hosts文件是操作系统本地的一个域名解析记录文件，它优先于DNS服务器生效。一旦这个文件被恶意软件、流氓软件或者人为篡改，浏览器访问特定网站时就会指向错误的服务器IP，出现打开正规网站却跳转到广告页、钓鱼页面，或者某些网站怎么也访问不了的情况。这种现象通常被称为host域名劫持。本文将从原理、排查、解决和预防四个层面，把这个问题彻底讲清楚。
一、hosts文件的工作原理与劫持成因
要理解host域名劫持，先要知道浏览器在访问一个域名时到底经历了什么。完整的解析顺序大致是：浏览器缓存、操作系统缓存、hosts文件、本地DNS服务器、根域名服务器。hosts文件排在DNS服务器之前，意味着只要hosts里存在对应记录，系统就会直接使用这个文件里指定的IP地址，根本不会去询问DNS服务器。
正常情况下hosts文件的内容很少，通常只有一行指向localhost的默认记录。但当某些软件以管理员权限运行后偷偷往里面追加条目，比如把某个购物网站指向一个广告服务器，用户再访问该网站时就会被带到错误的目的地。由于hosts优先级高于DNS，这类劫持非常隐蔽，用户往往以为是网站本身出了问题。
造成hosts被篡改的常见途径包括：安装了捆绑推广的免费软件、中了挖矿或广告类木马、某些破解补丁或激活工具主动修改hosts屏蔽验证服务器、以及局域网内其他人的恶意操作。识别成因有助于后续防范，比如很多人为了激活某些软件会主动使用修改hosts的补丁，这类操作本身就为劫持埋下了隐患。
二、如何判断自己遭遇了host域名劫持
hosts文件在不同系统中的默认路径如下：Windows系统是C:\Windows\System32\drivers\etc\hosts，Mac和Linux系统是/etc/hosts。判断是否被劫持，最直接的办法就是打开这个文件查看内容。
如果你在文件中发现了大量陌生的域名映射记录，尤其是知名网站域名对应着奇怪的IP地址，基本可以确认文件被篡改了。另一种判断方法是使用命令行工具验证解析结果：
# Windows下查看域名解析结果 nslookup www.ippipp.com # 查看实际生效的解析（会读取hosts） ping www.ippipp.com
如果nslookup查到的IP（走DNS服务器）和ping得到的IP（优先读hosts）不一致，且ping显示的IP明显可疑，那么hosts文件被动手脚的可能性就非常大。此外还可以用下面的命令直接查看文件内容：
# Windows type C:\Windows\System32\drivers\etc\hosts # Mac或Linux cat /etc/hosts
除了本机hosts问题，还要注意区分另一种情况：DNS污染或运营商劫持。判断方法是换一个网络环境（比如用手机流量）访问同一网站，如果换了网络就正常，说明问题可能出在DNS层面而不是本地hosts，两种情况的解决手段并不相同。
三、解决方法：清理、修复与权限加固
确认被劫持后，第一步是清理恶意条目。Windows用户建议用记事本以管理员身份打开hosts文件，删除所有可疑行后保存；如果保存时提示没有权限，需要先在文件属性中给当前用户分配修改权限。Mac用户可以在终端中执行编辑命令：
# Mac下编辑hosts文件 sudo nano /etc/hosts # 修改完成后刷新DNS缓存 sudo dscacheutil -flushcache sudo killall -HUP mDNSResponder
Windows下修改完成后同样建议刷新DNS缓存，避免旧记录继续生效：
ipconfig /flushdns
第二步是彻底查杀恶意软件。hosts被篡改往往只是表象，背后通常有恶意进程驻留，如果不清理干净，hosts文件很快会再次被改写。建议使用安全软件进行全盘扫描，重点检查来路不明的程序、浏览器插件以及最近安装的破解类工具。
第三步是权限加固，防止再次被改。Windows下可以右键hosts文件进入属性的安全选项卡，将写入权限只保留给SYSTEM和管理员账户，普通程序即使运行也无法修改。还可以将文件属性设为只读，虽然不能完全防住有管理员权限的程序，但可以挡住大部分低级篡改行为。对于服务器环境，更严格的做法是通过组策略或审计功能监控该文件的变更，一旦有进程修改立即记录告警。
四、应用场景、常见问题与注意事项
hosts文件本身是一个正当且实用的工具，很多场景下我们会主动使用它：开发人员在本地把域名指向测试服务器、屏蔽某些推广域名、在内网环境中指定内部系统地址等。例如开发时可以这样配置：
127.0.0.1 localhost 192.168.1.100 dev.ipipp.com 0.0.0.0 ad.ipipp.com
正因为它的功能强大，才容易被滥用。这里整理几个常见问题。第一个问题：改完hosts为什么不生效？多半是DNS缓存未刷新，执行ipconfig /flushdns即可；也可能是浏览器自身缓存了解析结果，重启浏览器或清除缓存后再试。第二个问题：hosts文件删不掉或改不了？通常是权限问题，需要以管理员身份操作，或在安全模式下处理。第三个问题：清理之后过几天又被改回去？说明系统里仍有恶意程序在持续写入，必须找到源头彻底清除，单纯改文件是治标不治本。
日常使用中还有几点注意事项。首先，不要轻易使用来路不明的hosts修改工具和破解补丁，它们是劫持的高发源头。其次，从网上下载的现成hosts文件可能包含错误甚至恶意记录，导入前务必逐行核对。再次，如果怀疑是运营商层面的DNS劫持而非本地hosts问题，可以更换DNS服务器为公共DNS（如114.114.114.114或223.5.5.5），并优先使用HTTPS访问网站，因为HTTPS的证书校验机制能在一定程度上暴露劫持行为。最后，养成定期查看hosts文件内容的习惯，尤其是公共环境和服务器机器，一旦发现陌生记录立即排查。
总结来说，host域名劫持的本质是利用了hosts文件高于DNS的解析优先级。只要掌握了查看、清理、刷新缓存、加固权限这一套流程，再结合对恶意软件源头的清理，基本都能彻底解决问题。更重要的是理解背后的解析机制，以后无论是排查网络故障还是利用hosts做本地开发配置，都能得心应手。