IP 劫持是攻击者通过非法篡改服务器 IP 或 DNS 解析路径，将流量导向恶意节点的行为，可能导致数据泄露、服务中断及法律风险。个人用户遭遇 IP 劫持时，需通过科学的解除流程与防护体系构建，快速恢复正常访问并防范再次攻击。本文详细介绍劫持识别、应急响应及长期防护方法。
隔离受影响设备：立即断开被劫持设备的网络连接，防止攻击者横向渗透至其他设备（如家庭局域网内的手机、平板）。
临时恢复业务：若涉及重要服务（如远程办公），启用备用节点（如手机热点、VPN）接管访问，优先保障基本需求。
留存证据：截图保存劫持后的异常页面，记录时间戳，使用 tcpdump 或 Wireshark 捕获异常流量（保存为 pcap 文件），为后续溯源提供依据。
将本地 DNS 服务器地址改为公共可信服务，绕过被劫持的本地 DNS：
Google DNS：8.8.8.8、8.8.4.4
Cloudflare DNS：1.1.1.1、1.0.0.1
国内备选：114.114.114.114（114DNS）、223.5.5.5（阿里云 DNS）
配置方法：
通过加密 DNS 查询防止中间人篡改：
DoH（DNS over HTTPS）：Chrome 浏览器可在 chrome://flags 中搜索 “DNS over HTTPS” 并启用，选择自定义服务（如 https://cloudflare-dns.com/dns-query）。
DoT（DNS over TLS）：部分高端路由器支持 DoT（如华硕、网件），在设置中启用并配置服务器（如 1dot1dot1dot1.cloudflare-dns.com，端口 853）。
对关键域名（如银行官网、常用服务）手动绑定正确 IP：
通过海外 VPS 或可信网络执行 dig @1.1.1.1 目标域名（如 dig @1.1.1.1 github.com），获取权威 IP。
编辑 Hosts 文件：
添加记录：正确IP 目标域名（如 140.82.114.4 github.com），保存后生效（无需重启）。
若个人托管域名被劫持，需在域名注册商处启用 DNSSEC：
生成密钥对（KSK 用于签名 ZSK，ZSK 用于签名域名记录）。
在域名管理界面配置 DNSSEC 记录（DS 记录），并在权威 DNS 服务器中启用签名（如 BIND 配置 dnssec-enable yes）。
验证：通过 dig +dnssec 域名 检查响应是否包含 RRSIG 签名，确保解析结果不可伪造。
终端防护：安装 EDR（端点检测与响应）工具（如卡巴斯基、火绒），启用文件完整性监控（FIM），实时告警异常修改。
路由器加固：禁用 WPS、UPnP 等脆弱功能，修改默认管理密码（避免 admin/admin），每月更新固件修复漏洞。
防火墙规则：个人服务器仅开放必要端口（如 443/HTTPS、22/SSH），通过 ufw 或 Windows 防火墙限制来源 IP（如仅允许信任的 IP 访问 SSH）。
举报与取证：遭遇大规模劫持（如钓鱼网站仿冒）时，向网信部门（12377）、ICANN 或域名注册商提交证据（包括 pcap 流量包、日志时间戳、IP 劫持前后对比截图）。
威胁情报共享：加入个人网络安全社区（如 FreeBuf、知道创宇情报），共享恶意 IP 库、劫持手段，提前规避风险。
定期演练：每季度进行一次模拟劫持测试（如使用家庭局域网内的设备尝试 DNS 欺骗），验证防护措施有效性，及时修补漏洞。
个人用户应对 IP 劫持需遵循 “隔离→清除→加固→验证” 四步法则：短期通过清除缓存、更换 DNS、强制解析快速恢复访问；长期通过加密传输（DoH/DoT）、实时监控、基础设施冗余构建防御体系。同时，提升安全意识（如不点击不明链接、定期更换密码）、积极参与行业协作，才能从根本上降低被劫持的风险，保障网络访问的安全与稳定。
