域名污染与劫持是两种不同性质的安全威胁，但核心防护思路一致：把解析权抓在手里、给流量穿上加密外衣、提前做好备用预案。下文中，我会把这套思路拆成可落地的检测方法和防护动作。
先分清污染和劫持：一个是骗你，一个是抢你
很多站长把这两个词混着用,实际上成因和后果差别很大。
域名污染的手段
DNS污染也叫DNS投毒,是中间设备或恶意节点在DNS查询过程中伪造响应包，你的设备向DNS服务器发出解析请求，本该得到真实IP，结果收到一个伪造的IP地址，这个地址指向一个错误服务器，通常是广告页或警示页。污染不修改任何真实数据，只是让解析结果不可信。 近年的公开事件显示，跨网段解析异常大多发生在公共Wi-Fi或运营商递归节点上。
域名劫持的手段
劫持更粗暴,常见两类：
- DNS服务器被入侵：域名管理面板或DNS托管商的配置被篡改，把解析记录换成攻击者控制的IP。
- 链路被篡改：流量经过的路由设备被植入恶意规则，HTTP请求被重定向到仿冒站点。
劫持的危害通常比污染大,因为它能直接获取明文传输的账号密码，最典型的场景是用户访问的是你的.com域名，浏览器地址栏也没问题，但页面内容被替换成钓鱼网站。
第一件事：先确认自己有没有中招
在你花钱买任何防护服务前,先花五分钟做一次本地检测，手动操作能排查掉大量误判。
用公共DNS做多维度对比
打开命令行工具,分别指定不同DNS服务器解析你的域名：
nslookup yourdomain.com 223.5.5.5 nslookup yourdomain.com 119.29.29.29 nslookup yourdomain.com 8.8.8.8
对比返回的IP是否一致,若出现两个以上不同结果，解析链路已被污染或劫持，这种方法能快速区分问题出在本地缓存还是上游路由器上。
检查HTTPS证书指纹
用浏览器插件Certificate Viewer查看证书的颁发者和域名，若弹出证书警告或证书签发机构与你的实际服务商不符，相当于把”被替换”的证据摆在台面上。较大比例的劫持事件会伴随证书不匹配的现象 ，因为攻击者很难伪造一张受信任的有效证书。
排查本地hosts文件和代理设置
Windows系统的hosts文件在C:WindowsSystem32driversetchosts
，Linux和macOS在/etc/hosts，检查文件末尾有没有异常的域名映射记录，同时检查浏览器是否被安装了未授权的代理插件，这类插件会截取DNS请求并返回伪造结果。
刚需级防护动作：不做这些，其他都是白搭
防护不需要一次到位,先把低成本的基础层补上。
开启DNSSEC
DNSSEC给DNS响应增加数字签名,解析器能验证响应是否来源于授权的权威服务器。这是行业公认的抵御域名劫持的基础手段。 大多数域名注册商已在控制面板中提供一键开启入口，找到”DNSSEC设置”或”DS记录管理”即可添加，需要注意，开启后DS记录需与你的DNS托管商提供的信息一致，否则会导致解析失败。
配置DNS Over HTTPS
DNS Over HTTPS把解析请求加密到正常的443端口流里，网络中间设备无法分辨这是DNS流量还是网页流量，也就难以针对性地投毒。
推荐解析服务地址：
- Cloudflare：
https://cloudflare-dns.com/dns-query - 阿里DNS：
https://dns.alidns.com/dns-query - 腾讯DNSPod：
https://doh.pub/dns-query
配置路径也直接和浏览器绑定,以Chrome为例，在”隐私设置”中找到”使用安全DNS”，填入上述地址，完成后，本机到递归服务器之间的DNS查询就不会再明文暴露。但注意，DoH解决的是最后一公里的污染问题，如果你的权威服务器被改配置，DoH同样拦不住，所以必须搭配第二层防护。
非标端口SSH和HTTPS站点
如果你是技术类站点或B端业务,可考虑将SSH服务迁移到非标准端口，并全面采用HTTPS + HSTS预加载，HSTS能强制浏览器只能使用HTTPS访问，从客户端层面堵住降级攻击的入口。域名被劫持后，若没有HSTS拦截，浏览器默认发起的还是HTTP明文请求，cookie很容易被截取，这组急救步骤值得收藏备用。
进阶方案：用CDN和DNS托管拆分暴露面
把解析全部交给CDN节点
业内专家指出：CDN是降低源站IP暴露风险最直接的方式。 CDN拥有遍布各地的边缘节点，用户请求全落在节点缓存上，回源请求只在节点与源站之间发生，攻击者即便拿到你的解析记录，看到的也只是CDN的IP而非你的真实服务器IP，多数CDN服务商都内置CC攻击防护策略，能在流量到达源站前先清洗掉一批恶意请求，如果你用的是国内云厂商的CDN，记得在CDN配置面板把回源HOST改成源站域名，并设置IP白名单，只允许和CDN回源段通信。
将DNS托管至支持DNSSEC和API的服务商
自建DNS主服务器加上从服务器是一个观念落后的做法,既不稳定也难以及时修复，把域名NS记录指向托管服务商，借助其分布式解析集群分摊风险，选择时确认三件事：是否支持DNSSEC、是否提供API接口、历史可用性是否达标。
| 防护手段 | 对抗污染 | 对抗劫持 | 实施成本 |
|---|---|---|---|
| DNSSEC | 有限 | 强 | 中，需懂DS记录原理 |
| DNS Over HTTPS | 强 | 弱 | 低，只需配置浏览器或系统 |
| CDN + HSTS | 中 | 中 | 中，需调整回源和证书 |
| 自建DoH服务端 | 强 | 中 | 高，需维护私有解析服务 |
| 双因素认证 | 不适用 | 强 | 低，注册商后台开启 |
从上表可看出,对抗污染的最佳选择是DoH或DoT，对抗劫持的最佳选择是DNSSEC加上一个安全习惯：在域名注册商后台开启登录双因素认证。劫持事件中相当一部分是通过域名管理后台弱密码攻破的，开启一次性验证码后，攻击者仅凭密码无法修改DNS记录。
自建DNS递归服务
针对国内网站域名被污染的情况,技术能力较强的团队可自建递归DNS服务或DoH中继，在海外VPS上部署Unbound与DoH代理，本地所有设备的DNS查询均通过该中继完成，这样能达到双重效果：境外解析结果不受本地运营商投毒干扰，且设备与中继间的流量加密，但这个方案的延迟不可控，若你的网站用户集中在国内，自建境外递归会增加数十毫秒延迟，性价比不一定高。
域名被劫持了怎么办：急救流程三步走
先说最坏的情况：打开自己的域名发现跳转到赌博或博彩页面，此时不要慌张，按顺序操作：
- 锁定账户：立即登录域名注册商，修改密码并强制下线所有会话，开启二次验证。
- 恢复解析：查看DNS解析记录，删除所有不明子域记录和A记录，若记录被恶意改动，直接重置为默认值，再逐一配置正确的A记录和CNAME记录。
- 排查殃及范围：若网站之前有明文HTTP入口，默认用户的登录session已被泄漏，强制所有用户重新验证身份，并刷新网站的密钥对，重新签发证书。
操作能止损,但无法溯源，多数时候你需要向注册商的客服工单提交证据材料，包括异常解析记录截图、域名证书、服务器登录日志，申请开通操作审计。保密义务提醒：域名信息属于业务核心配置，处理过程尽量避免使用公共Wi-Fi操作，全程使用私密网络环境。
网站被劫持后的长期修复思路
劫持事件之后只是”复原”还不够，攻击者可能留了后门，用临时排查清单逐项确认：
- 所有服务器是否还有未知SSH公钥残留
- WebShell文件是否隐藏在图片上传目录
- CMS深层路由是否被替换
如果整个框架被替换过,不要尝试修补，直接重装系统，行业共识认为，重装系统是清除后门最彻底的方式。 同时将此次事件的复盘记录归档，总结漏掉哪个环节导致被攻破，是后台弱密码还是插件漏洞，下一步就该针对该环节做重点加固。
常见问题解答
域名污染和劫持的最明显区别是什么？
污染返回的是错误解析结果,用户访问不到你的网站，但数据没被旁路收集，劫持可能让用户看到一个伪装页面，此时用户输入的账号密码直通攻击者服务器，若发现自己网站解析出的IP虽然不同但页面内容相似，通常是污染而非劫持。
使用免费的DNS解析服务有被污染风险吗？
免费服务与付费服务的主要差别体现在解析速度和DDoS防护能力上,解析加密性方面并没有本质区别。 如果你解析流量走的是DoH或DoT协议，免费服务同样能有效对抗本地运营商污染，但免费服务对权威区的防护能力相对有限，若遭遇较大规模攻击，解析稳定性会明显下降。
国内网站域名被污染时，最快的应急方案是什么？
最快的方案是临时切换解析到海外DNS服务商的备用域名,同时将主站流量切到CDN节点，具体操作是先在CDN控制台新增一个备用CNAME记录，把域名解析只保留一条记录指向CDN，不再暴露源站A记录，至少在污染消除前保持这一状态，即使CDN的边缘节点受到干扰，也能通过海外节点兜底回源。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/632370.html
