从注册商账号、DNS解析服务器到传输链路，缺一不可。
域名劫持不是小概率事件，它能让你的网站悄无声息地变成钓鱼页面，也能让一封重要邮件发到攻击者手里，更麻烦的是，很多站长直到用户投诉才意识到出了问题，想真正防住，不能只靠单一工具,得把每一个可能导致解析被篡改的口子都堵上。
怎么防止域名劫持？先看清劫持从哪来
域名劫持的本质是域名解析结果被篡改，你输入网址后，浏览器会向DNS服务器询问“这个域名对应哪个IP”，如果这个询问过程被干扰，或者域名解析记录本身被改动，用户就会被带到错误的服务器,攻击路径主要有四条：
- 域名注册商账户被盗：攻击者登录你的账户,把域名解析记录改成自己的服务器IP。
- DNS服务器被入侵：托管解析记录的DNS服务器被攻破,批量篡改解析数据。
- 本地DNS设置被篡改：用户电脑或路由器的DNS地址被恶意修改,访问任何网站都可能被劫持。
- 中间人攻击：在运营商链路或公共WiFi中拦截DNS请求,返回伪造的解析结果。
了解来源之后，预防思路就清晰了：要么让解析记录改不了，要么让伪造的解析结果不被信任,要么让攻击者根本拿不到你的账号权限。
域名劫持和DNS劫持有什么区别
很多人把这两个词混着用，但严格来说并不相同。域名劫持指域名注册信息或解析记录被未授权修改，通常是账号被盗或漏洞利用导致；DNS劫持则指DNS查询过程被干扰，比如路由器被改、DNS服务器缓存投毒，甚至运营商层面插入广告，前者是“源头被改”，后者是“路上被换”。
| 对比项 | 域名劫持 | DNS劫持 |
|---|---|---|
| 攻击对象 | 域名管理后台、注册商账号 | DNS服务器、路由器、网络链路 |
| 篡改位置 | 解析记录本身 | 解析结果传输路径 |
| 典型场景 | 域名被转移、指向赌博站 | 访问电商页被跳到广告页 |
| 预防重点 |
账号安全、权限隔离 | 安全DNS、DNSSEC、加密传输 |
实际案例里，两者经常同时出现，比如攻击者先劫持DNS服务器，再修改你的解析记录，让你以为只是网络问题，所以分清楚区别,才能对症下药。
网站被劫持了怎么处理？先做这三件事
就算防得再好，也有万一，如果你的网站突然跳转到陌生页面，或者手机浏览器弹出危险警告，先别慌,按顺序处理：
- 确认劫持范围：用手机流量和电脑访问同一个域名，看是否都异常，如果只有特定网络下异常，可能是本地DNS劫持；如果所有网络都异常,问题出在解析记录或服务器上。
- 检查解析记录：登录域名注册商后台，查看DNS解析记录是否被改动，重点看A记录、CNAME记录、NS记录,同时检查域名状态是否被锁定。
- 联系服务商冻结域名：如果发现域名被转移或锁定，立刻提交工单联系注册商，多数注册商有应急响应流程,可以先冻结域名防止进一步操作。
做完这三步，基本能判断劫持类型,接下来再看是恢复解析还是清理后门。
防止域名劫持的五个实操措施
预防比恢复简单得多，但也需要花点心思，下面这五件事,每一件都能实打实降低劫持成功率。
启用DNSSEC和SSL证书
DNSSEC（域名系统安全扩展） 用数字签名验证DNS响应，防止伪造的解析结果被客户端接受，你的域名支持DNSSEC，就相当于给DNS查询加了一把锁，中间人篡改的数据会因为签名不匹配而被丢弃，目前主流注册商都在控制台提供一键开启功能,成本几乎为零。
SSL证书则是给网站数据加密，避免传输过程中被插入恶意代码，虽然它不能直接防止解析被改，但能防止劫持者在你网站里塞广告或跳转脚本。统计显示，启用HTTPS的站点被中间人篡改内容的概率明显低于纯HTTP站点。
账号安全和权限管理怎么做
账号密码是第一道防线，域名注册商账户里通常有管理域名、改DNS、转移域名的最高权限,一旦泄露就等于把钥匙交出去了。
- 使用独立密码，不要和邮箱、社交账号共用。
- 开启两步验证,哪怕是短信验证码也比没有强。
- 查看账户登录历史,发现陌生设备立刻踢出并改密。
- 注册商支持子账号的话，给操作人员分配最小权限,别所有人都用管理员登录。
如果你的域名注册商不支持两步验证，建议认真考虑转移域名到更安全的服务商，这不是小题大做，因为大多数域名劫持案都源于密码泄露或撞库。
国内域名注册商和海外服务商怎么选
选择域名注册商不能只看价格，国内注册商通常要求实名认证，访问速度好，而且现在主流平台都提供免费DNS托管和DDoS防护，海外服务商如Cloudflare等则以DNS解析服务见长，免费套餐就有DNSSEC和防攻击能力，但要注意，域名注册商和DNS托管商可以分开，你在A注册域名，把DNS解析托管到B的服务商，这样即使注册商账户被攻破,攻击者改了解析记录也要过B这一关。
地域之间确实有差异，比如国内域名需要备案，海外域名则免备案但访问速度可能受影响，没有绝对的好坏，只看你的业务场景，关键在于选择一个支持两步验证、提供解析审计、能快速锁定域名的服务商。
定期审计解析记录和证书日志
很多站长设置好域名后就不再管了解析记录，直到出问题才去看一眼,定期审计应该是雷打不动的习惯。
- 每个月登录后台，核对A记录、CNAME记录、MX记录是否与预期一致。
- 用在线工具查看域名的NS记录和WHOIS信息，确认域名状态没有被设置成“待转移”。
- 查看证书透明度日志（crt.sh），看是否有未知机构为你的域名签发证书，如果有,说明攻击者可能已经拿到了验证权。
这些操作都不难，但能让你在劫持发生的早期发现异常,避免等用户举报后才知道。
使用安全DNS和监控告警
把电脑和路由器的DNS地址改成公共安全DNS，如114.114.114.114或8.8.8.8，可以避免本地运营商DNS被污染，不过这只能保护你自己，无法保护你的用户，想保护所有访客，可以在DNS服务商侧开启解析变更告警，现在不少服务商支持“解析记录变更通知”功能,一旦有修改就发邮件或短信。
如果你对安全要求更高，可以自己搭建监控脚本，每隔几分钟用命令行查询一次解析结果，并与预期值对比,具体命令也很简单：
dig yourdomain.com A +short nslookup yourdomain.com whois yourdomain.com
把输出结果和备份对比，不一样就报警，手动做也行,但自动化更省心。
常见误区与正确思路
有些人装了杀毒软件就以为网站高枕无忧，这是典型误区，杀毒软件保护的是本机，对域名解析层完全无能为力，还有人觉得只要改了密码就能防止再次被劫持，却忘了检查服务器上有没有被留后门，攻击者拿过一次权限后，可能会植入持久化脚本,改完密码照样能再次进来。
正确的思路是纵深防御，账号密码上锁，解析记录加签名，传输层加密，监控告警兜底，每一层单独看都不是绝对安全，但叠在一起，攻击者就要付出数倍成本，行业共识认为,多一层验证就能多挡住一大批初级攻击者。
防止域名劫持不是一次性动作，而是持续维护的状态，把注册商账号、DNS服务、解析记录当成交钥匙的核心资产来管理，用DNSSEC和两步验证挡住绝大多数攻击，劫持概率就降到了极低水平，你可以经常问自己一个问题：如果今天域名被改,我能不能在一个小时内发现？
关于防止域名劫持的常见问题
域名被劫持后恢复要花多少钱？
恢复本身不一定花钱，自己进入控制台改回解析即可，但如果域名被转移，注册商有责任帮你找回，通常提供免费申诉流程，真正花钱的是事后排查服务器漏洞、购买安全服务，这笔费用视情况而定,从几百到几千元都有可能。
个人博客有必要启用DNSSEC吗？
有必要，个人博客的防御能力更弱，更容易被当成跳板或用于钓鱼，DNSSEC开启成本低，对访问速度几乎没有影响,却能让你的域名少一个被篡改的入口。
怎么判断自己是不是遇到了本地DNS劫持？
如果你的网站在手机和电脑上访问都是好的，但公司网络或某个特定WiFi下会跳广告页，大概率是本地DNS被改了，把路由器DNS换成公共地址，连接设备清一下DNS缓存,问题通常就能解决。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/638521.html
