DNS 伺服器（在 ** 驗證任何不熟悉的 IP）https://bgp.he.net** 或 whois：如果 IP 屬於另一個國家/地區的防彈 VPS 託管提供者而不是您的 ISP，則您的 DNS 已中毒）。
• 看看DHCP Server 與 Default Gateway。在 99% 的家庭網路上， DHCP Server 智慧財產權和 Default Gateway IP 必須相同（例如，兩者 192.168.1.1）。如果它們不同（並且您沒有親自建立 Pi-hole 或 Windows Server 網域控制站），則您的本機網路上存在惡意 DHCP 伺服器。

2.macOS 和 Linux（Terminal）¶

# 1. On macOS: Display all active DNS resolvers, search domains, and interface bindings:
scutil --dns | grep -E "nameserver|domain|interface"

#    On Linux (systemd-resolved / NetworkManager):
resolvectl status

# 2. Inspect the local /etc/hosts file for unauthorized redirects (anything other than 127.0.0.1 localhost / ::1):
grep -v '^#' /etc/hosts | grep -v '^$'

# 3. On macOS: Check if a malicious Web Proxy or PAC Auto-Config script is enabled on Wi-Fi:
networksetup -getwebproxy Wi-Fi
networksetup -getsecurewebproxy Wi-Fi
networksetup -getautoproxyurl Wi-Fi

# 4. Compare DNS answers and check DNSSEC authentication (ad flag) using dig:
dig www.google.com
dig @1.1.1.1 www.google.com +dnssec

3. 追捕並隔離本地網路上的惡意 DHCP 伺服器¶

如果 ipconfig /all （或者 ip route / networksetup -getinfo Wi-Fi）表明您的電腦從一個不熟悉的本地 IP 位址接收了 IP 租約和 DNS 設置，例如 192.168.1.142 而不是你真正的路由器（192.168.1.1）？ 1. 立即辨識硬體MAC位址（Physical Address) 以及惡意裝置的製造商 (192.168.1.142）透過檢查你的 ARP 表：

# On Windows, macOS, or Linux, display the hardware MAC address mapped to the rogue DHCP IP:
arp -a

第 2 階段：逐步根除路由器 WAN/DHCP 劫持¶

如果您在第 1 階段的審核證明您的 Wi-Fi 路由器正在散佈惡意 DNS 位址（或您的路由器的內部 WAN DNS 已被修改），只需登入路由器並輸入 1.1.1.1 放回盒子里不够。您必須先關閉允許攻擊者進入您的路由器的漏洞：

步驟 1：在路由器上執行 30 秒硬體恢復原廠設置¶

為什麼要完全恢復出廠設定而不是僅編輯 DNS 欄位？因为路由器恶意软件（ZuoRAT, VPNFilter, Cyclops Blink, Mirai 變體）經常添加隱藏 iptables NAT 重定向規則（REDIRECT --to-ports 53），安裝一個持久的 cron 作業 /tmp 或 NVRAM，或啟用隱藏的遠端 SSH/Telnet 管理帳戶。 1. 斷開路由器的 WAN / Internet 乙太網路電纜（來自光纖 ONT 或電纜數據機的電纜），以便攻擊者在您設定路由器時無法重新連接。 2. 路由器通電後，用回形針按住路由器背面凹進的重置針孔按鈕15 到 30 秒，直到所有前面板 LED 同時閃爍。 3. 等待 3 分鐘，讓路由器重新啟動進入乾淨的出廠狀態，然後透過乙太網路線（或工廠 Wi-Fi 貼紙憑證）連接乾淨的電腦並登入 192.168.1.1 （或者 192.168.0.1）。

步驟 2： 鎖定攻擊者用來劫持 DNS 的 5 個路由器設置¶

在重新插入 WAN/Internet 電纜之前，請在路由器的管理控制台中設定這五項強制設定（請參閱我們的完整指南） 保護家庭路由器和物聯網設備的安全 對於深度硬化）： 1. 設定唯一的 16 個以上字元的路由器管理密碼（與您的 Wi-Fi 密碼不同）： 切勿將路由器管理登入保留為 admin / admin 或者 admin / password。當您在瀏覽器中載入惡意橫幅廣告時，網路上的每個 CSRF DNS 劫持漏洞利用工具包都會自動猜測預設憑證。 2. 驗證 Remote Management / WAN Administration 是嚴格的 DISABLED: 看下面 Advanced -> Administration -> Remote Management 並確保公共網際網路上的任何人都無法從 WAN 端存取路由器的登入頁面或 SSH/Telnet 連接埠。 3. 停用 UPnP （通用即插即用）： 下 Advanced -> UPnP （或者 NAT Forwarding -> UPnP），关闭 UPnP 关闭。您家中任何裝置上的惡意軟體都使用 UPnP (IGD SOAP 要求）以靜默方式命令您的路由器開啟連接埠或變更 WAN 轉送規則，無需密碼。 4. 路由器上的硬編碼可信任、封鎖惡意軟體的 DNS 伺服器（IPv4 和 IPv6）： 前往 Internet / WAN 設定 -> DNS 伺服器（和 LAN -> DHCP 伺服器），然後從 從 ISP 自動取得 切換到 使用這些 DNS 伺服器： * Cloudflare (1.1.1.1 for Families - Malware Blocking): 主 IPv4: 1.1.1.2 |輔助 IPv4： 1.0.0.2 （或標準未過濾 1.1.1.1 / 1.0.0.1）。 IPv6： 2606:4700:4700::1112 和 2606:4700:4700::1002。 * 四人9（Malware & Phishing Blocking + DNSSEC): 主 IPv4: 9.9.9.9 |輔助 IPv4： 149.112.112.112。 IPv6： 2620:fe::fe 和 2620:fe::9。 * Google 公用 DNS： 主要 IPv4： 8.8.8.8 |輔助 IPv4： 8.8.4.4。 IPv6： 2001:4860:4860::8888 和 2001:4860:4860::8844。 5. 重新連接 WAN 電纜並立即安裝最新的路由器韌體更新： 如果您的路由器型號已超過其製造商的期限 壽命終止 (EoL) 日期並且不再接收安全性修補程式（請參閱 零日漏洞緊急修補和報廢設備隔離），立即更換路由器硬件，以便明天無法重新利用已知的未打補丁的 CVE。

第 3 階段：清理中毒的本地電腦（Hosts 檔案、適配器 DNS 和快取刷新）¶

確保路由器安全後（或如果只有一台電腦被劫持），請執行以下命令來重置本機電腦的網路堆疊並刷新每個快取的中毒 DNS 記錄：

1. Windows 10 / 11 完整的 DNS、Hosts、Winsock 和瀏覽器快取重置¶

以管理員身份開啟 命令提示字元 (Win + X -> Terminal (Admin) / Command Prompt (Admin)）並運行：

:: 1. Reset all network adapters back to automatic DHCP DNS (removes static Trojan DNS overrides):
powershell -Command "Get-NetAdapter | Where-Object {$_.Status -eq 'Up'} | Set-DnsClientServerAddress -ResetServerAddresses"

:: 2. Disable any rogue Windows Registry Proxy or PAC AutoConfig script:
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 0 /f
reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL /f 2>nul

:: 3. Flush the Windows OS DNS Resolver Cache, Winsock Catalog, and NetBIOS table:
ipconfig /flushdns
nbtstat -R
netsh winsock reset
netsh int ip reset

• 如果您的 C:\Windows\System32\drivers\etc\hosts 檔案包含未經授權的重定向行： 以管理員身份開啟 記事本，開啟 C:\Windows\System32\drivers\etc\hosts，刪除所有非註解行（乾淨的預設 Windows hosts 文件有零活動未註解行，並且每個註解行以 #），儲存文件，然後運行 ipconfig /flushdns。
• 檢查是否存在惡意根憑證（certmgr.msc): 如果攻擊者或本機惡意軟體也安裝了偽造的根憑證授權單位 (CA）到您的電腦上，以便他們可以攔截 HTTPS 流量而不觸發瀏覽器警告，請按 Win + R， 類型 certmgr.msc，展開 受信任的根憑證授權單位 -> 憑證，排序依據 Issued By 或者 Expiration Date，並刪除任何您不認識的不熟悉的自簽名根證書。

2. macOS & Linux 完成 DNS 重置與快取刷新¶

# On macOS: Clear any static DNS overrides on Wi-Fi (reverts to DHCP) and flush mDNSResponder cache:
sudo networksetup -setdnsservers Wi-Fi Empty
sudo networksetup -setautoproxystate Wi-Fi off
sudo networksetup -setwebproxystate Wi-Fi off
sudo networksetup -setsecurewebproxystate Wi-Fi off
sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder

# On Linux (Ubuntu / Debian / Fedora with systemd-resolved):
sudo resolvectl flush-caches

3. 刷新 Web 瀏覽器的內部套接字和 DNS 快取 (Chrome, Edge, Brave, Firefox）¶

關鍵陷阱： 現代 Web 瀏覽器維護其 自己獨立的內部 DNS 快取和開放 TCP 套接字池 完全獨立於 ipconfig /flushdns。即使在修復路由器並運行之後 ipconfig /flushdns，Chrome 或 Edge 可以繼續將您傳送到攻擊者的 IP 15 分鐘，直到您清除瀏覽器的內部快取： 1. 在 Chrome、Edge 或 Brave 中： * 類型chrome://net-internals/#dns（或 edge://net-internals/#dns) 進入網址列並點選 Clear host cache。 * 立即點選Sockets 在左側邊欄 (chrome://net-internals/#sockets）並點擊Flush socket pools（這會殺死任何仍然對攻擊者的 IP 開啟的活動的持久 HTTP/2 或 QUIC 連線）。 2. 在 Mozilla Firefox 中： * 類型about:networking#dns 進入網址列並點擊 Clear DNS Cache。 3. 在 Apple Safari（macOS 和 iOS）中： * 在 macOS 上，開啟 Safari -> 設定 -> 進階，選取 Show features for web developers，然後按一下Develop -> Empty Caches（Opt + Cmd + E），然後退出並重新啟動 Safari。 * 在 iPhone 或 iPad 上，開啟 飛行模式 5 秒，然後關閉，這會強制 iOS mDNSResponder 立即清除整個易失性 DNS 緩存，而不刪除您儲存的網站登入資訊。

第 4 階段：啟用加密 DNS (DoH / DoT）這樣路由器、飯店或 ISP 就無法再次劫持您的 DNS¶

為什麼傳統的DNS（UDP Port 53）對於受感染的家庭路由器、咖啡店 Wi-Fi 或 ISP 來說如此容易監視和劫持？因為標準DNS是在1983年設計的（RFC 882）零加密和零身份驗證：每個查詢都以純文字形式透過網路傳輸，路徑上的任何裝置都可以在不到一毫秒的時間內偽造一個虛假的 UDP 回應（DNS Spoofing）。

透過啟用 DNS-over-HTTPS (DoH, RFC 8484) 或 DNS-over-TLS (DoT, RFC 7858)，您的裝置將每個 DNS 查詢包裝在經過加密驗證的內部 TLS 1.3 直接透過隧道連接到受信任的解析器（Cloudflare 1.1.1.1, Quad9 9.9.9.9, Google 8.8.8.8, 或 NextDNS）。如果惡意路由器或飯店 Wi-Fi 嘗試更改回复，TLS 簽名就會失敗，您的裝置會立即拒絕偽造。

如何啟用加密 DNS (DoH / DoT) 60 秒內跨所有設備¶

常見問題¶

為什麼我的瀏覽器顯示 NET::ERR_CERT_AUTHORITY_INVALID 上 google.com 或是當我的路由器的 DNS 被劫持時我的銀行？¶

該瀏覽器錯誤實際上使您免於帳戶被盜。當攻擊者劫持您的路由器的 DNS 設定時，他們會更改 IP 位址 `www.yourbank.com` 因此您的電腦連接到攻擊者的網路伺服器而不是您真正的銀行。但是，當您的瀏覽器啟動加密的 HTTPS (`TLS`）與攻擊者的伺服器握手時，攻擊者的伺服器無法產生由受信任的憑證授權單位加密簽章的有效數位 TLS 憑證 `yourbank.com`。您的瀏覽器立即停止連線並顯示 `NET::ERR_CERT_AUTHORITY_INVALID`。只要您永遠不要點擊“仍然繼續”並且永遠不要安裝流氓根證書（`CA`）到您的裝置上，僅 DNS 劫持無法解密或欺騙受 HSTS 保護的 HTTPS 網站。

駭客如何在不知道我的 Wi-Fi 密碼的情況下更改我的家庭 Wi-Fi 路由器內的 DNS 設定？¶

攻擊者無需位於您房屋的 Wi-Fi 範圍內即可更改路由器的 DNS 設定。他們使用兩種遠端方法：第一，自動化機器人（`Shodan` / `Censys` 掃描器和殭屍網路）掃描網路上的每個公用 IP 位址，尋找具有 **遠端 Web 管理（`WAN Admin`)** 或 **`UPnP`** 因已知韌體漏洞而保持開放狀態。其次，即使 WAN Admin 關閉，如果您將路由器的內部管理密碼保留為出廠預設值（`admin / admin` 或者 `admin / password`），點擊筆記型電腦上的惡意廣告或網站會允許瀏覽器中隱藏的 JavaScript 發送 **跨站請求偽造 (`CSRF`)** 或 **DNS 重新綁定** 直接從您的筆記型電腦請求 `http://192.168.1.1`，從內部登入您的路由器並默默地重寫您的 DNS 設定。

如果我啟用加密 DNS (DoH）在 Chrome 或 Firefox 中，這是否可以保護我電腦上的其他應用程式？¶

啟用安全性 DNS (`DoH`）在 Chrome、Edge、Brave 或 Firefox 中加密並保護**在特定 Web 瀏覽器**內進行的所有 DNS 查找，從而立即阻止基於瀏覽器的網絡釣魚重定向和虛假更新頁面。但是，電腦上的其他背景應用程式（例如電子郵件用戶端、Slack、遊戲或作業系統更新程式）仍然使用作業系統的系統範圍 DNS 解析器，除非您還在作業系統層級配置加密 DNS（透過 Windows 11 Native DoH、Android Private DNS） `DoT`，或簽署的 macOS/iOS 加密 DNS 設定檔）並修復路由器的 WAN/DHCP DNS 設定。

有什麼區別 1.1.1.1 (Cloudflare) 和 9.9.9.9 (Quad9)，我該將哪一個放入路由器中？¶

兩者都是由信譽良好的組織運營的快速、尊重隱私、非跟踪的全球任播 DNS 解析器，其中任何一個都可以保護您免受 ISP 或流氓路由器劫持。標準**`1.1.1.1`** (Cloudflare) 和 **`8.8.8.8`** (Google) 為網路上的每個網域傳回純淨、未經過濾的 DNS 答案。 **`9.9.9.9`**（由非營利組織 Quad9 基金會經營）和 **`1.1.1.2`**（Cloudflare for Families - 惡意軟體攔截）根據已知網路釣魚網站的即時全球威脅情報來源、勒索軟體命令和控制自動交叉檢查每個網域查找（`C2`）伺服器和 infostealer 網域，在惡意頁面載入之前阻止 DNS 層的連線。

相關指南¶

• 保護家庭路由器和物聯網設備的安全
• 公共 Wi-Fi、Evil Twin 熱點和 USB 劫持防禦
• 惡意瀏覽器擴充功能、剪貼簿劫持者和廣告軟體刪除
• 零日漏洞緊急修補和報廢設備隔離
• 網域劫持、DNS過期、網站接管
• 全球緊急電話號碼

來源已檢查¶

• 網路安全與基礎設施安全局 (CISA) 和國家安全局 (NSA)（美國）：網路安全資訊表（選擇保護性 DNS (PDNS) 服務和使用加密 DNS DoH / DoT 在企業和家庭環境中）。
• 網際網路工程任務組 (IETF)（國際）：RFC 7858（傳輸層安全 DNS 規範 DoT），RFC 8484（透過 HTTPS 的 DNS 查詢 DoH）和 RFC 9462（指定解析器的發現 DDR）。
• ICANN 安全與穩定諮詢委員會 (SSAC)（國際）：有關 DNS 基礎設施篡改、路由器 WAN 重新配置和 DNSSEC 驗證的諮詢。
• 國家網路安全中心 (NCSC)（英國）：保護性 DNS 架構和減輕惡意 DHCP 和本地網路欺騙攻擊。