深夜两点，网站你刷着视频，持原突然弹出一个澳门赌场的网站广告。你以为是持原平台抽风，关掉继续刷。网站可第二天，持原连搜索引擎都打不开了，网站输入什么网址都跳转到同一个垃圾页面。持原别急着骂运营商——你大概率是网站被DNS劫持了。 DNS是持原个电话本，把"baidu.com"翻译成服务器IP地址。网站劫持就是持原有人偷偷改了这本电话本。你拨号打给百度，网站接线员却把你转接到诈骗窝点。持原整个过程你毫无感知，网站因为浏览器地址栏里显示的网址，看起来完全正常。 最常见的劫持发生在路由器上。你家路由器默认密码是admin/admin，隔壁小孩用手机扫一下就知道。他登录进去，在DNS设置里填上自己的服务器地址。从此你家所有设备上网，都要先经过他的"翻译"。他高兴时让你看正常网页，不高兴时把京东换成钓鱼网站。最阴险的是，他连https都能绕过——证书错误提示弹出来，大多数人会习惯性点"继续访问"。 运营商层面的劫持更隐蔽。某些地区宽带服务商为了省流量结算费，会在特定时间段把视频网站的请求导向自家缓存服务器。这还算有良心的。有的直接插入广告代码，你打开任何网页底部都挂着浮层广告。我见过最离谱的案例，有用户投诉网购付款后钱没到账，查了半天才发现运营商劫持了支付页面的跳转链接，钱进了第三方账户。 本地DNS劫持是另一种玩法。黑客往你电脑里塞个恶意软件，修改系统hosts文件。这个文件优先级极高，你访问什么网址，它直接告诉你IP地址，根本不去问DNS服务器。有个朋友中招后，所有社交网站都打不开，唯独能打开一个山寨的登录页面——他输入的账号密码全被记录下来，第二天银行卡就被盗刷了。 检测劫持有个土办法。用手机流量ping一下路由器的DNS服务器地址，再用电脑ping同一个地址。如果结果不一致，说明本地网络被动了手脚。更直接的方式是打开命令行，输入`nslookup baidu.com`，看看返回的IP是不是百度官方的。不是的话，赶紧改路由器密码，把DNS改成114.114.114.114或者8.8.8.8。 防劫持最狠的一招是用DoH（DNS over HTTPS）。浏览器和网站之间直接加密传输域名解析请求，中间人根本看不懂你在问什么。Chrome和Firefox都支持，设置里打开"安全DNS"就行。代价是每次解析多出几十毫秒延迟，但换来的是干净的网络环境。 说到底，DNS劫持就是信任链的崩塌。你信任路由器，路由器被黑了；你信任运营商，运营商搞小动作；你信任操作系统，系统文件被篡改。每次上网都像在走钢丝，谁也不知道哪个环节会突然背叛你。下次网页加载异常时，先别急着骂网站服务器——查查你的DNS，可能它早就叛变了。