怎么做域名劫持？域名劫持怎么解决，网站被劫持怎么办？

域名劫持不是靠神秘代码，而是攻击者通过控制域名注册或DNS解析流程，把你的访客导向钓鱼网站；防御的核心是锁死注册商账户、开启DNSSEC、定期检查解析记录。

什么是域名劫持？与DNS劫持有什么区别

域名劫持听起来像黑客大片里的桥段,但它其实就发生在你身边，简单说，你的域名就像一个商店的地址，DNS解析系统就像导航地图，域名劫持，就是有人悄悄把你的地址换成了另一个看起来很像的店，顾客进了假店还浑然不知。

具体到技术层面,域名劫持指的是攻击者获取了你域名的管理权限，直接篡改DNS解析记录，比如把A记录指向钓鱼服务器、把MX记录换成恶意邮箱服务器，而DNS劫持的范围更宽，流量在DNS解析链路中就被动手脚，比如运营商劫持、路由器挟持，行业共识认为，域名劫持的破坏力更大，因为它是从源头修改，所有访问者都会中招。

因为域名劫持的目标是注册商和DNS托管商,所以防范思路和“DNS污染”“本地hosts篡改”完全不同，不要混淆。

攻击者是怎么做到域名劫持的？四个常见入口

要防御,先搞清楚攻击者怎么动手，域名劫持通常不是直接暴力破解你的DNS服务器，而是从管理链路的薄弱点进入，下面四个入口最常见。

注册商账号被钓鱼或撞库

攻击者制作一个假的域名注册商登录页,发钓鱼邮件诱导你输入账号密码，或者用你泄露的其他平台密码去撞库，只要登录成功，他们就能进入控制面板改名、改DNS、申请转移。

• 防护：给域名注册账号单独设置高强度密码，别和邮箱共用。
• 防护：强制开启两步验证，就算密码丢了，攻击者也进不来。

DNS托管服务商被入侵

很多小站点把域名解析放在免费或小型的DNS服务商那,这些平台的安防水平参差不齐，一旦服务商被入侵，攻击者就能批量篡改解析记录，业内专家指出，这类事件多发生在没有独立DNS分散部署的站点上。

域名转移流程漏洞

ICANN有域名转移规则,攻击者会利用你注册邮箱的泄露，发送确认邮件后直接批准转移，有些注册商审核宽松，甚至不需要二次验证。

• 防护：在注册商后台开启“域名锁定”/“禁止转移”。
• 防护：把域名到期时间、转移状态记录下来，每月查一次WHOIS。

管理邮箱被攻破

域名注册商的所有邮件通知都发到你的管理员邮箱,如果这个邮箱被盗，攻击者就能“替你做任何事”：重置账户密码、接收转移确认码、修改联系人信息，多数情况下，邮箱被攻破不是因为暴力破解，而是因为你在多个网站用了同一个密码。

域名劫持攻击原理：从DNS请求到伪造响应

刚才说了入口,这里说说具体的攻击原理，当用户访问你的网站时，本地DNS缓存会去找权威DNS服务器查询IP，攻击者要做的，就是让权威DNS服务器返回错误的IP地址，达到这个目的有三种方式：

• 直接修改你的解析记录：需要拿到管理权限。
• 在DNS响应链路上插入虚假数据：需要控制路由器或DNS服务器。
• 利用DNS协议漏洞（如缓存投毒）：历史上出现过Kaminsky攻击，现在由于随机化端口和DNSSEC普及，难度大了很多。

你需要记住一个判断标准：如果域名在WHOIS中的状态正常，但解析结果异常，那大概率是解析记录被改了；如果WHOIS都变了，那就是注册账户被完整接管了。

域名被劫持了怎么办？先按这三步止损

如果你的网站突然跳转到赌博站或假官网,先别慌，按下面的顺序操作能挽回大部分损失。

第一步：到注册商后台锁定域名

立刻登录域名注册商,如果登不上就打电话联系客服，要求冻结域名状态，这一步能阻止攻击者把域名转移走，注册商支持锁定后，域名转移流程会暂停72小时左右。

第二步：重置所有关联密码并开启两步验证

用一台干净的设备,修改注册商、DNS托管方、管理员邮箱的密码，注意一定要在确认电脑没有恶意软件后再改，否则密码会再次被盗。

第三步：用dig命令定位污染点

打开终端或命令行,执行以下命令：

• dig yourdomain.com A @8.8.8.8 查看全球DNS返回的IP。
• dig yourdomain.com A @114.114.114.114 对比国内解析结果。
• whois yourdomain.com 查看域名注册人信息是否被更改。

如果两条不同公共DNS返回的IP不一样,说明你的解析记录已经被劫持了，立刻把记录改回源站IP，并导出当前配置作为证据，之后联系注册商提交投诉，要求启用“域名争议”流程，对于国内注册的域名，可以拨打注册商官方客服电话要求人工处理。

域名劫持怎么解决？从根源加固的五条实操

止损只是第一步,真正要解决问题，得让劫持无法再次发生，以下五条实操建议，按优先级排序。

开启注册商的所有安全锁

在域名列表页找“安全属性”，把“注册商锁定”“禁止转移”“禁止删除”全部开启，国内不少注册商的默认状态是“未锁定”，需要你手动改。

给DNS记录加“只有你知道”的防护

使用支持DNSSEC的DNS服务商,并在注册商那边开启DNSSEC委派，这样攻击者即使改了记录，解析服务器也会因为签名校验失败而拒绝，国内知名云服务商都提供免费DNSSEC支持，开启后基本不影响访问速度。

设置解析记录变更通知

很多DNS服务商有“变更通知”功能，开启后，每次A记录、MX记录、TXT记录改变，你都会收到邮件或短信，这能让你在几分钟内发现可疑操作。

给域名准备一个备用解析方案

如果你的网站流量比较大,建议把权威DNS分散到两家不同的服务商上，比如一家用国内服务商，一家用海外服务商，攻击者拿下其中一家，另一家还能继续回源，为恢复争取时间。

监控WHOIS和过期时间

用免费的WHOIS监控服务,每周自动检查域名状态，特别关注以下三个字段：

• 

  Registrar（注册商）

• Nameserver（解析服务器）
• Registrar Status（注册商状态）

状态变为“Pending Transfer”或者“clientTransferProhibited”被移除，都是危险信号，如果你不确定怎么看，直接搜索“WHOIS查询在线工具”输入自己的域名就行。

域名劫持与DNS劫持区别：这样判断最准确

很多朋友在搜索“怎么做域名劫持”时，其实遇到的是运营商劫持或路由器劫持，判断方法很简单：在同一网络下，你解析自己的域名得到错误IP；但用其他网络（比如4G流量）访问则正常，那就是链路DNS劫持，而真正的域名劫持是“无论哪里解析，IP都是错的”，或者你的注册信息变了。

Q&A：域名劫持常见问题

问：域名被劫持后能追回吗？

能,但越早处理成功率越高，如果你能证明域名属于你（注册邮箱、实名认证材料、域名密码），注册商会支持你恢复控制权，处理期间把手机通话录音、邮件截图都保留下来，作为追回证据，对于已被转移到其他注册商的域名，需要通过ICANN的“域名转移争议”程序，处理时间可能长达数月。

问：域名劫持会导致网站被百度处罚吗？

如果劫持页面长期挂着博彩或游戏内容,百度站长工具会检测到站点异常，并降低收录，等你恢复后，在百度搜索资源平台提交“整改申诉”，说明劫持发生的时间段和恢复情况，一般能恢复信任，这里有个关键点：你的网站如果被劫持后页面被大量收录，需要在robots里屏蔽那些假目录，并批量做404处理。

问：哪种网站最容易遭域名劫持？

长期不登录注册后台的中小企业站、无人关注的老域名、密码强度弱且不开启两步验证的个人站，都是目标，攻击者通常用脚本扫全网域名，按WHOIS信息批量发钓鱼邮件，你的域名注册时间越久，被盯上的概率反而越高，因为老域名的历史权重更容易被拿去养垃圾站。

到这里,域名劫持从原理到解决方案已经说得比较清楚了，记住一个核心结论：域名劫持不是黑客炫技，而是管理漏洞被利用；把注册商账号锁住、开启DNSSEC、做好解析监控，劫持就没那么容易找上门。