网页总被劫持，是DHCP服务器篡改了DNS设置吗？

在数字世界中,每一次我们输入网址并按下回车键，背后都有一套复杂而精密的系统在协同工作，确保我们能准确无误地访问目标网站，DHCP（动态主机配置协议）和DNS（域名系统）是两大基石，当这两个环节的结合点——由DHCP分发的DNS服务器地址——遭到恶意篡改时，一场无声的网络劫持便已悄然上演，这种攻击手法，即“DHCP名称服务器篡改DNS”，是一种隐蔽性强、危害性大的网络威胁。

基础概念：DHCP与DNS的角色

要理解这种攻击,首先必须明晰DHCP和DNS各自的功能，它们如同网络世界的“后勤官”与“导航员”，缺一不可。

• DHCP (动态主机配置协议)：当您的设备（如手机、电脑）连接到一个网络（例如家庭Wi-Fi或公司局域网）时，它需要一个身份标识——IP地址，以及其他网络参数才能通信，DHCP服务器就是自动分发这些配置的“后勤官”，它会分配一个IP地址、子网掩码、默认网关，以及至关重要的DNS服务器地址。

• DNS (域名系统)：人类习惯记忆有意义的域名（如 www.example.com），但计算机之间通信依赖的是数字化的IP地址（如 184.216.34），DNS系统就是将人类友好的域名翻译成机器可读的IP地址的“导航员”。

正常情况下,DHCP服务器会提供一个合法、高效的DNS服务器地址（如运营商的DNS或公共DNS如8.8.8.8），但攻击者正是利用了DHCP的这一分发机制，注入了恶意配置。

为了更清晰地对比,可以参考下表：

攻击揭秘：DHCP名称服务器如何被篡改

DHCP名称服务器篡改攻击的核心在于,攻击者在本地网络内创建一个恶意的DHCP服务器，并使其在与合法DHCP服务器的“竞赛”中胜出，攻击过程通常如下：

1. 部署恶意服务器：攻击者通过接入一个不安全的网络（如公共Wi-Fi、一个被攻破的路由器或直接通过恶意软件在受害者电脑上运行），启动一个伪造的DHCP服务器。

   

2. 抢占响应：当一个新的设备（受害者）加入该网络并发起DHCP请求时，网络中所有的DHCP服务器都会收到请求，恶意服务器通常被配置为以极快的速度响应，甚至抢在合法服务器之前将配置信息发送给受害者。

3. 分发恶意配置：受害者的设备遵循“先到先得”的原则，接收了恶意服务器发来的网络配置，这套配置中，IP地址和网关可能是正常的，但DNS服务器地址被替换为了攻击者控制的IP地址。

4. 实施劫持：至此，受害者的所有DNS查询请求都会被发送到这个恶意的DNS服务器，攻击者可以随心所欲地操控解析结果，当用户试图访问网上银行时，恶意DNS服务器可能返回一个高仿的钓鱼网站IP地址，从而窃取用户的账号密码。

潜在危害：被篡改的DNS会带来什么

一旦DNS解析权被旁落,用户的网络活动将完全暴露在攻击者的掌控之下，其危害是多方面的：

• 精准钓鱼攻击：将银行、社交媒体、电子邮件等常用网站的域名解析到攻击者搭建的假冒网站，骗取用户的敏感信息。
• 恶意软件分发：当用户尝试访问正常的软件下载网站或更新服务时，被重定向到捆绑了病毒、木马的恶意下载链接。
• 流量劫持与监听：攻击者可以记录用户的所有DNS查询记录，分析其上网习惯、访问的网站，甚至可以结合其他手段进行中间人攻击，窃听未加密的通信内容。
• 强制广告植入：在用户访问的网页中强行插入弹窗广告、横幅广告，甚至进行流量欺诈，为攻击者牟利。

防御策略：如何保护自己免受侵害

面对这种隐蔽的攻击,个人用户和网络管理员都需要采取主动的防御措施。

个人用户层面：

1. 谨慎连接公共Wi-Fi：尽量避免在公共、无密码的Wi-Fi环境下处理敏感事务，如网银操作、登录重要账户等。
2. 使用VPN（虚拟专用网络）：VPN会为您的所有网络流量创建一个加密通道，即使DNS被篡改，您的数据也是加密的，攻击者无法窥探内容，且VPN通常会使用自己安全的DNS服务器。
3. 手动设置可靠的DNS服务器：在您的设备或路由器上，不使用DHCP自动获取的DNS，而是手动设置为信誉良好的公共DNS，如Google的8.8.8和8.4.4，或Cloudflare的1.1.1和0.0.1，这能从根本上绕过DHCP分发的恶意DNS。
4. 定期更新路由器固件：路由器是家庭网络的DHCP中心，保持其固件为最新版本可以修复已知的安全漏洞，防止被轻易植入恶意程序。

网络管理员层面：

1. 启用DHCP Snooping：在交换机上配置DHCP Snooping功能，该功能可以监听网络内的DHCP消息，并建立一张可信的DHCP服务器端口表，任何来自非可信端口的DHCP响应都会被丢弃，从而有效遏制恶意DHCP服务器。
2. 配置端口安全：限制交换机端口上允许连接的MAC地址数量，防止攻击者随意接入设备并启动恶意服务。
3. 网络隔离：通过VLAN（虚拟局域网）等技术，将网络划分为不同的安全区域，限制攻击在局部范围内扩散。

DHCP名称服务器篡改是一种利用网络配置信任链发起的狡猾攻击,虽然其手段隐蔽，但只要我们提高安全意识，养成良好的网络使用习惯，并采取如手动设置DNS、使用VPN等关键技术手段，就能有效地构筑起一道坚实的防线，确保我们的网络导航始终指向正确的方向。

相关问答 (FAQs)

问题1：我如何判断自己的DNS是否被篡改了？

解答： 您可以通过几个步骤进行检查，在Windows系统中打开命令提示符，输入 ipconfig /all；在macOS或Linux系统中打开终端，输入 cat /etc/resolv.conf 或 scutil --dns，查看“DNS Servers”后面显示的IP地址，如果您没有手动设置过DNS，这些地址应该与您的路由器管理页面中显示的，或您的网络运营商提供的地址一致，如果出现一些您不认识的、私有的（如192.168.x.x以外的）或可疑的公网IP地址，则可能已被篡改，如果经常遇到网页跳转到陌生网站、银行网站提示证书错误，或者网速莫名变慢，也可能是DNS被劫持的迹象。

问题2：手动设置DNS和使用VPN有什么区别？哪一个更安全？

解答： 两者功能不同，安全级别也不同，手动设置DNS仅仅是改变了您的“导航员”，确保域名解析请求发送到一个可信的服务器，但它并不加密您的网络流量，在同一网络下的攻击者依然可以监听您的其他数据，而VPN则创建了一个从您的设备到VPN服务器的加密隧道，它不仅会使用VPN服务商提供的安全DNS，更重要的是加密了您所有的网络数据，使得本地网络中的任何人（包括执行DHCP攻击的黑客）都无法窥探您的网络活动或篡改您的数据，对于追求全面安全防护而言，使用VPN是更优、更安全的选择，手动设置DNS则是一个简单、有效的初级防护措施。