网站域名安全㉖域名劫持的应急响应流程

网站域名安全㉖域名劫持的应急响应流程

上一篇㉕ 知名域名被盗事件复盘（二）看了内部渗透，这一篇讲真遇上了怎么办——前几小时的处置决定你能不能把域名抢回来。

第一步不是慌

域名劫持的应急响应流程。发现域名被改解析或被转出，第一反应不是到处打电话，而是立刻冻结一切变更、锁定账号，防止损失扩大。越早按住，能收回的概率越高，这也是⑪ 监控告警抢出的那几分钟的价值。

标准五步

一冻结：改密、开 2FA、锁账号；二核实：登录官方后台确认改动，不点任何通知链接（见④ 钓鱼陷阱）；三申诉：联系注册商提交权属证据，走赎回或回滚（见⑭ 赎回期）；四恢复：改回解析、换密钥、清后门；五复盘：补上被钻的洞。第五步最易被省，却最关键。

时间和证据

赎回期与转移窗口都以天计（见⑭），犹豫一天可能就永久丢失。全程留痕：截图、工单号、邮件时间线，既是申诉材料也是日后㉗ 证据保全的底。应急的本质，是在时间窗口内用证据把域名赢回来。

合规别漏报

应急五步之外，若域涉及用户数据或受监管行业，还得算上合规通知：某些地区要求数据事件在规定时限内报备。把「是否需报监管、时限几天」列进预案，别只救技术忘了法务，免得域名抢回又吃罚单，旧坑填了新坑又冒。

先保证据再恢复

应急第五步复盘之外，有个顺序容易错：急于恢复服务而先改回解析，可能覆盖了攻击证据。正确顺序是先冻结、再留痕（截图、工单、日志），最后才恢复，让证据保全（见㉗ 证据保全）走在前面。急着抹掉痕迹的心理很正常，但那会让你事后在申诉或仲裁时哑口无言，损失反而更大。

先保业务再追凶

应急容易陷入「查清谁干的」而耽误止损。正确优先级是：先冻结、先恢复业务、先把用户影响降到最低，溯源追责放后面。业务不停、用户不问，才是应急成功；反过来追凶追得热闹、业务趴窝，是本末倒置。把「恢复优先」写进预案第一条，团队才不会临场跑偏。

应急清单

• □ 出事先冻结一切变更、锁账号。
• □ 只登官方后台核实，不点通知链接。
• □ 立即申诉，赶在赎回/转移窗口前。
• □ 全程留痕，复盘补洞。

下一篇㉗ 争议期间的证据保全把应急里最关键的「证据」单拎出来讲。

本文收录于徐果萍文集《论持久站 网站域名》，徐果萍博客原创首发。