看到“您的网络已被劫持”提示不用立刻紧张。这句话不是特指某一种病毒，属于笼统告警，成因可能是DNS被篡改，或是浏览器被安装恶意扩展，也有可能只是接入了不安全的公共Wi-Fi。要先定位故障层级，再着手修复。
DNS劫持是最常见情况。典型表现是输入网址，页面跳转到无关导航页或者广告页面，有时刷新恢复正常，过一会再次跳转。大多是路由器DNS地址被修改，或是电脑本地DNS设置被软件悄悄改动。DNS负责域名解析为IP，一旦被篡改，访问网站就会被导向错误地址。排查方式简单，命令行执行nslookup，比如nslookup baidu.com，核对返回IP是否正常，如果返回陌生地址或者查询超时，大概率DNS层面出问题。修复将DNS手动更换公共DNS，223.5.5.5阿里DNS或是119.29.29.29腾讯DNS，电脑和路由器两处设置同步修改。修改完成刷新DNS缓存，Windows执行ipconfig /flushdns，Mac执行sudo killall -HUP mDNSResponder。
浏览器劫持属于另一类情况。打开Chrome或者Edge，主页变成陌生站点，搜索引擎被替换。大多是安装不明软件时，默认勾选修改主页选项，或是浏览器植入恶意扩展。进入扩展管理页面，删除所有不认识的扩展。之后重置主页与默认搜索引擎。如果删除扩展重启浏览器，问题再次出现，说明后台有程序自动恢复配置，去控制面板程序列表卸载可疑软件，重点留意没有主动安装、名字伪装成系统工具的程序。
路由器劫持相对隐蔽。攻击者凭借弱密码登录路由器后台，篡改DNS，开启远程管理。登录路由器管理页面，查看DNS是否被改成陌生IP，远程管理功能是否开启。路由器默认密码一定要修改，不要继续使用admin/admin这类通用密码。固件保持更新，老旧固件存在公开漏洞，容易被批量扫描入侵。就算修改过路由器密码依旧被入侵，大概率固件本身存在缺陷，可以考虑刷第三方固件或是直接更换设备。
公共Wi-Fi是劫持高发场景。咖啡厅接入名字仿冒商家的热点，全部流量经过第三方设备。HTTPS网站依靠证书校验，可以抵御大部分中间人攻击，但HTTP页面内容完全暴露。公共Wi-Fi环境尽量避免登录网银、填写敏感信息。更稳妥方案开启VPN加密流量。系统弹出证书错误、连接不安全提示，不要强行继续访问，大概率中间人拦截流量。
恶意软件篡改hosts文件也会造成劫持。木马程序修改系统hosts，把常用域名指向恶意IP。hosts文件路径C:WindowsSystem32driversetchosts，记事本打开查看是否存在异常条目。正常hosts文件内容干净，除去注释几乎没有内容。如果存在大量域名指向127.0.0.1或是陌生IP，删除异常记录保存重启电脑。仅仅清理hosts文件不够，要找到篡改文件的恶意程序，否则重启后会再次写入。使用杀毒软件全盘扫描，Windows自带Defender基本够用，担心漏检可以搭配Malwarebytes二次扫描。
修复完成之后还有一步不能省略，修改各类账号密码。路由器后台密码、宽带拨号账号、邮箱、社交账号，只要怀疑网络遭劫持，全部更换。攻击者拿到DNS控制权，可以伪造登录页面窃取账号密码。修改密码同时开启两步验证，增加防护。
有两个告警提示要区分开。浏览器提示“您的连接不是私密连接”和“您的网络已被劫持”不是一回事。前者大多是网站证书过期，或是接入需要认证的Wi-Fi，不一定遭受攻击。后者属于明确劫持告警，一般由安全软件或者运营商推送。运营商告警偶尔会误报，访问被举报域名就会弹出拦截提示，切换其他网站就能判断真假。
前面操作全部做完故障依旧存在，就要考虑运营商层面劫持。部分地区运营商会在HTTP流量插入广告，或是把不存在域名解析到广告页面。终端侧修改配置无法解决这类劫持，只能优先访问HTTPS站点、启用VPN，或是向工信部提交投诉，提交跳转截图、DNS查询结果作为凭证，单纯描述故障很难处理。
排查修复的时候很多人容易跳过定位步骤。看到劫持提示直接重装系统，重装虽然能解决终端恶意程序，但如果路由器DNS被篡改，电脑联网依旧跳转。按照DNS、浏览器、路由器、hosts、恶意软件顺序逐层排查，大部分劫持在前两步就可以定位。