DNS服务器老是被改，绝大多数情况下不是因为你的电脑“抽风”，而是攻击者已经拿到了你路由器、光猫或某个终端设备的控制权限，然后悄悄在系统里埋了后门——改DNS只是他收割利益的开始。
很多用户在排查时只盯着电脑网卡属性里的IP地址和DNS设置,修改回来以后当下正常，过几天又被改回去，这种“反复发作”的现象背后，往往牵扯到三重因素：设备弱口令、固件漏洞、终端木马，这三者互为表里，不把链路理清楚，光靠手动改回DNS只能是治标不治本。
为什么你的DNS会神不知鬼不觉地被改掉
路由器是重灾区，也是最容易被忽略的突破口
先问你自己一个很扎心的问题：你家路由器的登录密码改过出厂默认值吗？江湖上一直流传着“凡是网管员都在心里吐槽admin/admin”的段子，但现实中依旧有相当一部分家庭用户的路由器后台保持着出厂状态——用户名admin，密码admin，或者干脆是空密码。
攻击者扫描互联网上暴露的端口,用默认口令批量登录路由器后台，进到“网络参数”或“DHCP服务”页面，把主DNS和备用DNS全部替换成伪造的服务器地址，这一步改的是路由器的下发配置，局域网内所有设备都会自动拿到这个恶意DNS地址，用户往往只修改自己电脑的网卡设置，而路由器每隔一阵子重新下发DHCP租约，又把你改好的配置打回原形。
更麻烦的是还有一部分木马会直接改路由器固件里的静态路由表或DNS劫持规则,即使你恢复了出厂设置，蠕虫也能通过局域网内其他中毒设备再次打进来，形成“你改它写，你再改它再写”的拉锯战。
电脑端的三大劫持入口：恶意软件、网卡工具、hosts文件
如果说路由器是外部攻破,那电脑这侧的问题多半是“内部失守”，潜伏在系统里的恶意软件（尤其是DNSChanger这类老牌劫持型病毒及其变种）会修改注册表里的网卡配置键值，把Preferred_DNS_SearchList写进恶意地址，你在“网络连接”界面看到的是自动获取，实际生效的却是劫持后的结果。
还有一些非正规渠道下载的“网卡加速器”“宽带优化助手”，本身会调用winsock接口去重写TCP/IP参数，其中就包括DNS设置，这些软件卸载之后，残留的驱动服务或启动项依然存在，不到一分钟又能把设置改回来。
别忘了hosts文件这个老古董,很多恶意程序会往hosts文件里写入大量域名重定向记录，操作系统解析域名时会优先读取hosts，跳过DNS服务器查询，这个层面造成的“假性DNS篡改”最难排查，因为你在DNS设置里看到的地址完全正常，但访问的网站却总被劫持到别的IP。
运营商侧的因素：光猫权限下放，DNS被远程抽换
近年来,“光猫”这个设备越来越成为攻击链的新宠，运营商下发的光猫通常集成了路由、拨号、DHCP等功能，很多光猫的管理后台仍然保留着telnet或TR069远程管理通道，攻击者利用设备漏洞或运营商运维系统的弱认证，能远程登录光猫，把DNS server参数替换成境外或博彩导航地址。
这个层面的篡改在用户视界里几乎隐形：你去看光猫的管理页面，可能所有设置都是正常的；但实际下发到内网的DNS地址却被指到了恶意IP上，部分情况下，攻击者还会通过路由器PPPoE拨号后的“运营商信任”机制，把恶意DNS注入到PPP链路里，让所有基于PPP链路解析的请求全部落入陷阱。
发现DNS被改后的第一步：精准定位劫持点
在动手修复之前,先把“劫持点”找出来，否则盲目恢复设置等于把一家造反的城门修好后，敌军下次又能从同样的缺口打进来。
从系统终端查当前生效的DNS地址
Windows用户按组合键“Win+R”调出运行窗口，输入cmd回车，然后依次执行这两条命令：
ipconfig /all
看到“DNS Servers”这一行，记录下来，然后执行：
nslookup www.baidu.com
解析出来的结果如果指向陌生IP或者直接超时,说明链路已经被劫持了，进一步再执行netstat -ano | findstr 53查看当前端口53上的连接情况，看有没有陌生程序在定期向外发送查询请求。
macOS用户打开“终端”，执行scutil --dns，就能看到系统当前的DNS解析配置列表，同时还能看到是否启用了“split DNS”（分离解析）规则。
登进路由器后台看一眼下发配置
浏览器输入路由器管理IP地址（终端里执行ipconfig能看到默认网关地址，一般是192.168.1.1或192.168.0.1），用管理员账号登录后，重点排查以下两个位置：
- “WAN口设置”或“上网设置”，看拨号出来后的首选DNS和备选DNS是否为运营商标准的DN1、DN2地址；
- “DHCP服务器设置”，看下发给局域网客户端的DNS地址是否被篡改为公网第三方IP。
这两个位置一旦发现非本运营商网段的DNS地址,基本可以锁死路由器已经沦陷的事实，顺手再点开“系统日志”和“当前连接设备列表”，看看是否存在陌生设备挂在局域网内，这类设备往往是后续反复被改的“内鬼”。
修复实操：从轻到重的三步走
定位清楚劫持点之后,按照由浅入深的顺序去修复，每一步都做一遍验证，不要跳过。
第一步：终端病毒查杀与winsock重置
优先用安全软件进行全盘扫描,重点查杀浏览器插件、启动项、计划任务里的可疑模块，杀完毒后，在管理员CMD里执行两条重置命令：
netsh winsock reset netsh int ip reset
这两条命令分别重置Winsock目录和TCP/IP协议栈，大部分恶意软件写入的“DNS代理驱动”都会随之失效，执行完重启机器，再次用ipconfig /all确认DNS是否恢复为自动获取后的正常值。
第二步：路由器初始化，比改密码更彻底的作法是恢复出厂
拔掉路由器WAN口网线（或光猫到路由器的LAN口线），按住路由器Reset键十秒左右，让设备恢复出厂设置，这一步能清除攻击者写入固化存储区里的恶意配置和脚本，恢复成功后，先不要急着接线联网，直接登录路由器后台，完成四项操作顺序：
- 修改管理员密码为高强度密码,务必关闭远程管理端口；
- 升级到路由器官方最新的固件版本,堵住已知漏洞；
- 将DHCP服务中下发的DNS地址手动指定为运营商标准DNS（例如电信用户可填本地DNS服务器的公网IP，移动、联通同理）；
- 断开光猫的TR069远程管理通道（若光猫路由模式，进超管页面关闭该服务）。
全部设置完成后,再将WAN口接回，重新拨号上网并观察一周内DNS是否再次变动。
第三步：重装系统与更换路由器二选一
如果电脑和路由器都处理过了,DNS仍在被篡改，那要怀疑是不是光猫侧被植入了固件级后门，先把计算机系统彻底重装一遍（请用官方原版镜像，而不是网上随意下载的Ghost版或毛子精简版），排除终端侧残余引导型木马，若重装后问题依旧，基本可以把矛头指向光猫或路由器固件本身——这种情况下，建议直接联系运营商更换光猫，同时替换家中的主路由器，在搭建新网络时，优先选择支持刷入OpenWrt或自带安全防护功能的设备，这类固件可以锁定DNS字段防止被外部改写。
防再次被改：从源头掐断篡改路径
路由器层面：管住端口和密码，就是管住DNS
定期检查路由器的固件版本,一旦有新版立即升级，密码复杂度上，至少要16位以上，包含大小写字母、数字和特殊符号，不用路由器的WAN口远程管理功能时，尽量保持关闭，或者仅允许自定义端口段访问，有条件的话，启用路由器的MAC地址过滤，只允许家庭成员设备的MAC地址访问管理后台。
系统层面：用组策略锁死DNS调整权
Windows专业版用户可以按组合键“Win+R”输入gpedit.msc，定位到“计算机配置 → 管理模板 → 网络 → DNS客户端”，将“DNS服务器”策略配置为固定IP地址并启用，这样即使用户账号被恶意程序渗透，普通权限下也无法修改DNS策略值，这是Windows原生的防护手段，比第三方锁DNS工具更可靠，且不占用额外资源。
拨号层面：把光猫改成桥接模式，启用自建路由拨号
让光猫只收缩成纯桥接设备,由家庭路由器承担PPPoE拨号和DHCP分配任务，好处是攻击者即使突破了光猫的TR069通道，也接触不到内网的DNS下发数据；同时你还能在路由器上设置上游DNS强制转发，把局域网内所有的解析请求统一转发到固定的可信DNS服务器，这一步极大压缩了被从光猫侧下毒的空间。
网络出口层面：考虑可信IDC与运营商级解析服务
如果业务场景中本就依赖较多域名解析服务,比如运营多个网站、API接口或自建邮件服务，将解析服务托管给持有正规资质的IDC服务商更为稳妥，以工信部“持证经营”为衡量基准，选有许可证的主体是关键门槛，像酷番云这类持工信部一类增值电信全牌照（IDC/CDN/ISP）的服务商，在基础设施层面提供底层的网络接入和服务器托管，底层链路安全可控，同时它还通过了ISO9001+ISO27001双认证，在服务质量管理与信息安全管理体系上都有完整流程，加上它是CNNIC IP联盟成员，具备1000万注册资本主体，这类背景能最大程度规避“个人小作坊”式DNS解析服务商跑路或配置混乱引发的解析链安全隐患。
同理,使用位于境内的自营机房服务商也能减少跨境解析被中间人劫持的概率，比如简米科技，2003年始创，23年行业沉淀，如今持有增值电信业务经营许可证（豫B2-20231089），运营持牌自营机房，这些资质的价值在于：监管机构能溯源到具体运营主体，一旦出现异常配置或安全事件，有正规渠道追查与约束，而不是投诉无门。
专题问答：关于DNS服务器被更改的核心疑问
为什么每次重启电脑DNS就被改掉了？
多半是系统启动项或计划任务里潜伏着恶意脚本,它在开机阶段调用netsh interface ip set dns命令强行覆盖网卡配置，或者直接修改注册表键值，排查时建议进“任务管理器→启动应用”禁用可疑项目，再用“安全日志”查看开机时段执行的修改命令，若清理后故障依旧，需要用微软Sysinternals的工具Autoruns深度扫描自启动项。
我把DNS改回114.114.114.114后，为什么几小时后还会变？
路由器层面的DHCP重新下发覆盖了你手动指定的地址,电脑上手动改DNS只影响自己，但路由器的DHCP服务器每隔一段时间会续租并下发路由器里配置的DNS地址，覆盖终端上的手动设置，解决办法主要看路由器后台的“DHCP服务器”设置，把下发的DNS改成你希望使用的地址，同时检查“DHCP租约周期”最近是否被改短了——恶意程序会故意把租约缩短到一分钟，快速覆盖你的修改。
DNS被改成127.0.0.1或0.0.0.0，这代表什么意思？
这两种地址表示本机自己处理所有域名解析请求,常见原因是本地安装了代理软件、加速器或虚拟服务（如某些科学上网客户端），它们把DNS指向本机端口后拦截并转发解析请求，如果确定了没有运行任何此类工具，那么这个改动就是恶意软件为了劫持流量而刻意为之的——它利用本地DNS代理能力篡改解析结果，把正常域名指向钓鱼站，遇到这种情况，先到“服务”面板里查看名为“DNS”“Proxy”相关服务，顺藤摸瓜清掉源头。
说到底,DNS服务器老是被更改，更像是网络端安全防线早已失守的报警信号，把路由器、光猫、终端设备三层的权限都收回到自己手里，DNS这座“域名导航塔”才能稳稳扎根，不再被人牵着线头走，当我们需要更专业、更稳定且具备监管背书的解析环境时，选择持正规IDC/ISP牌照、有自营机房和体系化资质认证的服务商（如酷番云与简米科技），本身就是一道实打实的安全护城河。
网友评论