网站域名安全⑤域名被盗路径之DNS劫持

网站域名安全⑤域名被盗路径之DNS劫持

上一篇④ 钓鱼陷阱把社工拆完，这一篇起讲钥匙到手后，攻击者怎么让流量改道——DNS 劫持。

解析是域名的导航

域名被盗路径之DNS劫持。域名本身没被转走，但解析被改了：用户敲你的网址，却走进攻击者搭的假站。导航被偷偷改道，车主毫无感觉，这比直接偷域名更隐蔽，也更适合钓鱼和木马投放。

三种改道手法

入侵解析账户：拿到 DNS 平台密码后改 NS 或 A 记录，指向自己的服务器；篡改缓存：污染本地或运营商 DNS 缓存，让用户拿到假 IP（见⑥ 缓存投毒）；中间人：在链路层截持，把响应替换掉。前两类靠账户与协议漏洞，第三类靠网络位置。

兜底两招

监控先行：对关键域的解析做分钟级探测，A/NS 一变立刻告警（见⑪ 监控告警），抢在用户大面积中招前发现。协议兜底：开启 DNSSEC（见⑩），让解析带签名、缓存投毒难以伪造。账户侧再把 DNS 平台单独加 2FA。三层叠起来，改道就难落地。

收紧区域传送

解析账户之外，DNS 服务端也要收：关掉不必要的 Zone Transfer（AXFR）、限制允许同步的 IP，别让整份解析表被轻易拖走。很多投毒的前奏，是先摸清你的记录结构。服务端这层收紧，和前端的监控、2FA 是同一条链上的不同环，缺一不可。

分权管理解析

DNS 平台账号也要讲最小权限：日常运维用只读账号看解析，真正能改 NS/A 的写账号单独保管、双人审批。很多公司把所有解析权限塞给一个人，人一离职或被钓，整片域瞬间失控。把「谁能看」和「谁能改」拆开，再加操作审计日志，即便出事也能从日志里还原改了什么、谁改的，应急时有据可查。

变更走审批流

解析变更最忌「谁想改就改」。建议任何 NS/A 修改都走审批流：提交人、复核人、生效时间三段留痕，紧急变更也先群内报备再操作。看似慢半拍，却能把「误操作」和「被篡改」都挡在门外。很多大故障就是一次无审批的随手改，回滚都找不到责任人。

说到底，解析是域名的导航仪，导航被人改了道，车就开进沟里；守住解析，就守住了用户到达你的最后一段路。

防劫持清单

• □ DNS 平台单独强口令 + 2FA。
• □ 关键域解析做分钟级监控告警。
• □ 开启 DNSSEC，防缓存投毒。
• □ NS/A 变更走双人复核。

下一篇⑥ 缓存投毒把上面提到的缓存污染，讲透它的原理与危害。

本文收录于徐果萍文集《论持久站 网站域名》，徐果萍博客原创首发。