DNS 安全：劫持与污染的应对
发布时间：2026-02-09 12:33
更新时间：2026-02-09 23:37
解析记录没人动过，用户却访问到了陌生页面——问题多半不在服务器，在解析链路上。DNS 劫持和污染是两条不同的路，先分清，再谈应对。
一、先分清劫持与污染
劫持是权威侧出事：域名服务商账号被盗、解析记录被改、DNS 服务器被攻破，所有用户的解析结果都指向攻击者的服务器。污染是链路侧出事：查询应答在途中被塞了假记录，通常是局部、间歇性的。区分办法是多点验证：本机 dig +short yourdomain.com 看结果，再指定其他公共解析地址查一遍 dig @1.1.1.1 +short yourdomain.com。两边结果不一致，链路污染的可能性大；权威记录本身变了，就是劫持，要立刻去服务商处核对。
二、异常跳转的识别动作
日常巡检加两个动作：curl -sI http://yourdomain.com | head 看响应头里的 Location 跳向哪里，出现陌生域名立即警觉；用浏览器无痕模式访问对照，被劫持的站点常伴随证书告警或页面内容对不上号。用户的反馈也别当噪音处理，"打开变成别的网站"这类报告，当天就该查解析。
三、DNSSEC 给解析上签名
DNSSEC（域名系统安全扩展）给解析记录加上数字签名，递归服务器会验证应答真伪，假应答直接丢弃。它防不了服务商账号被盗，但能防链路掺假，需要在域名服务商处开启并按期维护签名。开启前确认业务链路兼容，个别老系统对签名记录处理不当，先在测试域名上验证。
四、备用解析与账号防线
架构上做两层冗余：域名注册商与 DNS 解析服务分开托管，避免一处被盗全线失守；关键业务配第二家解析服务做主备，主解析异常时能快速切换。最后的防线落在账号上：域名服务商账号开启二次验证，操作留痕。
解析层的隐患平时不显眼，一出事就是整站跳转。多点验证的习惯加上冗余架构，应付这两类问题足够了。