域名被劫持了是什么原因，域名被劫持了如何解决？

域名被劫持了，核心对策是：立即锁定域名并修改注册商账号密码，同时用官方API或控制台重置DNS解析，检查WHOIS和SSL绑定，最后提交申述给注册商和第三方安全机构。整个过程越早动手，挽回的几率越高，下面直接按场景拆解,每一步都给出可执行的操作。

域名被劫持是怎么回事？先搞懂你中了哪种招

很多站长发现网站突然跳转到一个博彩或广告页面，第一反应是“服务器被黑了”，但关了服务器网站还是乱跳，这时候大概率不是主机问题，而是域名层面的劫持，业内专家指出，域名劫持通常分两类：一个是DNS解析记录被篡改，另一个是域名注册商账户本身被攻破。

两种典型劫持路径

• DNS记录劫持：攻击者拿到你域名管理后台的权限（或通过账号密码、Cookie篡改），把A记录、CNAME或NS记录改成自己的服务器IP，特点是网站内容没变，但解析指向变了,用户访问时自动跳转到恶意站点。
• 域名转移劫持：攻击者利用注册邮箱的漏洞或社工手段，向注册商提交“域名转移”申请，把域名的所有权整个转移到自己的账户下，这种情况最棘手,因为你连域名的控制面板都进不去。

常见症状清单

• 浏览器访问时显示“连接不安全”或证书错误,因为恶意站点没有你的SSL证书。
• 输入裸域名（example.com）能正常打开,但带www就跳转到奇怪网址。
• 公司的企业邮箱突然收不到外部邮件,或者发出大量垃圾邮件。
• WHOIS查询显示注册邮箱、DNS服务器被改动过。
• 使用“域名被劫持怎么恢复”这句话搜索时,遇到跟你情况一模一样的帖子。

域名被劫持后怎么恢复？按这四个步骤走

恢复的核心原则是：先止损，再取证，然后改解析，最后申诉，千万别急着删除记录,下面每一步都值得照做。

第一步：锁定域名和账号，防止二次转移

• 马上登录注册商控制台（如果还能登录），开启“域名锁定”或“转移锁定”功能。
• 如果账号密码已被修改，立刻使用注册商提供的身份验证途径（比如手机验证码、人工客服）找回账号。
• 同时修改注册邮箱的密码，并开启两步验证,因为很多劫持的根源是邮箱被盗。

第二步：用命令行和在线工具确认劫持级别

打开电脑终端，分别执行下面的命令,对比结果：

nslookup example.com
nslookup example.com 8.8.8.8

• 如果第一条返回的IP和你服务器实际IP不一致，而第二条（用谷歌DNS）返回正确，说明你的DNS服务器记录被污染,或者注册商处的DNS配置被改了。
• 再运行 whois example.com 查看注册邮箱、更新日期、域名状态，如果显示 clientTransferProhibited 被移除，或者更新日期是最近几天,说明账户已被操作。

第三步：重建DNS解析记录，修改所有密码

• 到注册商控制台，找到“DNS解析设置”，逐条核对A记录、CNAME、MX、TXT记录，把明显异常的记录删除,恢复成你服务器服务商提供的那几条。
• 如果域名NS记录被改成陌生地址，ns1.attacker.com,立刻改回注册商默认的NS地址。
• 修改域名管理密码、主机管理密码、数据库密码，三者不要用同一个，密码务必超过12位，包含大小写、数字和符号。

第四步：提交申述给注册商和应急机构

• 联系注册商的工单系统，说明“域名被劫持了”，并提供域名所有权证明（比如身份证、营业执照、历史购买邮件）。
• 如果注册商处理速度慢，可以同时向中国互联网络信息中心（CNNIC）或你所在地区的互联网应急中心提交网络安全事件反馈，这类机构在收到完整证据后,会协调注册商冻结域名。



• 保留所有操作日志截图，包括nslookup的异常结果、控制台的修改时间记录,后续维权用得上。

怎么查我的域名有没有被劫持？3个自检方法

不是所有劫持都表现为“网站打不开”，有些劫持很隐蔽，只影响特定地区或特定网络环境，这里提供三个不用花钱的自检方法,适合定期执行。

本机hosts文件对比法

• 用文本编辑器打开本机的 hosts 文件（Windows在 C:WindowsSystem32driversetchosts，Mac在 /etc/hosts）。
• 查看是否多出类似 45.67.89 example.com 的记录，有些恶意软件会偷偷改这个文件,把合法域名指向钓鱼IP。

DNS查询追踪法

用一个在线DNS检查工具（站长工具”的DNS查询页面）,同时查询你的域名在多个城市和运营商的解析结果。

• 如果不同地区返回的IP各不相同，且其中有一个不是你服务器的地址，那基本可以判定DNS解析劫持了。
• 再对比你服务器商提供的“正确的IP”，如果所有查询结果都指向另一个IP,说明记录被改得比较彻底。

SSL证书和WHOIS信息核查

• 浏览器访问你的网站，点击地址栏的小锁图标，查看证书上的域名是否完全匹配,证书域名不匹配说明访问可能被劫持。
• 用WHOIS查询工具看注册信息里的邮箱是否是你自己的，很多站长平时不关注WHOIS,等到域名要续费了才发现邮箱被换成了陌生地址。

域名被劫持到别的网站了，怎么防止再次发生

恢复只是一时，根除隐患才是重点，行业共识认为，大多数劫持事件都是因为账号安全意识薄弱，下面这些预防措施,适合在恢复后立即部署。

开启注册商的两步验证和域名锁

• 所有主流注册商（如简米云、酷番云、GoDaddy）都提供“两步验证”，也就是登录时除了密码，还要用手机App生成动态验证码,这一步能挡住大部分撞库攻击。



• 域名锁分为两类：一个是注册商自带的“禁止转移锁”，另一个是“禁止删除锁”，都打开,确保域名无法被偷偷转走或删除。

定期备份DNS配置和关注到期时间

• 在控制台导出DNS解析记录为TXT文件，保存到本地,建议每月做一次。
• 设置域名续费的提醒，提前一个月处理，据统计，相当一部分域名劫持事件发生在域名到期前后,因为注册商可能会释放域名控制权或进入赎回期。

使用DNSSEC和CAA记录

• DNSSEC是DNS安全扩展，可以防止DNS欺骗，国内主流注册商大多支持一键开启，开启后DNS应答会被签名验证,篡改成本高很多。
• 在DNS记录里添加一条CAA记录，0 issue "symantec.com"，这样只有指定的证书颁发机构能给你签发SSL证书,别人想伪造证书也变难。

Q&A：域名被劫持怎么解决？这三个问题问得最多

问：域名被劫持后，网站内容还在服务器上吗？

答：通常还在，劫持动的是域名解析，服务器上的文件没有被删除，只要IP和域名重新绑定正确，网站内容会原样出现，但如果你发现服务器上被上传了后门或恶意脚本,需要另外清理。

问：自己能解除DNS劫持吗？

答：如果域名还在自己的注册商账户下，你完全可以通过控制台修改解析记录来解除，如果域名已经被转移走，就只能联系注册商或安全机构介入,过程可能持续数小时到数个工作日。

问：域名被劫持到别的网站后，原来的访问流量能恢复回来吗？

答：只要解析记录恢复正确，且搜索引擎缓存被下一次抓取刷新后，流量会逐步恢复，如果此前跳转过很长时间，建议主动去百度搜索资源平台提交“网站改版”或“死链”处理,可以加速恢复。