域名伪造是什么，如何识别域名伪造骗局？

域名伪造的本质，是攻击者通过相似字符、错误配置或缓存投毒等手段，让用户在不知不觉中访问到冒牌网站或收到冒牌邮件，想要有效识别和防范，核心方法就是掌握证书验证、DNS查询和域名锁定这三板斧。

域名伪造是什么原理

域名伪造这名字听着唬人，但拆开看就两层意思：一是伪造域名本身，二是伪造域名的解析结果，前者是注册一个和正规网站长相酷似的域名，比如用数字0替换字母o，或者用rn冒充m，这招在业内叫域名抢注或URL劫持，后者更高级，它不改域名长相，而是通过技术手段篡改DNS解析,把用户请求悄悄引到攻击者的服务器上。

比较常见的攻击场景是邮件钓鱼，攻击者伪造发件人域名，让受害者收到一封看似来自银行或公司的邮件，实际回信地址却是山寨域名，这类攻击近年来的报告显示，超过七成网络钓鱼攻击都利用了某种形式的域名伪造。

我们平时上网输入网址时，很少有人会盯着地址栏逐个字符核对，而浏览器地址栏的展示空间有限，攻击者就是利用了这个视觉盲区，如果域名长度再长一点，比如paypal-security-check.com，用户很容易错过真实的paypal.com被包在了子域名里。

域名伪造和DNS劫持有什么区别

这个问题经常有人搞混,实际上两者有本质区别：

• 域名伪造侧重“冒名顶替”，伪造的是域名身份，比如注册一个山寨域名，让用户误以为它是正主
• DNS劫持侧重“中途改道”，攻击者控制或篡改DNS解析结果，把原本指向正规服务器的流量引到恶意服务器上
• 域名伪造更多依赖用户粗心，DNS劫持则纯粹靠技术攻击，用户即使地址栏输入完全正确也会中招
• 域名伪造的防御手段偏重品牌保护和邮件验证协议，DNS劫持的防御则偏重DNSSEC和加密解析

域名伪造是“我假装成你”，DNS劫持是“我截走找你的访客”，前者骗眼睛,后者骗网络。

域名伪造怎么识别

识别域名伪造不需要高深技术，但要养成几个随手就能做的习惯，以下这些方法,普通用户和网站管理员都能直接上手。

浏览器层面的检查

1. 看证书信息：点击地址栏左侧的锁形图标，查看证书颁发给哪个域名，正常网站证书中的域名和地址栏域名必须完全一致
2. 手动输入关键网址：网上搜到的链接先不急着点，复制域名部分，手动在浏览器新标签页输入，电商、银行类网站尤其适用
3. 检查页面排版和交互：山寨域名网站通常急着你输入密码验证码，如果页面刚打开就弹窗索取个人信息，多半有诈
4. 查看域名后缀：正规企业的国际域名多为.com、.cn、.net，突然冒出来的.xyz、.top等冷门后缀要格外留神

本地命令行验证

在电脑上打开命令提示符或终端,用几条简单命令就能看穿域名的真实身份：

nslookup 域名

比如输入nslookup www.example.com，系统会返回该域名的解析IP地址，如果结果和你印象中的官网服务器所在地区明显不符,就要提高警惕。

再用WHOIS查询域名注册信息：

whois example.com

查出来注册者是个人而非企业主体，域名注册时间又很近，那这个域名大概率有问题。正规企业通常会用企业邮箱注册域名，并开启域名锁定保护。

邮箱头的溯源验证

收到可疑邮件不要急着点链接，查看邮件原文的返回路径和相关头信息，在Gmail或Outlook里查看邮件详情，找到Return-Path和Received字段，如果发件人显示的是service@bank.com，但Return-Path实际指向service@bank-security.xyz,这就是典型的域名伪造。

企业如何防止域名伪造

对于运营网站的企业而言，防域名伪造不能只靠用户自觉,得从技术和管理层面主动设防。

部署邮件验证三件套

在DNS解析记录里配置SPF、DKIM、DMARC三条记录,这是当前对抗邮件域名伪造最有效的组合方案：

• SPF记录：声明哪些服务器有权使用你的域名发邮件，收件方会核对发件IP是否在白名单
• DKIM记录：给外发邮件附加数字签名，对方服务器验证签名不通过就拒收
• DMARC策略：告诉收件方对验证失败的邮件怎么处理，比如直接投递到垃圾箱或拒绝接收

配置方法是在你的域名DNS管理后台添加对应的TXT记录，以SPF为例，添加一条类似v=spf1 include:你的邮件服务商.com ~all的记录，即可约束绝大部分伪造行为，行业共识认为，完整部署这三条记录的域名，被伪造成功率能下降九成以上。

注册品牌域名变体

企业应该主动把和自己主域名相近的常见变体域名注册下来，比如主域名是lianmeng.com，那就把lianmeng.net、l1anmeng.com等一并收入囊中，这招被称为域名防御性注册，成本虽然不高,但能有效阻断攻击者钻空子。

启用DNSSEC和域名锁定

DNSSEC是对DNS查询结果进行数字签名验证的协议，能防止解析结果被篡改，在域名注册商那里开通此功能后，即使攻击者伪造了DNS响应,用户的解析器也能识别出异常并拒绝接受。

把域名注册状态设为禁止转移和禁止删除，这样即使攻击者拿到了你的域名管理权限，也无法轻易把域名转走,争取到了宝贵的处置时间。

域名伪造检测工具有哪些

市面上有不少免费或付费的域名安全检测工具,按用途可以分为两类。

在线检测平台适合零基础用户使用：

• URLVoid：输入可疑网址，一次性返回多个安全引擎的扫描结果
• VirusTotal：不仅能查域名，还能查文件哈希和IP地址的恶意标记情况



• 站长工具网：国内常用的域名安全查询平台，支持批量检测

这些工具的原理大都基于威胁情报数据库，会比对域名是否出现在历史钓鱼黑名单中，以及域名年龄、注册商、解析地等信息是否异常。

本地命令行工具适合管理员做深度排查：

• dig命令：完整展示DNS解析的整个链路，包括权威服务器返回的应答
• openssl s_client命令：查看SSL证书的签发链和有效期，判断证书是否被伪造
• traceroute命令：追踪数据包到达目标服务器的路径，如果路径中出现异常跳转节点，可能遭遇了流量劫持

其中dig命令是最推荐的初级排查工具，例如在终端输入dig 域名 +short，能快速看到这个域名当前解析的几个IP地址是否稳定一致，如果每次查询结果都不同且来源分散,说明这个域名的解析状态可能已被污染。

域名伪造的套路在翻新，但防御思路始终没变：增强自身的辨别意识，用好证书验证和DNS查询这些基本功，对管理者而言，把邮件验证协议和域名锁配齐，相当于给域名上了多重保险，伪造者的成本会因此成倍增加，技术手段总有对抗升级,但主动设防总比事后补救更划算。

域名伪造识别常见问题

浏览器提示“不安全”是不是域名伪造的信号？

不完全是，浏览器提示不安全可能由多种原因引起，常见情况是网站未部署SSL证书或证书已过期，只有当证书信息显示颁发给其他域名的异常状态时,才高度疑似遭遇域名伪造。

手机端能识别域名伪造吗？

可以，手机浏览器的地址栏同样会展示完整域名，点击安全图标也能查看证书详情，但手机屏幕显示区域有限，建议较长域名在输入后先观察几秒再操作，支付宝或银行类App弹出的网页,务必通过App内置浏览器重新进入官网核对域名后再登录。