打开浏览器，劫持输入常用的修复网址，回车——页面却跳到一个满屏广告的劫持陌生站点。刷新几次都一样，修复换设备连同一个Wi-Fi也这样，劫持但用手机流量就正常。修复这种情况，劫持十有八九是修复DNS被劫持了。

DNS的劫持作用是把域名翻译成IP地址。你输入“example.com”，修复它负责告诉你对应的劫持服务器IP在哪里。劫持就是修复有人在这条查询链路上动了手脚，把返回的劫持IP换成了他自己的。你看到的修复页面，其实来自攻击者指定的劫持服务器。

先确认是不是真的被劫持

别急着改设置。打开命令行，Windows按Win+R输入cmd，Mac打开终端，敲：

nslookup www.baidu.com

看返回的IP地址。如果返回的地址明显不对——比如不是百度常见的IP段，或者解析结果指向某个不知名的小机房——那基本可以确定。更直接的办法是用在线DNS检测工具，对比多个公共DNS的解析结果。如果本地解析和8.8.8.8、114.114.114.114的结果不一样，问题就出在本地链路上。

还有一种情况容易被忽略：路由器本身被改了DNS。你电脑上设置没问题，但路由器DHCP下发的DNS地址已经被替换。所有连这个Wi-Fi的设备都会中招。

修复步骤，从简单到彻底

先改电脑的DNS。Windows在网络适配器设置里，找到IPv4属性，手动填入公共DNS。推荐几个靠谱的：阿里DNS 223.5.5.5和223.6.6.6，腾讯DNS 119.29.29.29，或者114.114.114.114。Mac在系统设置-网络-高级-DNS里添加。改完刷新DNS缓存：Windows用ipconfig /flushdns，Mac用sudo dscacheutil -flushcache。

如果改完没用，问题大概率在路由器。登录路由器管理后台，通常地址是192.168.1.1或192.168.0.1。找到WAN口设置或DHCP设置，看DNS字段是不是被改成了陌生IP。改回自动获取或手动填入公共DNS。顺便检查一下路由器固件有没有已知漏洞，该升级就升级。默认管理员密码一定要改，很多劫持就是靠默认密码进来的。

还有个隐蔽的坑：某些恶意软件会改hosts文件。Windows在C:\Windows\System32\drivers\etc\hosts，Mac在/etc/hosts。用记事本或文本编辑器打开，看看有没有奇怪的条目把常用域名指向陌生IP。有的话删掉，保存。

如果以上都没用

考虑运营商层面的劫持。有些地区运营商会插入广告或劫持未注册域名。这种情况个人很难完全解决，但可以启用DNS over HTTPS（DoH）。Firefox和Chrome都支持，在设置里开启“安全DNS”，填入支持DoH的服务地址，比如https://dns.alidns.com/dns-query。这样DNS查询走加密通道，中间人没法篡改。

最后提醒一句：公共Wi-Fi是DNS劫持的重灾区。连上陌生Wi-Fi后，如果发现网页跳转异常，先别输入任何账号密码。切到手机热点确认一下，能省很多麻烦。