国内大量家用路由器遭DNS劫持？实测三步排查修复

上个月帮朋友排查网络卡顿，打开几个常用网站却反复跳出棋牌广告，连手机银行都提示证书异常。我登录路由器后台一看，DNS地址居然被改成了一个陌生的IP——这正是一次典型的DNS劫持。最近国内大量家用路由器遭DNS劫持，大多是因为弱密码或开着远程管理，被恶意脚本批量篡改。

第一步：登录路由器后台检查DNS设置

用电脑或手机连上WiFi，在浏览器输入路由器管理地址（常见是192.168.1.1或192.168.0.1），输入管理员密码进入后台。找到「网络设置」或「WAN口设置」，重点看DNS服务器一栏。正常应该显示运营商自动获取的地址，或114.114.114.114、223.5.5.5这类公共DNS。如果看到一堆不认识的IP，比如8.8.8.8以外的奇怪数字，基本就是被劫持了。我实测的这台路由器，DNS被改成61.160.xx.xx，网页打开慢还夹杂弹窗。

第二步：改掉弱密码并关闭远程管理

DNS被改说明路由器管理权限已经失守。先改管理员密码，别再用admin、123456这类简单组合，建议用大小写字母加数字的十位以上密码。然后到「安全设置」里关闭「远程管理」或「远端WEB管理」，这个功能默认开启的话，外网就能直接访问你的路由器后台，非常危险。我遇到的这台就是开了远程管理，密码还是password，结果被脚本扫到后秒改。

第三步：手动指定可信DNS并重启验证

把WAN口DNS从「自动获取」改为手动，填入阿里DNS 223.5.5.5和腾讯DNS 119.29.29.29，保存后重启路由器。重启完成后，打开几个常用网站看是否还有跳转广告，再访问路由器状态页确认DNS已经是刚才填的地址。我用这个方法修复后，朋友的网络恢复正常，弹窗彻底消失。如果重启后DNS又被改回去，说明路由器固件可能有后门，建议进官网下载最新固件升级，或者干脆恢复出厂重新设置一遍。

日常使用中，每隔一两个月登录路由器后台看一眼DNS和登录设备列表，能提前发现异常。毕竟国内大量家用路由器遭DNS劫持不是小事，轻则弹广告，重则可能被引导到钓鱼网站。

问：怎么判断路由器DNS是否被劫持？

答：最简单的办法是登录路由器后台，查看WAN口或网络设置里的DNS服务器是否被改成不认识的IP。另外，如果打开多个正常网站时频繁跳出无关广告，或者明明没输错网址却跳到其他页面，都可能是DNS被劫持的信号。

问：被劫持后改了DNS还会复发怎么办？

答：说明路由器可能有漏洞或被植入后门。先升级官方最新固件，然后恢复出厂设置，重新配置WiFi和密码。如果还在复发，建议换一台知名品牌的新款路由器，旧型号的已知漏洞较多，容易成为批量攻击目标。

问：路由器DNS尽量用哪个更安全？

答：国内常用的是阿里DNS 223.5.5.5和腾讯DNS 119.29.29.29，都是公共DNS，解析速度快且经过防劫持处理。运营商自动分配的DNS也可以，但部分地区偶尔会出现解析异常，手动指定公共DNS通常更稳。