你有没有遇到过这种情况：明明输入的是常去的音乐网站，结果跳出来一堆乱七八糟的广告页面，甚至还有不明链接自动开始下载？尤其是用公共Wi-Fi听歌的时候，突然弹出“音频文件无法播放”，点开却是个赌博网站。这很可能不是网站的问题，而是你的DNS服务器被篡改了。
什么是DNS，它为啥会被盯上
DNS就像是互联网的电话簿，把像 music.example.com 这样的域名翻译成机器能识别的IP地址。一旦这个“电话簿”被人偷偷改了，你打给“周杰伦新歌”的电话，可能就被转接到骗子的录音上了。
家庭路由器、公司网络、甚至运营商层面都可能发生DNS劫持。比如你连上某个免费咖啡馆的Wi-Fi，表面上能听歌，实际上背后的DNS已经被设成了恶意服务器，把你访问的正规音频平台全都重定向到挂马网站。
怎么判断DNS是否被篡改
最简单的办法是用命令行工具查一下当前生效的DNS。在Windows上按 Win+R，输入cmd，然后敲：
ipconfig /all看看输出里的“DNS 服务器”是不是你设置的那几个。如果你设的是114.114.114.114，结果发现冒出来个8.8.8.8以外的陌生IP，就得警惕了。
在Mac或Linux上可以用：
scutil --dns从路由器入手，堵住源头
大多数家庭网络的DNS问题出在路由器上。很多老旧路由器出厂默认会用运营商提供的DNS，而这些设置容易被中间人攻击修改。登录你的路由器后台（通常是192.168.1.1或192.168.0.1），找到“WAN设置”或“网络参数”，把DNS服务器手动改成可信的公共DNS，比如：
- 阿里DNS：223.5.5.5 和 223.6.6.6
- 腾讯DNSPod：119.29.29.29
- 114 DNS：114.114.114.114
保存后重启路由器，确保新设置生效。
设备端也要设好，双重保险
就算路由器设好了，手机或电脑如果用了某些“加速软件”，也可能私自替换DNS。建议在设备网络设置里也固定DNS。比如在Windows的“网络和共享中心”中，进入当前连接的属性，选择IPv4，手动填写首选和备用DNS。
手机上可以考虑使用支持私有DNS的系统功能。Android 9以上可以在“网络设置”里开启“私人DNS”，填入dns.google，这样所有流量都会加密，中间人没法偷看更没法篡改。
启用DNS over HTTPS（DoH）或 DNS over TLS
传统DNS查询是明文传输的，就像寄明信片，谁都能看到内容。DoH和DoT则是把DNS请求加密，相当于寄了个密封包裹。主流浏览器如Firefox和Chrome都支持DoH。
以Firefox为例，在设置中搜索“DNS”，勾选“启用基于HTTPS的DNS”，然后选择Cloudflare或阿里云等可信服务商。这样一来，哪怕网络环境不干净，DNS请求也不会被中途调包。
定期检查，别让问题潜伏
可以每月抽空用手机换个网络测一次。比如在家里用数据流量打开一个常用的音频网站，再切到Wi-Fi打开同样的网站，看加载是否一致。如果Wi-Fi下总跳出奇怪广告，基本就是DNS出问题了。
还有一个小技巧：直接用IP访问知名网站测试。比如知道网易云音乐某个资源的CDN IP（注意不要滥用），用浏览器输入http://IP地址，如果打不开但域名能打开，说明DNS解析层可能被干扰。
别忽视固件更新
很多路由器厂商会发布安全更新来修复DNS劫持漏洞。长期不升级固件的路由器，就像一直开着窗户睡觉，谁路过都能进来翻两下。登录路由器后台看看是否有新版本，有就立刻升级。
特别是那些支持OpenWRT或Padavan系统的高端路由器，社区经常推送针对DNS保护的补丁，及时刷上去能大大降低风险。