路由器 DNS 劫持、恶意 DHCP 服务器和加密 DNS (DoH/DoT) 恢复¶

每次您输入类似的网站地址时 chase.com, google.com, 或 apple.com 在您的浏览器中，您的设备会询问 域名系统 (DNS) 解析器 将人类可读的名称转换为数字 IP 地址 (142.250.190.46）。如果攻击者悄悄更改您的家庭或办公室 Wi-Fi 路由器内的主要和辅助 DNS 服务器设置，则会在您的本地网络上启动流氓 DHCP 服务器，修改您计算机的隐藏 hosts 文件，或拦截您在酒店或机场网络上的查询，他们控制您互联网的电话簿。即使您在地址栏中输入准确且拼写正确的银行、电子邮件提供商或软件更新服务器的 URL，被劫持的 DNS 服务器（DNSChanger, ghostDNS, ZuoRAT，或本地人 dnsmasq spoofer）可以将您的连接路由到恶意的相似服务器，阻止您的防病毒软件下载威胁定义，或显示安装信息窃取木马的虚假“路由器固件更新/Chrome 关键更新”弹出窗口。

不要忽视突然的NET::ERR_CERT_AUTHORITY_INVALID 警告、您自己的家庭 Wi-Fi 上意外的“登录 Wi-Fi 网络”强制门户弹出窗口，或访问主要网站时的浏览器重定向。通过将当前分配的 DNS 服务器返回的内容与受信任的加密解析器进行比较（1.1.1.1, 8.8.8.8, 或 9.9.9.9），审核路由器的 WAN 和 DHCP 设置，刷新中毒的操作系统和浏览器 DNS 缓存，并启用 DNS-over-HTTPS（DoH) 或 DNS-over-TLS (DoT)，您可以在 10 分钟内消除 DNS 劫持。

现在就这样做¶

1. 切勿点击 Advanced -> Proceed to [website] (unsafe) 如果您的浏览器突然显示 NET::ERR_CERT_AUTHORITY_INVALID 或 MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT 主要银行、电子邮件或云网站上发出警告。 现代 HTTPS (TLS 1.3) 和 HTTP 严格传输安全 (HSTS）是您的 DNS 被劫持时的最后一道防线：被劫持的 DNS 服务器将您的浏览器定向到攻击者的 IP 地址，而您的浏览器发现了谎言，因为攻击者的服务器不持有 Google 或 Chase 的真正加密私钥。单击“仍然继续”会将您的密码和会话 cookie 直接交给攻击者。
2. 切勿下载或运行 "Browser Update.exe / .dmg" 或者在家庭或办公室 Wi-Fi 上突然出现的弹出窗口中输入您的 Wi-Fi WPA2/WPA3 密码。 当路由器劫持恶意软件时 (ghostDNS, Roaming Mantis）将路由器的 WAN/DHCP DNS 服务器更改为犯罪 IP 地址，其第一个策略是将每个 HTTP 页面加载重定向到虚假 “您的 Google Chrome / Safari / 路由器固件已过时” 页面或虚假 ISP 登录门户。
3. 跑10秒 nslookup 或 dig 现在在您的终端中进行比较测试，看看您当前的 DNS 服务器是否对您撒谎。 打开命令提示符或终端并进行比较 nslookup google.com （使用您当前分配的路由器/操作系统 DNS 服务器） nslookup google.com 1.1.1.1 （直接查询 Cloudflare）。如果您的默认 DNS 服务器是位于您从未配置过的另一个国家/地区的奇怪公共 IP 地址，或者为银行/防病毒域返回完全不同的虚假 IP，则您的 DNS 被劫持。
4. **暂时将您设备的 DNS 设置覆盖为加密 DNS (DoH / DoT 上 1.1.1.1, 9.9.9.9, 或 8.8.8.8）在登录路由器或重置密码之前。**因为 DNS-over-HTTPS (DoH) 将所有域查找发送到加密的 TLS Port 443 通过隧道直接连接到 Cloudflare、Quad9 或 Google，在浏览器或操作系统内打开 DoH 会立即使被劫持的路由器或流氓 ISP 解析器失明，以便您可以安全地访问真实网站并清理您的网络。
5. 通过有线以太网电缆登录您的家庭/办公室路由器（192.168.1.1 或 192.168.0.1），检查两个 WAN / Internet DNS 和 LAN DHCP Server DNS 字段，如果其中一个包含不熟悉的公共 IP 地址，请执行硬件 30-second Pin-Hole Factory Reset 立即。 更改路由器 DNS 设置的恶意软件几乎总是通过暴露的 ** 进入Remote Web Management (WAN Admin)** 端口，一个 UPnP （通用即插即用） 端口转发规则，或默认值 admin/admin 密码（参见 保护家庭路由器和物联网设备的安全）。
6. 检查您计算机的本地 hosts 文件和代理/PAC 设置（C:\Windows\System32\drivers\etc\hosts 在 Windows 或 /etc/hosts 在 macOS/Linux 上）并刷新操作系统 DNS 缓存。 即使您的路由器 100% 干净，单台 PC 或 Mac 上的本地广告软件或特洛伊木马也可以通过将 IP 重定向注入本地来覆盖 DNS 解析。 hosts 文件或设置流氓自动代理配置（PAC) Windows Internet 选项中的 URL。

flowchart TD
    A["疑似 DNS 劫持：证书警告、虚假更新弹出窗口或错误站点加载"] --> B["1. 立即在浏览器/操作系统中启用加密 DNS (DoH) 以绕过中毒的解析器"]
    B --> C["2. 运行终端诊断：比较“nslookup example.com”与“nslookup example.com 1.1.1.1”"]
    C --> D{"Wi-Fi 上的所有设备都会受到影响，还是只有一台特定的计算机/手机受到影响？"}
    D -->|"所有连接 Wi-Fi 的设备都会受到影响"| E["LAN 上的路由器 WAN/DHCP 劫持或恶意 DHCP 服务器"]
    E --> F["检查默认网关和 DHCP 服务器 IP ('ipconfig /all')。如果不熟悉 MAC/IP -> 隔离恶意设备"]
    E --> G["硬件出厂重置路由器 -> 更新固件 -> 禁用 WAN 管理和 UPnP -> 将路由器 DNS 设置为 1.1.1.1 / 9.9.9.9"]
    D -->|"只有一台电脑或手机受到影响"| H["本地设备劫持：检查网络适配器静态 DNS、主机文件、代理/PAC 脚本和浏览器扩展"]
    H --> I["清理“/etc/hosts”或“C:\\Windows\\System32\\drivers\\etc\\hosts”，删除恶意根证书，并刷新 DNS 缓存"]

诊断矩阵：DNS 和网络路由被劫持的 5 层¶

当域名解析到错误的服务器时，劫持就发生在解析链中五个不同技术层之一。使用此表来查明哪一层受到损害：

第 1 阶段：60 秒命令行 DNS 和 DHCP 取证审核¶

在重置任何内容之前，请在计算机上打开终端并运行这些精确的只读命令来捕获计算机当前使用的 DNS 服务器和 DHCP 服务器的证据。

1.Windows 10 和 Windows 11（Command Prompt 或 PowerShell）¶

# 1. Inspect your active Default Gateway, DHCP Server IP, and configured DNS Servers:
ipconfig /all

# 2. Check if any non-commented IP redirect lines exist in your local Windows hosts file:
findstr /V "^#" "%SystemRoot%\System32\drivers\etc\hosts" | findstr /V "^$"

# 3. Check if a rogue Proxy Server or Automatic Configuration Script (PAC) is hijacking browser traffic:
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL

# 4. Compare what your current default DNS server returns vs. Quad9 (9.9.9.9) and Cloudflare (1.1.1.1):
nslookup www.microsoft.com
nslookup www.microsoft.com 9.9.9.9

• 如何读取步骤 1 的输出（ipconfig /all):
• 看看DNS Servers。通常，这显示您的家庭路由器的专用 LAN IP (192.168.1.1, 192.168.0.1, 10.0.0.1），你故意设置的一个著名的公共解析器（1.1.1.1, 1.0.0.1, 8.8.8.8, 8.8.4.4, 9.9.9.9, 208.67.222.222），或您的正版宽带 ISP 的区域 DNS 服务器（在 ** 验证任何不熟悉的 IP）https://bgp.he.net** 或 whois：如果 IP 属于另一个国家/地区的防弹 VPS 托管提供商而不是您的 ISP，则您的 DNS 已中毒）。
• 看看DHCP Server 与 Default Gateway。在 99% 的家庭网络上， DHCP Server 知识产权和 Default Gateway IP 必须相同（例如，两者 192.168.1.1）。如果它们不同（并且您没有亲自构建 Pi-hole 或 Windows Server 域控制器），则您的本地网络上存在恶意 DHCP 服务器。

2.macOS 和 Linux（Terminal）¶

# 1. On macOS: Display all active DNS resolvers, search domains, and interface bindings:
scutil --dns | grep -E "nameserver|domain|interface"

#    On Linux (systemd-resolved / NetworkManager):
resolvectl status

# 2. Inspect the local /etc/hosts file for unauthorized redirects (anything other than 127.0.0.1 localhost / ::1):
grep -v '^#' /etc/hosts | grep -v '^$'

# 3. On macOS: Check if a malicious Web Proxy or PAC Auto-Config script is enabled on Wi-Fi:
networksetup -getwebproxy Wi-Fi
networksetup -getsecurewebproxy Wi-Fi
networksetup -getautoproxyurl Wi-Fi

# 4. Compare DNS answers and check DNSSEC authentication (ad flag) using dig:
dig www.google.com
dig @1.1.1.1 www.google.com +dnssec

3. 追捕并隔离本地网络上的恶意 DHCP 服务器¶

如果 ipconfig /all （或 ip route / networksetup -getinfo Wi-Fi）表明您的计算机从一个不熟悉的本地 IP 地址接收了 IP 租约和 DNS 设置，例如 192.168.1.142 而不是你真正的路由器（192.168.1.1）？ 1. 立即识别硬件MAC地址（Physical Address) 以及恶意设备的制造商 (192.168.1.142）通过检查你的 ARP 表：

# On Windows, macOS, or Linux, display the hardware MAC address mapped to the rogue DHCP IP:
arp -a

第 2 阶段：逐步根除路由器 WAN/DHCP 劫持¶

如果您在第 1 阶段的审核证明您的 Wi-Fi 路由器正在分发恶意 DNS 地址（或者您的路由器的内部 WAN DNS 已被修改），只需登录路由器并输入 1.1.1.1 放回盒子里不够。您必须首先关闭允许攻击者进入您的路由器的漏洞：

步骤 1：在路由器上执行 30 秒硬件恢复出厂设置¶

为什么要完全恢复出厂设置而不是仅编辑 DNS 字段？因为路由器恶意软件（ZuoRAT, VPNFilter, Cyclops Blink, Mirai 变体）经常添加隐藏 iptables NAT 重定向规则（REDIRECT --to-ports 53），安装一个持久的 cron 作业 /tmp 或 NVRAM，或启用隐藏的远程 SSH/Telnet 管理帐户。 1. 断开路由器的 WAN / Internet 以太网电缆（来自光纤 ONT 或电缆调制解调器的电缆），以便攻击者在您配置路由器时无法重新连接。 2. 路由器通电后，用回形针按住路由器背面凹进的重置针孔按钮15 到 30 秒，直到所有前面板 LED 同时闪烁。 3. 等待 3 分钟，让路由器重新启动进入干净的出厂状态，然后通过以太网电缆（或工厂 Wi-Fi 贴纸凭据）连接干净的计算机并登录 192.168.1.1 （或 192.168.0.1）。

第 2 步：锁定攻击者用来劫持 DNS 的 5 个路由器设置¶

在重新插入 WAN/Internet 电缆之前，请在路由器的管理控制台中配置这五项强制设置（请参阅我们的完整指南） 保护家庭路由器和物联网设备的安全 对于深度硬化）： 1. 设置唯一的 16 个以上字符的路由器管理密码（与您的 Wi-Fi 密码不同）： 切勿将路由器管理登录名保留为 admin / admin 或 admin / password。当您在浏览器中加载恶意横幅广告时，网络上的每个 CSRF DNS 劫持漏洞利用工具包都会自动猜测默认凭据。 2. 验证 Remote Management / WAN Administration 是严格的 DISABLED: 看下面 Advanced -> Administration -> Remote Management 并确保公共互联网上的任何人都无法从 WAN 端访问路由器的登录页面或 SSH/Telnet 端口。 3. 禁用 UPnP （通用即插即用）： 下 Advanced -> UPnP （或 NAT Forwarding -> UPnP），关闭 UPnP 关闭。您家中任何设备上的恶意软件都使用 UPnP (IGD SOAP 请求）以静默方式命令您的路由器打开端口或更改 WAN 转发规则，无需密码。 4. 路由器上的硬编码可信、阻止恶意软件的 DNS 服务器（IPv4 和 IPv6）： 转到 Internet / WAN 设置 -> DNS 服务器（和 LAN -> DHCP 服务器），然后从 从 ISP 自动获取 切换到 使用这些 DNS 服务器： * Cloudflare (1.1.1.1 for Families - Malware Blocking): 主 IPv4: 1.1.1.2 |辅助 IPv4： 1.0.0.2 （或标准未过滤 1.1.1.1 / 1.0.0.1）。 IPv6： 2606:4700:4700::1112 和 2606:4700:4700::1002。 * 四人9（Malware & Phishing Blocking + DNSSEC): 主 IPv4: 9.9.9.9 |辅助 IPv4： 149.112.112.112。 IPv6： 2620:fe::fe 和 2620:fe::9。 * Google 公共 DNS： 主要 IPv4： 8.8.8.8 |辅助 IPv4： 8.8.4.4。 IPv6： 2001:4860:4860::8888 和 2001:4860:4860::8844。 5. 重新连接 WAN 电缆并立即安装最新的路由器固件更新： 如果您的路由器型号已超过其制造商的期限 寿命终止 (EoL) 日期并且不再接收安全补丁（请参阅 零日漏洞紧急修补和报废设备隔离），立即更换路由器硬件，以便明天无法重新利用已知的未打补丁的 CVE。

第 3 阶段：清理中毒的本地计算机（Hosts 文件、适配器 DNS 和缓存刷新）¶

确保路由器安全后（或者如果只有一台计算机被劫持），请运行以下命令来重置本地计算机的网络堆栈并刷新每个缓存的中毒 DNS 记录：

1. Windows 10 / 11 完整的 DNS、Hosts、Winsock 和浏览器缓存重置¶

以管理员身份打开 命令提示符 (Win + X -> Terminal (Admin) / Command Prompt (Admin)）并运行：

:: 1. Reset all network adapters back to automatic DHCP DNS (removes static Trojan DNS overrides):
powershell -Command "Get-NetAdapter | Where-Object {$_.Status -eq 'Up'} | Set-DnsClientServerAddress -ResetServerAddresses"

:: 2. Disable any rogue Windows Registry Proxy or PAC AutoConfig script:
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 0 /f
reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL /f 2>nul

:: 3. Flush the Windows OS DNS Resolver Cache, Winsock Catalog, and NetBIOS table:
ipconfig /flushdns
nbtstat -R
netsh winsock reset
netsh int ip reset

• 如果您的 C:\Windows\System32\drivers\etc\hosts 文件包含未经授权的重定向行： 以管理员身份打开 记事本，打开 C:\Windows\System32\drivers\etc\hosts，删除所有非注释行（干净的默认 Windows hosts 文件有零活动未注释行，并且每个注释行以 #），保存文件，然后运行 ipconfig /flushdns。
• 检查是否存在恶意根证书（certmgr.msc): 如果攻击者或本地恶意软件还安装了伪造的根证书颁发机构 (CA）到您的计算机上，以便他们可以拦截 HTTPS 流量而不触发浏览器警告，请按 Win + R，输入certmgr.msc，展开 受信任的根证书颁发机构 -> 证书，排序依据 Issued By 或 Expiration Date，并删除任何您不认识的不熟悉的自签名根证书。

2. macOS & Linux 完成 DNS 重置和缓存刷新¶

# On macOS: Clear any static DNS overrides on Wi-Fi (reverts to DHCP) and flush mDNSResponder cache:
sudo networksetup -setdnsservers Wi-Fi Empty
sudo networksetup -setautoproxystate Wi-Fi off
sudo networksetup -setwebproxystate Wi-Fi off
sudo networksetup -setsecurewebproxystate Wi-Fi off
sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder

# On Linux (Ubuntu / Debian / Fedora with systemd-resolved):
sudo resolvectl flush-caches

3. 刷新 Web 浏览器的内部套接字和 DNS 缓存 (Chrome, Edge, Brave, Firefox）¶

关键陷阱： 现代 Web 浏览器维护其 自己独立的内部 DNS 缓存和开放 TCP 套接字池 完全独立于 ipconfig /flushdns。即使在修复路由器并运行之后 ipconfig /flushdns，Chrome 或 Edge 可以继续将您发送到攻击者的 IP 15 分钟，直到您清除浏览器的内部缓存： 1. 在 Chrome、Edge 或 Brave 中： * 类型chrome://net-internals/#dns（或 edge://net-internals/#dns) 进入地址栏并单击 Clear host cache。 * 立即点击Sockets 在左侧边栏中 (chrome://net-internals/#sockets）并点击Flush socket pools（这会杀死仍然对攻击者的 IP 打开的任何活动的持久 HTTP/2 或 QUIC 连接）。 2. 在 Mozilla Firefox 中： * 类型about:networking#dns 进入地址栏并单击 Clear DNS Cache。 3. 在 Apple Safari（macOS 和 iOS）中： * 在 macOS 上，打开 Safari -> 设置 -> 高级，选中 Show features for web developers，然后单击Develop -> Empty Caches（Opt + Cmd + E），然后退出并重新启动 Safari。 * 在 iPhone 或 iPad 上，打开 飞行模式 5 秒，然后关闭，这会强制 iOS mDNSResponder 立即清除整个易失性 DNS 缓存，而不删除您保存的网站登录信息。

第 4 阶段：启用加密 DNS (DoH / DoT）这样路由器、酒店或 ISP 就无法再次劫持您的 DNS¶

为什么传统的DNS（UDP Port 53）对于受感染的家庭路由器、咖啡店 Wi-Fi 或 ISP 来说如此容易监视和劫持？因为标准DNS是在1983年设计的（RFC 882）零加密和零身份验证：每个查询都以纯文本形式通过网络传输，路径上的任何设备都可以在不到一毫秒的时间内伪造一个虚假的 UDP 回复（DNS Spoofing）。

通过启用 DNS-over-HTTPS (DoH, RFC 8484) 或 DNS-over-TLS (DoT, RFC 7858)，您的设备将每个 DNS 查询包装在经过加密验证的内部 TLS 1.3 直接通过隧道连接到受信任的解析器（Cloudflare 1.1.1.1, Quad9 9.9.9.9, Google 8.8.8.8, 或 NextDNS）。如果恶意路由器或酒店 Wi-Fi 尝试更改回复，TLS 签名就会失败，您的设备会立即拒绝伪造。

如何启用加密 DNS (DoH / DoT) 60 秒内跨所有设备¶

常见问题¶

为什么我的浏览器显示 NET::ERR_CERT_AUTHORITY_INVALID 上 google.com 或者当我的路由器的 DNS 被劫持时我的银行？¶

该浏览器错误实际上使您免于帐户被盗。当攻击者劫持您的路由器的 DNS 设置时，他们会更改 IP 地址 `www.yourbank.com` 因此您的计算机连接到攻击者的网络服务器而不是您真正的银行。但是，当您的浏览器启动加密的 HTTPS (`TLS`）与攻击者的服务器握手时，攻击者的服务器无法生成由受信任的证书颁发机构加密签名的有效数字 TLS 证书 `yourbank.com`。您的浏览器立即停止连接并显示 `NET::ERR_CERT_AUTHORITY_INVALID`。只要您永远不要单击“仍然继续”并且永远不要安装流氓根证书（`CA`）到您的设备上，仅 DNS 劫持无法解密或欺骗受 HSTS 保护的 HTTPS 网站。

黑客如何在不知道我的 Wi-Fi 密码的情况下更改我的家庭 Wi-Fi 路由器内的 DNS 设置？¶

攻击者无需位于您房屋的 Wi-Fi 范围内即可更改路由器的 DNS 设置。他们使用两种远程方法：第一，自动化机器人（`Shodan` / `Censys` 扫描仪和僵尸网络）扫描互联网上的每个公共 IP 地址，寻找具有 **远程 Web 管理（`WAN Admin`)** 或 **`UPnP`** 因已知固件漏洞而保持开放状态。其次，即使 WAN Admin 关闭，如果您将路由器的内部管理密码保留为出厂默认值（`admin / admin` 或 `admin / password`），点击笔记本电脑上的恶意广告或网站会允许浏览器中隐藏的 JavaScript 发送 **跨站请求伪造 (`CSRF`)** 或 **DNS 重新绑定** 直接从您的笔记本电脑请求 `http://192.168.1.1`，从内部登录您的路由器并默默地重写您的 DNS 设置。

如果我启用加密 DNS (DoH）在 Chrome 或 Firefox 中，这是否可以保护我计算机上的其他应用程序？¶

启用安全 DNS (`DoH`）在 Chrome、Edge、Brave 或 Firefox 中加密并保护**在特定 Web 浏览器**内进行的所有 DNS 查找，从而立即阻止基于浏览器的网络钓鱼重定向和虚假更新页面。但是，计算机上的其他后台应用程序（例如电子邮件客户端、Slack、游戏或操作系统更新程序）仍然使用操作系统的系统范围 DNS 解析器，除非您还在操作系统级别配置加密 DNS（通过 Windows 11 Native DoH、Android Private DNS） `DoT`，或签名的 macOS/iOS 加密 DNS 配置文件）并修复路由器的 WAN/DHCP DNS 设置。

有什么区别 1.1.1.1 (Cloudflare) 和 9.9.9.9 (Quad9)，我应该将哪一个放入路由器中？¶

两者都是由信誉良好的组织运营的快速、尊重隐私、非跟踪的全球任播 DNS 解析器，其中任何一个都可以保护您免受 ISP 或流氓路由器劫持。标准**`1.1.1.1`** (Cloudflare) 和 **`8.8.8.8`** (Google) 为互联网上的每个域返回纯净、未经过滤的 DNS 答案。 **`9.9.9.9`**（由非营利性 Quad9 基金会运营）和 **`1.1.1.2`**（Cloudflare for Families - 恶意软件拦截）根据已知网络钓鱼网站的实时全球威胁情报源、勒索软件命令和控制自动交叉检查每个域查找（`C2`）服务器和 infostealer 域，在恶意页面加载之前阻止 DNS 层的连接。

相关指南¶

• 保护家庭路由器和物联网设备的安全
• 公共 Wi-Fi、Evil Twin 热点和 USB 劫持防御
• 恶意浏览器扩展、剪贴板劫持者和广告软件删除
• 零日漏洞紧急修补和报废设备隔离
• 域名劫持、DNS过期、网站接管
• 全球紧急电话号码

来源已检查¶

• 网络安全和基础设施安全局 (CISA) 和国家安全局 (NSA)（美国）：网络安全信息表（选择保护性 DNS (PDNS) 服务和使用加密 DNS DoH / DoT 在企业和家庭环境中）。
• 互联网工程任务组 (IETF)（国际）：RFC 7858（传输层安全 DNS 规范 DoT），RFC 8484（通过 HTTPS 的 DNS 查询 DoH）和 RFC 9462（指定解析器的发现 DDR）。
• ICANN 安全与稳定咨询委员会 (SSAC)（国际）：有关 DNS 基础设施篡改、路由器 WAN 重新配置和 DNSSEC 验证的咨询。
• 国家网络安全中心 (NCSC)（英国）：保护性 DNS 架构和减轻恶意 DHCP 和本地网络欺骗攻击。