当你打开网站却看到广告、赌博页面，或者明明输入正确网址却跳转到仿冒站点，你的域名很可能遭遇了DNS劫持。DNS劫持是攻击者篡改DNS解析结果，将用户流量导向恶意服务器的攻击方式。作为网站管理员，你无法控制用户端的网络环境，但可以主动检测并加固自己的DNS配置。本文将通过具体操作，帮助你判断是否被劫持，并给出可落地的防御方案。
先判断：你的域名解析正常吗？
检测DNS劫持的核心是比对“应然”与“实然”。你可以在不同网络环境下（如本地网络、4G/5G、公共DNS）查询域名的解析结果，如果出现异常IP或与预期不符，则可能存在劫持。
使用 nslookup 快速检查
在命令行中输入：
nslookup yourdomain.com观察返回的IP地址。然后指定公共DNS查询：
nslookup yourdomain.com 8.8.8.8如果两次结果不同，且公共DNS返回的是你服务器IP，而本地DNS返回其他IP，则说明本地DNS解析可能被篡改。但注意，CDN或负载均衡可能导致不同DNS返回不同IP，需结合域名用途判断。
使用 dig 获取详细信息
dig 提供更详细的解析信息：
dig yourdomain.com +short对比不同DNS服务器的响应，并检查响应时间。如果某个DNS响应异常快（可能缓存了恶意结果）或返回多个IP，需要警惕。另外，使用 dig yourdomain.com +trace 可以查看完整解析链路，确认是否经过可疑的权威服务器。
检查DNS记录是否被篡改
除了A记录，攻击者还可能篡改CNAME、MX、NS等记录。定期使用在线工具或命令行检查所有记录类型：
dig yourdomain.com ANY注意，部分DNS服务器会忽略ANY请求，建议分别查询每个类型。如果发现未知的CNAME指向陌生域名，或NS记录被修改，则可能已被劫持。
防御第一步：加固域名注册商与DNS服务商
DNS劫持的根源往往是域名控制面板被入侵，或DNS服务商存在漏洞。因此，防御从源头开始。
启用双重认证
为域名注册商和DNS管理平台开启双因素认证（2FA），即使密码泄露，攻击者也无法轻易修改DNS记录。同时，使用强密码并定期更换。
锁定域名状态
在注册商处将域名设置为“转移锁定”（Transfer Lock），防止域名被恶意转移。同时，确保注册邮箱安全，因为攻击者可通过邮箱重置密码。
选择可靠的DNS服务商
使用有信誉的DNS托管服务，如Cloudflare、AWS Route 53等，它们提供高可用性和安全防护。避免使用免费且无保障的DNS服务。
防御进阶：部署DNSSEC
DNSSEC通过数字签名验证DNS响应的真实性，防止伪造。虽然配置复杂，但能有效抵御DNS劫持。
DNSSEC的工作原理
DNSSEC使用公钥加密对DNS记录进行签名，解析器可验证签名是否有效。如果攻击者篡改记录，签名验证失败，解析器会拒绝响应。但DNSSEC需要域名注册商、DNS服务商和解析器三方支持，部署前需确认兼容性。
启用DNSSEC的步骤
以Cloudflare为例，在DNS管理面板找到DNSSEC选项，启用后获取DS记录，然后到域名注册商处添加DS记录。等待生效后，可用工具验证：
dig yourdomain.com +dnssec查看响应中的 ad 标志（Authenticated Data），如果出现则验证通过。
防御升级：使用DoH/DoT加密DNS查询
即使你的DNS配置安全，用户端仍可能被劫持。通过加密DNS查询，可防止中间人篡改。
DoH与DoT的区别
DoH（DNS over HTTPS）将DNS查询封装在HTTPS中，通过443端口传输，难以被防火墙拦截；DoT（DNS over TLS）使用853端口。两者都提供加密，但DoH更隐蔽。
如何为网站启用DoH/DoT？
作为网站管理员，你可以配置自己的DNS解析器支持DoH/DoT，例如使用CoreDNS或Unbound。同时，在网站中引导用户使用支持DoH的浏览器或系统设置。例如，Firefox和Chrome都支持DoH，用户可在设置中启用。
监控与应急：日志与告警
及时发现劫持是减少损失的关键。你需要记录DNS查询日志，并建立异常告警。
日志记录的重要性
根据OWASP日志安全速查表，应用程序日志应包含安全事件，DNS日志同样重要。日志应记录查询时间、源IP、查询域名、响应结果等，以便分析异常。但注意，日志可能包含敏感信息，需妥善保护。
使用监控工具
可以使用开源工具如Prometheus + Grafana监控DNS解析成功率、响应时间等指标。当解析结果与预期不符时，触发告警。此外，定期手动检查关键记录，或使用第三方监控服务（如DNSPod的监控）。
日志分析示例
借助Python的logging库，你可以编写脚本定期查询DNS并记录结果。例如：
import logging, socket
logging.basicConfig(filename='dns.log', level=logging.INFO)
for domain in ['yourdomain.com', 'www.yourdomain.com']:
try:
ip = socket.gethostbyname(domain)
logging.info(f'{domain} resolved to {ip}')
except Exception as e:
logging.error(f'{domain} resolution failed: {e}')然后通过分析日志发现异常IP。但这种方法依赖于你的判断，需要定期更新预期IP列表。
常见误区与注意事项
在检测与防御过程中，有几个常见误区需要避免。
误区一：所有解析结果不同都是劫持
CDN、负载均衡、GeoDNS等都会导致不同IP，甚至同一DNS在不同时间返回不同结果。因此，判断劫持需结合业务场景，并参考权威DNS的响应。
误区二：启用DNSSEC就万事大吉
DNSSEC只能防止解析结果被篡改，但无法防止攻击者直接入侵你的DNS管理面板。因此，仍需做好账号安全。
误区三：只关注A记录
攻击者可能劫持MX记录以窃取邮件，或劫持NS记录以控制整个域名。因此，要定期检查所有记录类型。
注意事项：来源不足时的应对
本文中的操作步骤基于通用知识，但具体命令输出可能因环境而异。如果你在检测中遇到不确定情况，建议使用多个工具交叉验证，并咨询专业安全人员。另外，DNSSEC和DoH的部署可能需要服务商支持，请先确认。
总结与行动清单
保护域名安全需要持续努力。以下是一个行动清单：
- 定期使用nslookup和dig检查解析结果，比对不同DNS。
- 启用注册商和DNS平台的2FA，锁定域名。
- 评估并部署DNSSEC，确保解析真实性。
- 为你的DNS服务启用DoH/DoT，或引导用户使用。
- 配置日志记录与监控，及时发现异常。
记住，DNS劫持检测与防御是一个动态过程，攻击者手段不断更新，你需要保持警惕并定期更新安全措施。
参考资料
延伸阅读