二级域名被挟持怎么办？二级域名挟持原因分析及解决方法

二级域名挟持是利用未清理的子域名解析或漏洞控制你网站二级域名的攻击手段，危害远超传统域名劫持，但通过系统化防御完全可以避免。

近年来,二级域名挟持事件在站长圈里频繁出现，很多企业主域名防护严密，但某个废弃的子域名却成了攻击者的突破口，这背后，往往是DNS记录疏于管理或第三方服务漏洞被利用。

什么是二级域名挟持

二级域名挟持，指攻击者通过控制未使用的子域名解析（如CNAME记录指向已失效的第三方服务）或利用主域名DNS配置漏洞，将子域名指向恶意服务器，一旦成功，该子域名可能被用于钓鱼、分发恶意软件，甚至发起旁路攻击。

核心原理：域名解析链的“空位”

每个二级域名（如blog.example.com）的解析记录由主域名DNS管理，当子域名对应的服务停用，但解析记录未删除时，这个记录就成了“空位”，攻击者只需在对应服务商那里重新注册相同的子域名标识，就能接管该子域名的流量。

典型攻击场景

– 废弃服务接管：子域名曾指向SaaS平台（如Shopify、GitHub Pages），服务停用后CNAME记录未删除，攻击者重新注册该子域名标识，直接完成“挟持”。
– DNS记录篡改：通过主域名管理员账号泄露或DNS服务商漏洞，直接添加或修改子域名解析记录。
– 通配符域名滥用：主域名配置了通配符解析，攻击者只要知道主域名，就能创建任意子域名，与主域名共享Cookie权限。

二级域名被劫持怎么办？应急处理三步走

如果发现子域名指向异常站点或收到安全预警，必须立即行动，拖延意味着用户信息泄露和品牌信誉受损。

第一步：确认劫持状态

使用dig命令或在线工具检查子域名解析记录。
– 在终端执行 `dig blog.example.com +short`
– 查看返回的IP或CNAME是否属于你控制的服务器。
– 对比历史DNS记录，可使用SecurityTrails等平台查询变更记录。

如果发现异常（如IP归属为境外云服务商、CNAME指向不明域名），基本可以确定被劫持。

第二步：切断攻击链

– 删除可疑解析记录：立即登录域名DNS管理后台，删除所有指向非你控制的CNAME或A记录，注意同时检查通配符记录，关闭不必要的.解析。
– 修改主域名管理员密码：启用双重认证，检查API密钥是否泄露，如果DNS服务商被入侵，需迁移至其他服务商。
– 通知相关方：如果子域名用于邮箱或API接口，立即通知用户暂停使用，防止凭证泄露。

第三步：恢复子域名控制权

– 等待全球DNS缓存刷新（TTL时间后），观察子域名是否恢复正常。
– 如果攻击者通过第三方服务接管，需联系该服务商注销恶意注册。
– 全站审计：检查是否存在其他未使用的子域名记录，清理所有“僵尸”解析。

二级域名劫持检测：如何主动发现隐患

主动检测比被动补救更高效，以下方法建议纳入常规运维流程。

子域名枚举与存活检测

– 使用工具如Sublist3r、Amass，枚举主域名下所有子域名，对比当前DNS记录。
– 对每个子域名发起HTTP请求，查看响应状态码，如果返回200但内容不是你的页面，很可能已被劫持。
– 重点关注无解析记录但存在历史备案的子域名，它们可能是潜在的攻击目标。

DNS变更监控

– 部署DNS监控工具（如Detectify、DNS Spy），当子域名解析记录发生变更时主动告警。
– 设置域名解析记录变更通知，大多数DNS服务商支持此功能，一旦发现非自主变更，立即调查。

定期安全审计清单

– 每月检查CNAME记录指向的第三方服务是否仍在运行。
– 移除所有指向“已删除服务”的子域名记录。
– 检查主域名DNS管理员账号权限，避免多人拥有修改权限。
– 使用DNSSEC防止DNS欺骗，但需注意DNSSEC不直接防止二级域名挟持，它主要防止缓存投毒。

二级域名安全配置：防范于未然的关键措施

预防成本远低于应急处理，按照以下配置，能挡住绝大多数二级域名挟持攻击。

最小化子域名记录

– 只添加确需使用的子域名，废弃后立即删除对应解析记录。
– 避免使用通配符CNAME（如`.example.com`），如果需要泛解析，使用A记录指向固定IP，并配合访问控制。

第三方服务管理规范

– 使用CNAME指向第三方服务（如CDN、云存储）时，确保该服务支持“子域名验证”，防止被他人注册。
– 定期检查第三方服务状态，如果服务商停止运营，立即修改CNAME指向备用地址或删除记录。
– 对于关键子域名，使用A记录直接指向自有服务器IP，而非依赖第三方服务。

DNS服务商选择

– 选择支持DNSSEC、弹性抗DDoS的DNS服务商。
– 启用多因素认证，限制API访问权限，避免管理员账号泄露导致所有子域名被篡改。
– 开启DNS操作日志，便于事后溯源。

浏览器安全策略

– 在主域名HTTP响应头中设置`Strict-Transport-Security`，强制子域名使用HTTPS，减少中间人攻击风险。
– 使用`Content-Security-Policy`限制子域名可加载的资源来源，降低被用于恶意脚本投递的可能。

二级域名挟持Q&A

二级域名被劫持后，主域名数据会受影响吗？

不一定，二级域名劫持只影响该子域名对应的解析记录，主域名数据通常不会直接泄露，但如果攻击者通过子域名获取了用户Cookie（特别是Cookie未设置`Domain`限制），可能导致主域名身份被冒用，发现劫持后应立即注销所有涉及子域名的用户会话。

如何判断子域名劫持是DNS篡改还是服务接管？

查看解析记录类型，如果子域名指向的是第三方服务的CNAME（如`xxx.cloudfront.net`），且该子域名曾经使用过相同的服务，那么大概率是服务接管，如果解析记录指向陌生的IP或域名，且未使用过该服务，则可能是DNS篡改，通过DNS历史记录可以进一步确认。

国内二级域名劫持事件的特点是什么？

国内二级域名劫持常与未备案子域名或未注销的ICP备案号关联，攻击者利用未注销的备案信息伪造合法子域名，用于分发非法内容，据统计，相当一部分企业网站存在至少一个未使用的子域名解析记录，其中超过半数的记录指向已失效的第三方服务，行业共识认为，清理僵尸子域名是防范此类攻击最有效的手段。