活动监视器无法直接显示53端口占用进程，需先通过网络流量排序、用户归属和路径检查筛选可疑进程，再用sudo lsof -itcp -stcp:listen -iudp :53等命令精准验证其是否为非法dns服务。
活动监视器本身无法直接显示哪个进程占用了 53 端口，但它可以辅助你快速定位可疑进程，再结合终端命令确认是否为非法本地 dns 解析器。关键不是靠它“查端口”，而是靠它“筛行为”。
先用活动监视器缩小可疑范围
打开活动监视器（Spotlight 搜索即可），切换到“网络”标签页：
- 点击“接收字节”或“发送字节”列排序，重点关注长期稳定输出/输入流量（如持续 100–500 KB/s）但你并未主动使用 DNS 工具的进程；
- 查看“用户”列为 _mdnsresponder、root 或 daemon 的条目——合法系统服务（如 mDNSResponder）本应只在必要时短暂活跃，若其网络曲线持续高位，需警惕被劫持或异常配置；
- 右键点击可疑进程 → “在访达中显示”，检查路径是否为 /usr/libexec/mDNSResponder（系统原生）还是来自 /Applications、~/Downloads 或非标准目录（如自制 DNS 工具、AdGuard Home、dnsmasq 等未授权部署）；
- 注意“PID”列数值，后续要用它交叉验证端口绑定状态。
用终端命令精准验证 53 端口归属
活动监视器只是线索入口，真正确认必须用命令行：
- 运行 sudo lsof -iTCP -sTCP:LISTEN -iUDP :53 —— 这会同时列出监听 TCP 和 UDP 53 端口的进程，重点关注 COMMAND 和 PID；
- 若输出中出现非系统路径（例如 /opt/homebrew/bin/dnsmasq、/usr/local/bin/AdGuardHome），且用户是普通账户或 nobody，则极可能是非法本地解析器；
- 对比 ps -p PID -o comm=,user=,args=（把 PID 替换为上一步查到的值），看启动参数是否含 --port=53、-p 53 或绑定 0.0.0.0:53/127.0.0.1:53 等显式声明；
- 特别注意：macOS Sonoma 及之后版本中，mDNSResponder 默认不监听 TCP 53（仅 UDP），若 lsof 显示它在 TCP LISTEN，说明配置已被修改或存在冲突服务。
判断是否属于非法解析器的典型特征
以下情况高度提示该进程并非系统必需，而是擅自抢占 53 端口的第三方 DNS 服务：
- 进程不属于 _mdnsresponder、_networkd、root 用户启动的标准守护进程；
- 路径不在 /usr/libexec/ 或 /System/Library/ 下，且未通过 App Store 或官方 pkg 安装；
- 启动时未向用户明确申请网络权限，也未出现在“系统设置 > 隐私与安全性 > 完全磁盘访问”列表中；
- 在“系统设置 > 网络 > 防火墙”中未登记，却持续对外提供 DNS 查询响应（可用 dig @127.0.0.1 google.com 测试是否真在工作）。
确认后如何安全处置
识别清楚后再操作，避免误杀系统服务：
- 对普通用户级应用（如自行下载的 dnsmasq GUI 前端），在活动监视器中选中 → 点击左上角 X → “强制退出”即可中断当前连接；
- 若进程由 launchd 管理（常见于后台 DNS 服务），先查 plist 路径：launchctl list | grep -i dns，再执行 sudo launchctl bootout system/com.example.dnsmasq（路径依实际调整）；
- 不想彻底删除但想释放端口？改用非特权端口运行该服务（如 5353），并在路由器或客户端手动指定 DNS 地址，避开与系统冲突。
