DNS 劫持与 DNS 泄漏有什么不同

“DNS”这个词出现在两种完全不同的担忧里。一种是 DNS 泄漏：你的域名查询绕出 VPN，发给了你没选择的解析器。另一种是 DNS 劫持：有人改动了答案，让你输入的名称把你带到错误的地方。人们常常把两者混为一谈，一部分原因是都会用到类似的测试页面和工具，另一部分原因是它们涉及同一项服务。但这是两个问题，成因、症状和处理办法都不一样。

本文把两者直接放在一起比较。内容默认你知道 DNS 的作用是把名称转换为地址（不熟悉的话请先看 DNS 是如何工作的），也不会重复讲完整的泄漏原理，那些在 什么是 DNS 泄漏 里。这里的目的，是帮你判断自己究竟遇到的是哪一种问题，以及 VPN 对它能做什么、不能做什么。

可见性与完整性

记住这个区别的好办法，是借用安全领域的两个词：可见性（visibility）和完整性（integrity）。

• 泄漏是可见性问题。 你得到的答案是正确的，问题在于你没有选择的人可以读到问题。如果 VPN 开着，但对某个网站的查询发给了移动运营商的解析器，运营商就知道你问过该网站。页面仍然正常加载，内容也是正确的。
• 劫持是完整性问题。 可能没有额外的人看到问题，但答案是假的。你输入银行的名称，得到的却是仿冒网站的地址。页面也许看起来对，但它不是真的。这与可见性毫无关系。

两者可以只有其一，也可以同时出现。一个拦截查询的咖啡店网络，既看到了查询（可见性），又可能替换答案（完整性）。一台被悄悄改成使用恶意解析器的家用路由器，即使你根本没用 VPN，也构成劫持。

并排对比

特征	DNS 泄漏	DNS 劫持
受影响的是什么	谁看到你的查询	你收到什么答案
答案正确吗	正确	不正确，被篡改
典型危害	隐私丢失，解析器的所有者能看到浏览记录	假网站、登录信息被盗、不想要的广告、恶意软件下载
典型成因	VPN 或系统把查询发给了错误的解析器	路由器被入侵、恶意或伪造的解析器、恶意软件、网络路径上的篡改
如何察觉	泄漏测试页显示了你没选的解析器	跳转、奇怪的搜索页、证书警告、看起来不对的网站
首要处理	修正 VPN 或 DNS 设置并重新测试	清除成因、重置路由器和凭据、扫描设备
VPN 有帮助吗	有，正常工作时这就是它的职责	部分有帮助，针对本地网络上的篡改

表格里藏着一个细微之处：泄漏可能为劫持创造条件。如果你的查询漏到了恶意网络上的解析器，该网络就可以给出虚假的答案。泄漏之所以重要，是因为它扩大了能看到或改动你流量的各方范围。

劫持究竟是怎么发生的

劫持不是单一手法，而是一类把虚假答案放到你面前的方式。对普通用户来说，主要有以下几种。

1. 路由器设置被改。 家用路由器常常保留默认或很弱的管理密码。如果有人进入，就可以把路由器发给家里所有设备的 DNS 服务器换掉。网络上的一切都会去问攻击者控制的解析器。
2. 设备上的恶意软件。 电脑或手机上的软件可以修改它的 DNS 设置、编辑 hosts 文件，或安装伪造的代理。这样不论连着哪个网络，设备都会把名称发到错误的地方。
3. 伪造的网络。 恶意接入点或被入侵的公共热点，可以自己回答查询，或在设备接入时发放自己的解析器。
4. 路径上的拦截。 普通 DNS 不加密。处在你和解析器之间的任何人（有些网络出于方便或过滤目的也会这么做），都可以在真实答案到达之前发出自己的答案。
5. 解析器缓存被篡改。 缓存投毒是把虚假记录塞进共享解析器。现代解析器能抵御大部分已知手法，对普通用户来说较少见，但确实发生过。
6. 域名被劫持。 攻击者可以接管域名注册商或 DNS 托管处的账号，改变真实名称的指向。这种情况下你自己的设备和网络都没有错，需要由网站所有者来防范。
7. 你没有同意的解析器行为。 有些互联网服务商对“该名称不存在”的回应是一个搜索页或广告页。这不是盗窃，但确实是对答案做了你没有要求的改动。

这些内容对用户而言属于防御性知识：你需要知道该留意什么，而不是怎样去做。

查询被动手脚的迹象

泄漏与劫持的迹象只有少量重叠。典型的劫持迹象包括：

• 知名网站突然出现浏览器的证书警告，提示连接不是私密连接。
• 你用过上百次的页面看起来有点不对劲：版式不同、语言怪异、多出登录提示。
• 在地址栏输入网站名称，出现一个陌生的搜索页或广告页，而不是“找不到网站”。
• 家里好几台设备出现同样的怪现象，说明问题在路由器，而不是某一台设备。
• 路由器的 DNS 设置里列出了你没选的服务器。
• 软件更新或安全页面打不开，或杀毒网站被屏蔽，某些恶意软件会这么做。

泄漏的迹象则安静得多：测试页显示了意料之外的解析器，或者开关 VPN 前后 DNS 测试结果发生变化。网页始终能正常使用。如果你只看到后一类迹象，多半是泄漏而不是劫持。

现在就能做的逐步检查

从最简单的检查开始，由近及远。

1. 查看路由器。 打开它的管理页面，通常在设备标签上印着的私有地址，找到 DNS 或互联网设置。记下列出的 DNS 服务器。如果显示为自动，就是使用服务商的服务器；如果是手动设置，请确认每一个你都认识。
2. 检查设备。 打开网络设置，看 DNS 是否被手动设置过。在电脑上，还要检查系统或浏览器里是否有异常的代理设置。
3. 比对答案。 用两个不同的解析器查询同一个知名名称，例如用 nslookup 工具在网站名称后面指定解析器，看地址是否一致。拥有多个地址的大型网站可能略有差异，要找的是完全不同或指向陌生网络的结果，而不是细小的差别。
4. 换一个网络。 把家里 Wi-Fi 换成移动数据。如果怪现象消失，原因就在第一个网络或路由器上，而不在你的设备上。
5. 试用干净的浏览器配置。 如果是某个浏览器里的扩展或设置造成的，新建的配置文件会表现正常。
6. 检查证书。 在可疑页面上点击锁形图标，阅读证书详情。真正的网站会为自己的名称出示有效证书；不匹配就应当停止。
7. 单独做一次泄漏测试。 如果以上都正常，泄漏测试能告诉你另一类问题，即可见性问题，是否存在。

如果某台设备在任何网络上都表现异常，就把它当作设备问题，先用可信的安全工具扫描，再做其他事。

VPN 对两类问题分别能做什么

VPN 并不能同时治好两者，需要准确说明它覆盖的范围。

对于泄漏： 工作正常的 VPN 会把查询通过隧道发给自己的解析器，因此本地网络和移动运营商不再看到它们，取而代之的是 VPN 运营方能看到。这是一种信任选择，你应当在知情的情况下做出。按照 如何检查你的 VPN 是否正常工作 进行泄漏测试，可以确认它在你的设备上是否真的这样工作。

对于本地网络的劫持： 由于查询在加密隧道里传输，酒店路由器、伪造热点或干扰性的网络无法在途中读取或替换它们。这在共享 Wi-Fi 上是真实的好处，也是人们在那里使用 VPN 的原因之一。更安全地使用公共 Wi-Fi 讲了更完整的情况。

它做不到的事：

• 无法修复被入侵的家用路由器。路由器被改动后，VPN 也许仍能在其上工作，但其他设备使用的设置依然是错的。
• 无法清除在设备本机修改 DNS 设置的恶意软件。
• 无法证明另一端的解析器是诚实的。你只是转移了信任，而不是消除了信任。
• 无法阻止注册商处的域名劫持。
• 无法告诉你某个页面是不是真的。通过正确 DNS 到达的钓鱼网站仍然是钓鱼网站。识别钓鱼网站是另一项独立的技能。

可与 VPN 搭配的其他防护

有几种工具直接针对完整性问题，和 VPN 搭配效果很好。

• HTTPS 与证书。 浏览器会检查你到达的网站能否证明自己拥有该名称。如果 DNS 答案把你带到了仿冒站，证书就对不上，你会看到警告。可以参考 Cloudflare 对 HTTPS 作用的说明，并且不要在熟悉的网站上点击跳过警告。
• 加密 DNS。 DNS over HTTPS（RFC 8484）和 DNS over TLS 会加密你与解析器之间的问题和答案，能挡住简单的路径篡改。它与隧道的比较见 DNS over HTTPS 与 VPN。
• DNS 签名。 DNSSEC 让域名所有者对记录签名，使具备验证能力的解析器可以发现伪造的答案。它保护的是数据，而不是你查询的隐私，并且只有域名和解析器双方都支持时才起作用。
• 路由器卫生。 强且唯一的管理密码、最新固件、关闭远程管理，可以去掉劫持路由器最容易的路径。
• 双重验证。 万一你进了假页面并输入了密码，第二重验证仍能保护账号。

三个场景

登录页面古怪的咖啡店。 蕾娜连上咖啡店的网络，打开银行网站，看到证书警告。她没有继续，改用移动数据后网站正常加载。咖啡店的网络当时在改动或拦截查询。她告诉了店员，并且不再用这个网络做任何敏感的事。

家里的笔记本和古怪的搜索页。 在家里，三台设备在有人输错地址时都开始出现陌生的搜索页。不同设备、同样症状，所以路由器是嫌疑对象。父亲打开路由器管理页，发现了两个不认识的 DNS 服务器。他恢复了服务商的设置，更换了管理密码，更新固件，并逐台检查设备。单台笔记本上的 VPN 只能覆盖那一台，而修好路由器能覆盖所有人。

只是泄漏的泄漏。 凯在手机上用 VPN，运行测试页，结果列出了移动运营商的解析器。网页加载正常，也没有什么异样。这是泄漏，不是劫持：答案是对的，但问题被他不希望的运营商看到了。他在 VPN 和手机中修正了设置，再次测试，只看到 VPN 的解析器。

如果你认为自己被劫持了

1. 停止在该连接上输入密码或银行卡信息。
2. 换到另一个网络，例如移动数据，并从那里检查重要账号。
3. 修改问题期间使用过的账号的密码，先从邮箱和银行开始，并开启双重验证。
4. 重置路由器的 DNS 设置，更换路由器管理密码并更新固件。
5. 扫描每一台设备，删除不认识的浏览器扩展和代理设置。
6. 告知银行或任何你怀疑登录信息可能已暴露的服务。
7. 向被仿冒的机构举报假页面，CISA 关于钓鱼的指引说明了如何举报。

总结

DNS 泄漏让不该看到你问题的一方看到了问题；DNS 劫持则给你一个虚假的答案。泄漏是隐私问题，靠正确的 VPN 和 DNS 设置来修复；劫持是完整性问题，靠清除成因来解决，无论成因是路由器、恶意软件还是恶意网络。运行良好的 VPN 在不可信网络上对两者都有帮助，但它修不好被入侵的路由器，也判断不了网站是否真实。请把 HTTPS 警告、路由器卫生和双重验证一并放进你的工具箱。

如果想从 VPN 这一侧开始测试，可以到下载页面获取免费的 VPNclient 应用，并参考上文的检查指南完成测试。