确认HOSTS文件是否被恶意劫持：一、显示隐藏文件后以管理员身份用记事本打开C:\Windows\System32\drivers\etc\hosts；二、检查是否存在境外IP映射知名域名、0.0.0.0屏蔽系统服务或非法格式行；三、用ping命令验证解析是否生效。
当你发现访问百度、网银或邮箱时跳转到陌生页面，或某些网站完全打不开，而其他设备正常，就要立即怀疑 Win11 的 HOSTS 文件是否已被恶意注入劫持域名——这种劫持不触发杀软弹窗，却能悄无声息地把你的流量引向钓鱼服务器。
第一步：显示并打开隐藏的 HOSTS 文件
Win11 默认将 HOSTS 文件设为系统隐藏+受保护状态，直接进文件夹会看不见它。先让文件“现身”：打开文件资源管理器 → 点击顶部“查看”选项卡 → 勾选“隐藏的项目”。这时 C:\Windows\System32\drivers\etc\ 目录下才会显示出那个没有扩展名的 【hosts】 文件。
别双击打开！右键它 → 选择“以管理员身份运行记事本” → 在记事本中点击“文件”→“打开”，路径栏粘贴 C:\Windows\System32\drivers\etc\，文件类型选“所有文件(*.*)”，再点开 hosts。若提示“权限不足”，说明没提权成功，必须重来。
第二步：逐行识别可疑注入行
重点不是看有没有内容，而是看**谁被映射到了哪里**。用眼睛快速扫三类高危模式：
① 出现非 127.0.0.1/::1 却指向境外 IP 的知名域名：比如 185.143.224.12 www.alipay.com 或 103.104.227.12 login.microsoftonline.com——这些 IP 很可能托管在黑产服务器上，【一旦匹配，基本可判定已被劫持】。
② 大量使用 0.0.0.0 屏蔽主流服务：如 0.0.0.0 windowsupdate.com、0.0.0.0 dl.delivery.mp.microsoft.com，这不是普通用户行为，而是恶意软件为阻断安全更新和补丁推送所用。
③ 混入非法格式：IP 地址含 256（如 256.1.1.1）、域名拼错（baidu.coom）、用中文空格或全角符号分隔、某行开头是 127.0.0.1 # 这种错误写法（# 注释必须独占一行）——这些会导致整行失效或解析异常，属于典型脚本批量注入痕迹。
GitHub Hosts 更新工具（仅限中国用户），安全更新系统hosts文件，保留原有非GitHub条目，仅替换GitHub相关地址。支持备份恢复和风险提示。用于解决GitHub访问问题。
第三步：交叉验证系统是否已“绕过 DNS”生效
仅看文件不够，要确认劫持是否已在运行。打开命令提示符（管理员），执行：
ping -n 1 www.alipay.com
如果返回的 IP 地址和你在 hosts 里看到的恶意 IP 一致，且延迟极低（
nslookup www.alipay.com
若结果中显示 Server: UnKnown 或 Address: 127.0.0.1，而非你本地路由器或 ISP 的 DNS 地址，就坐实了系统正在强制走 hosts 解析——这是劫持完成的铁证。
这一步操作起来很简单，但千万别跳过。有些恶意注入只改了文件却因编码错误未生效，也有些改了却缓存未刷新，只有 ping + nslookup 双验证才能排除误判。
