先别急着拍桌子，这种情况我太熟悉了。你刚想查个余额，手机APP弹出一个“认证页面”或者让你输入密码的登录框，点开一看域名不对劲；或者电脑浏览器里，原本正常的网页突然跳出来一堆广告弹窗，甚至直接导向一个陌生的登录界面。这时候你的第一反应可能是：“是不是中毒了？”或者是“运营商搞我？”
其实，这大概率不是你的设备中了病毒，而是DNS（域名系统）被劫持了。就像你打电话找某人，结果接线员（DNS）把你打错了，直接接到了一个骗子那里。对于银行APP和敏感网页，这简直是灾难。
别慌，作为在这个领域摸爬滚打多年的“老司机”，我这就带你一步步排查、修复，并把安全防护做到位。记住，我们要做的不是简单的“修好”，而是建立一个让黑客不容易下手的“安全屋”。
第一步：判断是“单点故障”还是“全局沦陷”
在动手改设置之前，咱们得先搞清楚敌人到底在哪儿。是只有你这一台电脑有问题，还是家里所有设备都中招了？
1. 快速自检法
- 现象A：只有你的电脑浏览器打不开银行网站，但手机APP（用4G/5G流量，不是WiFi）正常访问。
- 结论：问题大概率出在你的电脑本地。可能是电脑里的HOSTS文件被篡改了，或者浏览器缓存/插件在搞鬼。
- 现象B：你手机连家里WiFi，打开银行APP也跳登录页；Pad、笔记本连同一个WiFi，打开百度都弹出奇怪广告。
- 结论：这是典型的路由器DNS被劫持。敌人就在你的路由器里，所有连网的设备都“裸奔”了。
2. 如何验证DNS被劫持？
打开电脑，按 Win + R，输入 cmd，回车。在黑框里输入：
nslookup baidu.com
看返回的 Address（地址）。如果这个IP地址不是你熟悉的百度DNS，也不是你运营商给的DNS，而是一个奇怪的、或者和百度官网IP完全对不上的地址，那你的DNS肯定被动过手脚了。
小科普：DNS就像电话簿，把
www.baidu.com这种好记的名字，翻译成110.242.68.3这种机器认识的IP。劫持者就是偷偷换掉了你的电话簿，让你打给骗子。
第二步：紧急止血——临时修改电脑/手机DNS
在修复路由器之前，你得先让现有的设备能正常上网，特别是银行APP。这时候，我们可以绕过路由器的DNS，直接指定一个全球公认可信的DNS服务商。
推荐的可信DNS（全球公认，稳定安全）
- 阿里DNS：
223.5.5.5（国内访问速度快，稳定性高） - 腾讯DNS：
119.29.29.29 - Google DNS：
8.8.8.8（国际通用，但国内有时不稳定） - 114 DNS：
114.114.114.114
电脑端设置（Windows 10/11）
- 右键点击屏幕右下角的网络图标（小电脑或信号塔），选择 “网络和Internet设置”。
- 找到 “高级网络设置” 或 “更改适配器选项”。
- 右键你正在使用的网络连接（以太网或WLAN），选择 “属性”。
- 双击 “Internet 协议版本 4 (TCP/IPv4)”。
- 选择 “使用下面的DNS服务器地址”，填入：
- 首选DNS：
223.5.5.5 - 备用DNS：
114.114.114.114
- 首选DNS：
- 点击确定，不要急着关，我们等下还会验证。
手机端设置（iOS/Android）
手机连WiFi时，点击WiFi旁边的 i 或齿轮图标，找到“配置DNS”，改为手动，填入 223.5.5.5。这样即使路由器DNS被黑，你的手机也能“直连”阿里DNS，银行APP就能正常用了。
注意：这只是临时措施。如果路由器没修好，你拔掉电脑网线、关掉手机WiFi，再重新连，DNS还是会变回去。所以，必须修路由器。
第三步：根源治理——登录路由器，修改DNS
这是最关键的一步。黑客能劫持你的DNS，通常是因为你的路由器管理密码还是出厂默认的，或者弱密码，被扫了。
1. 登录路由器后台
- 看路由器底部的标签，上面有管理地址（比如
192.168.1.1或tplogin.cn）和默认密码。 - 电脑或手机连接该路由器WiFi，浏览器输入管理地址。
- 如果密码不对：别猜了，直接复位路由器。找一根卡针，捅路由器背后的
Reset小孔，保持10秒以上，直到所有灯闪烁。复位后，路由器恢复出厂设置，之前的恶意配置也就没了。
2. 修改DNS设置（两步走）
登录成功后，找到 “网络设置” 或 “WAN口设置” 或 “DHCP服务器” 选项。
情况一：修改WAN口DNS（推荐）
在WAN口设置里，你会看到“获取自动分配的DNS”和“手动设置DNS”。
- 选择“手动设置”。
- 填入我们前面说的可信DNS：
- 主DNS：
223.5.5.5 - 备DNS：
114.114.114.114
- 主DNS：
- 保存。
情况二：修改LAN口/DHCP DNS（防止路由器自己骗局域网设备）
有些路由器的劫持发生在局域网层面。去 “DHCP服务器” 设置里，把“DNS服务器”地址也改成 223.5.5.5。这样，所有通过路由器分配IP的设备，都会优先使用这个安全DNS。
3. 重要提醒：固件升级！
在修改完DNS后，立刻检查路由器固件更新。很多路由器劫持是因为固件有漏洞，黑客可以远程写入恶意配置。去品牌官网下载最新固件，升级到最新版本，堵上漏洞。
第四步：强化防御——防止黑客再次篡改IP
改完DNS只是第一步，我们要让黑客下次想动你，难上加难。
1. 修改路由器管理密码（必须！）
- 登录后台，找到 “系统工具” -> “修改密码” 或 “管理员设置”。
- 密码复杂度：不要用
123456、admin、或者你的生日。建议用 大写字母+小写字母+数字+特殊符号 的组合，比如R0uter#2024!。 - 管理地址隐藏：如果路由器支持，把管理地址从
192.168.1.1改成复杂的，比如192.168.1.233，或者禁用远程管理（只允许局域网登录，绝对不要开启“通过互联网访问路由器”）。
2. 启用WPA3加密，关闭WPS
- WiFi加密：进入无线设置，选择 WPA3-PSK（如果设备支持）或 WPA2-PSK (AES)。绝对不要用
WEP或无加密。 - 关闭WPS：WPS功能有漏洞，容易被暴力破解。在路由器设置里找到WPS，直接关掉。
3. 禁用UPnP（通用即插即用）
UPnP允许局域网内的设备（比如你的电脑、手机）自动请求路由器开放端口。黑客如果控制了你的某台设备，就可以通过UPnP打开端口，反向入侵路由器。
- 在 “高级设置” 或 “NAT转发” 里，找到UPnP，设置为 “禁用”。
4. 设置DNSSEC（如果路由器支持）
DNSSEC是一种对DNS数据进行数字签名的技术，可以验证你查到的DNS信息是真的，没有被篡改。
- 高端路由器（如华硕、小米高端款）在 “安全设置” 里有DNSSEC选项，打开它。这相当于给你的DNS查询加了“防伪标签”。
5. 定期备份和固件更新
- 每隔几个月，登录路由器后台，备份配置文件。
- 关注路由器品牌官网，有新固件就升。厂商会修复新发现的漏洞。
第五步：如何验证问题已解决？
改完之后，别急着睡，得验证一下。
1. 清除本地缓存
电脑上按 Win + R，输入 cmd，运行：
ipconfig /flushdns
手机上，开关一次WiFi，或者重启手机。
2. 再次验证DNS
重复第二步的 nslookup baidu.com 命令。
- 看返回的IP地址，是否正常？
- 打开
https://www.ip138.com/这种查询IP的网站，看看你的出口IP是否是你本地的运营商IP（而不是被劫持到的境外IP）。
3. 测试银行APP
打开你的银行APP，尝试登录、查询余额。重点观察：是否还弹出陌生的登录页面？如果一切正常，恭喜，你的DNS安全了。
4. 检查浏览器插件
有时候，电脑本身装了恶意插件（如某些“上网助手”、“杀毒软件”），也会在浏览器层面劫持。打开浏览器扩展管理，把不认识的、可疑的插件全部禁用或删除。
写给小朋友也能听懂的比喻
想象一下，你要去学校（访问银行网站）。学校门口有个门卫（DNS服务器），他会告诉你“学校大门在这条路左转”。
现在，有一个坏蛋（黑客）偷偷把你的门卫换成了他的同伙。坏门卫说：“学校大门在那边，往右走！”结果你走到右边走进了一个迷宫，或者被坏蛋抓走了（跳到钓鱼网站）。
我们做的：
- 换掉坏门卫：把路由器的DNS改成阿里或腾讯的“好门卫”（
223.5.5.5）。 - 给门卫穿防弹衣：升级路由器固件，修改复杂密码，让坏蛋很难偷换门卫。
- 安装警报器：开启DNSSEC，每个门卫说话前都要出示“身份证”，假的立刻识破。
这样，不管坏蛋怎么折腾，你都能准确找到学校大门，安全进入。
最后的小贴士
- 不要只信WiFi：平时多用移动数据流量访问银行APP，WiFi和流量走不同的网络通道，双重保障。
- 警惕钓鱼邮件/短信：DNS劫持有时配合钓鱼短信使用，比如“你的网银已冻结，请点击链接登录”。记住，银行绝不会通过短信链接让你登录，一定要自己输入网址或用官方APP。
- 考虑更换路由器：如果你的路由器是买的时候送的，已经用了三五年，老旧路由器的安全芯片可能根本不支持WPA3，也没有固件更新。换一台支持Wi-Fi 6、有定期安全更新的中高端路由器（如华硕、TP-Link高端系列、小米AX系列等），是长期安全的最佳投资。
现在，去试试吧。修好DNS，你的手机银行就能安心工作了。如果过程中遇到任何奇怪的错误提示，随时可以再来问我，我会帮你继续“排雷”。