不少人在电脑上会留意DNS劫持风险，换到手机端，很多人会觉得手机系统封闭，不容易中招。这个想法并不稳妥。手机上的DNS劫持更加隐蔽，大多数用户不会查看当前使用的DNS服务器，也不会像电脑那样定期核对网络配置。
dns 劫持安全风险，dns 劫持对手机安全有影响吗
最典型的场景就是，手机浏览器输入网址，页面正常加载，但跳转的并不是目标网站。比如输入某银行官网，打开的却是仿制的钓鱼页面。填写账号密码时很难察觉异常，等到发现资金出问题已经造成损失。这就是DNS劫持最常见的手段，篡改域名解析结果，将域名指向伪造IP，所有访问请求都会被转发到攻击者控制的服务器。
手机遭遇DNS劫持，有多种途径。公共WiFi是最常见的源头，咖啡馆、酒店、机场这类无线网络，路由器或者WiFi运营方可以自定义DNS服务器。一旦这个DNS被篡改，手机全部域名解析请求都会走它的服务，访问目标站点会被随意跳转。部分恶意WiFi还会弹出伪造认证页面，诱导填写手机号、社交账号，本质就是钓鱼。
恶意App是另一条渠道，安卓设备风险更高。从非官方渠道下载应用，安装时批量授予权限，部分程序会在后台悄悄修改手机DNS配置，替换默认解析服务器。日常浏览网页、播放视频可能看不出异常，访问特定目标网站时，解析结果就会被篡改。苹果系统限制更严格，App修改系统DNS难度更大，但如果安装描述文件或是企业证书签名的软件，同样存在风险。
路由器本身也会成为突破口。家用路由器保留出厂默认密码，或是固件长期不更新，攻击者可以利用漏洞登录后台，修改DHCP下发的DNS地址。手机连上家里WiFi，自动获取到的就是篡改后的DNS。手机流量上网一切正常，回家接入WiFi就出现异常，问题根源大概率在路由器。
DNS劫持给手机带来的安全隐患，可以分成几个层级。程度最轻的是广告注入，访问正常网站时多出大量弹窗广告，部分广告无法关闭，点击跳转应用商店。这类广告不是网站自带，是DNS在传输途中将请求重定向到广告服务器。不会直接盗取资金，但会严重干扰浏览，也说明你的网络链路已经被第三方控制。
更危险的就是钓鱼攻击。攻击者修改银行、支付平台、社交网站域名解析到伪造服务器，提交的账号密码会直接被截取。手机屏幕尺寸有限，地址栏只展示域名开头部分，辨别真假站点难度高于电脑。很多人习惯浏览器自动填充密码，在伪造页面上依旧会自动填入，账号信息直接泄露。
最严重的属于中间人攻击。DNS劫持配合SSL剥离，攻击者不仅跳转访问请求，还能解密设备与服务器之间传输的数据。手机发送的消息、图片都有可能被截获。这类攻击一般不会针对普通用户，但如果手机属于公司配发，存储敏感工作资料，风险真实存在。
判断手机是否遭遇DNS劫持有简单办法。访问已知固定IP的站点，对比域名解析返回IP。手机浏览器搜索我的IP地址，核对出口IP和运营商信息是否匹配。WiFi联网状态下，进入WiFi设置查看分配的DNS服务器地址。运营商DNS一般是两组IP，如果出现陌生地址，或是被改成公共DNS但自己没有手动设置，就需要警惕。
手机端能做不少防护操作。尽量不要随意连接公共WiFi，必须使用的话，接入后手动修改WiFi的DNS，填写223.5.5.5或者119.29.29.29，不使用WiFi自动下发的DNS。定期检查手机DNS配置，安卓在WiFi高级选项查看，iPhone在WiFi详情的DNS配置项查看，非手动设置的陌生地址，改回自动或是填入可信公共DNS。路由器修改默认密码，持续更新固件，防止被入侵篡改配置。安卓9、iOS14及以上版本支持DNS over HTTPS，在系统设置查找私人DNS或者加密DNS，填写支持DoH的服务器地址，DNS查询走加密通道，中间人无法篡改查询结果。不要从非官方渠道安装App，安卓设备尤其需要留意，节省下载时间的代价，可能是后续的安全隐患。