域名劫持是站长和企业运维人员最头疼的安全问题之一。它往往来得悄无声息，等你发现时，网站流量可能已经被导流到赌博、色情等非法站点，不仅用户流失，搜索引擎还可能直接把你的域名拉黑。想要准确判断域名是否被劫持，需要从解析结果、注册信息、访问表现等多个维度交叉验证，单看某一个指标很容易误判。本文把完整的排查思路整理出来，照着做基本可以得出明确结论。
一、先认清域名劫持的几种常见形式
排查之前必须先搞清楚劫持发生在哪个环节，因为不同环节的劫持，检查方法完全不同。域名从用户输入到打开网站，中间要经过本地DNS、递归DNS、权威DNS、注册商等多个节点，任何一环被攻击者控制，都会造成劫持效果。
第一种是DNS解析劫持，攻击者通过入侵你的DNS服务商账户或利用服务商漏洞，直接修改域名的A记录、CNAME记录，把域名指向自己的服务器。这种劫持最彻底，所有访问该域名的用户都会中招。第二种是注册商账户被盗，攻击者登录你的注册商后台，甚至直接把域名转移到自己控制的账户下，这种情况下你连管理后台都进不去了。第三种是运营商层面污染，常见于某些地区的网络环境中，DNS查询报文被中途伪造响应，返回错误IP，这种劫持只影响特定网络的用户。第四种是网站自身被入侵，严格说不算域名劫持，而是Web服务器被植入跳转代码，表现相似但排查方向不同。
还有一种特殊情况值得注意：路由器DNS劫持。如果办公或家庭路由器被入侵或固件被篡改，连接该路由器的所有设备访问任何网站都可能被重定向。这种情况的症状是你的域名在某些网络下正常，在另一些网络下异常，是判断的重要线索。
二、用命令行工具核对DNS解析结果
确认域名当前解析到哪个IP，是最直接的检测手段。可以使用nslookup或dig命令查询，重点是把查询结果和你记录的正常IP做对比。
nslookup ippipp.com nslookup ippipp.com 8.8.8.8 nslookup ippipp.com 114.114.114.114
上面第一条命令使用系统默认的DNS服务器查询，第二条和第三条分别指定Google和国内的公共DNS。如果默认DNS返回的IP与公共DNS返回的IP不一致，就要高度怀疑本地或运营商DNS存在问题。如果连权威DNS都返回了错误IP，那基本可以确定是DNS服务商账户被入侵，解析记录被人改了。
更精确的做法是直接查询域名的权威DNS服务器。先通过nslookup -type=ns ippipp.com拿到NS记录，再向该NS服务器发起查询：
nslookup -type=ns ippipp.com dig @ns1.example-dns.com ippipp.com A +short
如果权威DNS返回的A记录不是你配置的IP，说明解析记录已被篡改，这是域名劫持最实锤的证据之一。建议平时把正常解析的IP记录下来存档，出问题时才有对比基准。另外，全记录类型都要查一遍，包括MX、CNAME、TXT，有些攻击者会额外添加解析记录用于发垃圾邮件，这种隐蔽手法光看A记录发现不了。
三、检查WHOIS信息和注册商账户状态
如果DNS解析结果完全正常，但网站访问仍有异常，或者你发现管理后台登录不上，就要检查域名所有权层面是否出了问题。通过WHOIS查询可以确认域名的注册人、注册商、到期时间、DNS服务器等关键信息有没有变化。
whois ippipp.com
查询结果重点核对这几项：一是注册商是否变更，如果从A注册商变成了你没听说过的B注册商，说明域名可能已被恶意转移；二是DNS服务器字段，NS记录指向了陌生的服务器，说明解析权被夺走了；三是域名状态码，出现pendingTransfer、clientTransferProhibited异常变更时要立即联系注册商。
同时登录你的注册商账户检查：账户邮箱和手机号有没有被改，域名的转移锁是否被关闭，whois隐私保护是否被关闭。很多劫持案例的第一步就是攻击者先盗取注册商账户密码，然后悄悄关闭转移锁、发起转移请求。如果发现账户密码被人改掉无法登录，必须在第一时间通过注册商官方客服申诉，提供注册凭证要求冻结域名，防止被转移到境外注册商后追回难度剧增。
四、从访问表现和第三方平台辅助判断
有些劫持不会改变DNS记录，而是通过中间层插入跳转，这种情况命令行查不出来，需要从访问现象入手。典型的可疑表现包括：直接输入域名访问正常，但从搜索引擎点击进入却跳转到别的网站；手机端访问异常而电脑端正常；特定地区用户访问异常；网站首页源码中出现了不是自己添加的<script>标签或<meta>刷新跳转。
可以借助一些公开资源交叉验证。比如使用不同地区的测速平台或在线PING工具，看各地解析到的IP是否一致；查看搜索引擎快照和收录页面，如果收录了大量博彩、违规内容的页面标题，而你的服务器上根本没有这些页面，就是典型的DNS劫持挂马特征；HTTPS证书查询平台也能提供线索，如果你的域名出现了不是你申请的证书签发记录，说明攻击者可能在为劫持做准备。
判断时务必排除自身因素。CDN配置错误、证书过期、服务器被黑植入跳转代码，都会产生类似症状。区分方法是：如果源站服务器文件校验没有异常、代码未被改动，而解析IP不对，那就是域名层面的劫持；如果解析IP正确但页面内容被篡改，则是服务器被入侵，处理方式完全不同。
五、确认劫持后的应急处理与日常防范
一旦确认被劫持，处理速度直接决定损失大小。第一步立即修改注册商账户和DNS服务商账户的密码，开启双因素认证；第二步恢复正确的解析记录，如果账户已失控则立即联系服务商客服冻结；第三步向搜索引擎提交申诉解封，清理被收录的违规页面记录；第四步检查服务器日志，确认攻击者是否还留有后门。
日常防范方面，建议做到以下几点：域名注册商和DNS服务商账户使用独立高强度密码并开启两步验证；开启注册商提供的域名转移锁；把重要域名的DNS解析同时配置监控告警，一旦解析变更立即收到通知；定期备份解析记录和网站代码；为企业域名配置DNSSEC，能有效抵御伪造响应类的DNS污染攻击。
最后提醒一点，域名劫持的追责和追回都有时间窗口，尤其是转移到境外注册商的域名，超过一定期限后处理难度会成倍增加。发现异常后不要犹豫，第一时间固定证据（截图解析记录、保存WHOIS查询结果），再联系服务商处理，这样既能加快恢复速度，也为后续可能的申诉保留完整材料。