windows系统本身不自带dns劫持防护能力，但可通过手动配置可信dns（如114.114.114.114或1.1.1.1）、清除多层dns缓存、检查并清理hosts文件、启用dnssec验证、更新路由器固件及开启windows安全中心网络攻击防护等组合措施，有效切断攻击链路、阻断恶意解析。
windows 系统本身不自带 dns 劫持防护能力，但通过合理配置和组合使用内置功能与外部策略，可以显著降低 dns 劫持与欺骗风险。关键在于切断攻击链路——不让恶意解析结果进入系统、不信任不可靠的 dns 源、不放过本地篡改痕迹。
DNS 设置与服务器选择
默认使用 ISP 提供的 DNS 服务器是常见风险源头。攻击者常通过入侵路由器或利用 ISP 层面漏洞污染解析结果。建议手动替换为可信公共 DNS：
- 国内推荐使用 114.114.114.114（中国电信）或 223.5.5.5（阿里 DNS），响应快且对国内域名优化较好；
- 国际场景可选 Cloudflare 的 1.1.1.1 或 Google 的 8.8.8.8，支持 DNS over HTTPS（DoH）；
- 在 Windows 设置中进入“网络和 Internet → 更改适配器选项 → 右键当前连接 → 属性 → IPv4 → 属性”，取消勾选“自动获取 DNS 服务器地址”，填入上述地址。
清除与隔离本地污染
即使更换了 DNS，旧的错误记录仍可能缓存在系统或浏览器中，导致持续跳转。需同步清理多层缓存：
- 执行 ipconfig /flushdns 清除 Windows DNS 客户端缓存；
- 在 Edge 或 Chrome 地址栏输入 chrome://net-internals/#dns 或 edge://net-internals/#dns，点击“Clear host cache”；
- 检查 C:\Windows\System32\drivers\etc\hosts 文件是否被注入异常条目，如有可疑 IP 映射，用记事本以管理员身份打开并清空内容（保留 localhost 行）；
- 重启 DNS Client 服务：在 PowerShell 中运行 Restart-Service Dnscache。
启用 DNSSEC 验证（Windows 10/11 支持）
DNSSEC 不是 Windows 自动开启的功能，但系统支持验证签名。它能识别伪造响应，让劫持失效：
- 确认当前使用的递归 DNS 服务器支持 DNSSEC（如 Quad9 的 9.9.9.9、Cloudflare 的 1.1.1.1 均默认开启）；
- 在 PowerShell 中运行 Get-DnsClientGlobalSetting 查看 EnableEDNSProbes 和 EnablePacketsTracing 是否启用（非必需，但有助于诊断）；
- 实际验证依赖于上游服务器——若你用的是支持 DNSSEC 的 DNS，Windows 会自动校验 RRSIG 记录，失败时直接丢弃响应，不会缓存或返回错误 IP。
系统级防护补充
单靠 DNS 配置不够，还需封堵常见攻击入口：
- 更新路由器固件，修改默认管理员密码，关闭远程管理与 UPnP；
- 启用 Windows Defender 实时保护，并确保“网络攻击防护”已开启（设置路径：Windows 安全中心 → 病毒和威胁防护 → 管理设置 → 网络攻击防护）；
- 对高敏感用户，可在组策略中禁用“允许 DNS 客户端动态注册”（gpedit.msc → 计算机配置 → 管理模板 → 网络 → DNS 客户端），防止恶意程序伪造注册；
- 企业环境建议部署 DNS 安全策略（Azure 或本地 DNS Server 2022+），结合威胁情报源自动拦截恶意域名解析请求。
