一、劫持类型识别与应急响应
1. 劫持类型判断
DNS 劫持：访问域名时被重定向到陌生网站，或浏览器提示 “网络被黑客劫持”。
验证方法：执行nslookup 目标域名（如nslookup baidu.com），若返回 IP 与官方公布的权威记录不符，可确认 DNS 劫持。服务器 IP 劫持：原 IP 无法访问服务器，流量异常激增但业务请求量下降，或安全日志出现未知管理员登录记录。
2. 应急响应步骤
隔离受影响设备：立即断开被劫持设备的网络连接，防止攻击者横向渗透至其他设备（如家庭局域网内的手机、平板）。
临时恢复业务：若涉及重要服务（如远程办公），启用备用节点（如手机热点、VPN）接管访问，优先保障基本需求。
留存证据：截图保存劫持后的异常页面，记录时间戳，使用
tcpdump或 Wireshark 捕获异常流量（保存为 pcap 文件），为后续溯源提供依据。
二、DNS 劫持解除技术路径
1. 清除各级缓存
本地系统缓存：
Windows：
ipconfig /flushdnsLinux：
sudo systemd-resolve --flush-caches（或sudo /etc/init.d/nscd restart）macOS：
sudo killall -HUP mDNSResponder浏览器缓存：Chrome/Firefox 需同时清除 DNS 缓存（Chrome：
chrome://net-internals/#dns→ “Clear host cache”）和 Cookie，避免残留劫持配置。路由器缓存：重启路由器，或登录管理界面（通常为
192.168.1.1），在 “网络设置” 中手动清除 DNS 缓存。
2. 更换权威 DNS 服务
Google DNS：
8.8.8.8、8.8.4.4Cloudflare DNS：
1.1.1.1、1.0.0.1国内备选：
114.114.114.114（114DNS）、223.5.5.5（阿里云 DNS）
Windows：控制面板→网络和共享中心→更改适配器设置→右键网卡→属性→IPv4 协议→手动设置 DNS 服务器地址。
路由器：在 “DNS 设置” 中替换主备 DNS 为上述地址，覆盖所有接入设备的默认配置。
3. 部署加密 DNS 协议
DoH（DNS over HTTPS）：Chrome 浏览器可在
chrome://flags中搜索 “DNS over HTTPS” 并启用，选择自定义服务（如https://cloudflare-dns.com/dns-query）。DoT（DNS over TLS）：部分高端路由器支持 DoT（如华硕、网件），在设置中启用并配置服务器（如
1dot1dot1dot1.cloudflare-dns.com，端口 853）。
4. Hosts 文件强制解析
通过海外 VPS 或可信网络执行
dig @1.1.1.1 目标域名（如dig @1.1.1.1 github.com），获取权威 IP。编辑 Hosts 文件：
Windows：
C:\Windows\System32\drivers\etc\hosts（需管理员权限）Linux/macOS：
/etc/hosts添加记录：
正确IP 目标域名（如140.82.114.4 github.com），保存后生效（无需重启）。
三、服务器 IP 劫持深度处理（针对个人托管服务器）
1. 溯源与漏洞修复
分析服务器日志（如
/var/log/auth.log、Web 服务器访问日志），定位入侵点（如未授权 SSH 登录、漏洞利用痕迹）。立即修补相关漏洞：更新操作系统及应用软件（
sudo apt upgrade或yum update），关闭不必要的端口（如远程桌面 3389、FTP 21），替换弱密码并启用密钥登录。
2. 系统重置与数据恢复
重装操作系统：格式化磁盘分区，清除可能存在的持久化后门（如隐藏的系统进程、恶意脚本）。
恢复数据：从离线备份（如移动硬盘、加密云盘）恢复业务数据，恢复前需校验文件哈希值（
sha256sum 文件名），确保备份未被篡改。
3. DNSSEC 强制验证
生成密钥对（KSK 用于签名 ZSK，ZSK 用于签名域名记录）。
在域名管理界面配置 DNSSEC 记录（DS 记录），并在权威 DNS 服务器中启用签名（如 BIND 配置
dnssec-enable yes）。验证：通过
dig +dnssec 域名检查响应是否包含 RRSIG 签名，确保解析结果不可伪造。
四、综合防御体系构建
1. 基础设施防护
终端防护：安装 EDR（端点检测与响应）工具（如卡巴斯基、火绒），启用文件完整性监控（FIM），实时告警异常修改。
路由器加固：禁用 WPS、UPnP 等脆弱功能，修改默认管理密码（避免
admin/admin），每月更新固件修复漏洞。防火墙规则：个人服务器仅开放必要端口（如 443/HTTPS、22/SSH），通过
ufw或 Windows 防火墙限制来源 IP（如仅允许信任的 IP 访问 SSH）。
2. 持续监控机制
部署轻量监控工具（如 Zabbix Agent、Prometheus），监控 DNS 解析结果、服务器流量及登录日志。
设置自动化告警：当解析 IP 偏离预设白名单、TTL 值异常（如突然变为 60 秒以下）或出现异地登录时，通过邮件或短信实时通知。
3. 业务级容灾设计
多 CDN 冗余：将个人网站或服务接入多个 CDN（如 Cloudflare、阿里云 CDN），配置健康检查，任一节点被劫持时自动切换至其他节点。
分布式解析：使用多个权威 DNS 服务商（如 DNSPod、Cloudflare DNS），避免单一解析器故障导致全局不可用。
五、法律合规与行业协作
举报与取证：遭遇大规模劫持（如钓鱼网站仿冒）时，向网信部门（12377）、ICANN 或域名注册商提交证据（包括 pcap 流量包、日志时间戳、IP 劫持前后对比截图）。
威胁情报共享：加入个人网络安全社区（如 FreeBuf、知道创宇情报），共享恶意 IP 库、劫持手段，提前规避风险。
定期演练：每季度进行一次模拟劫持测试（如使用家庭局域网内的设备尝试 DNS 欺骗），验证防护措施有效性，及时修补漏洞。