域名劫持是互聯(lián)網(wǎng)攻擊的一種方式，通過(guò)攻擊域名解析服務(wù)器(DNS)，或偽造域名解析服務(wù)器(DNS)的方法，把目標(biāo)網(wǎng)站域名解析到錯(cuò)誤的地址，其效果就是對(duì)特定的網(wǎng)址不能訪問(wèn)或訪問(wèn)的是假網(wǎng)址。

　　網(wǎng)站域名被DNS劫持了怎么辦？

　　域名劫持就是在劫持的網(wǎng)絡(luò)范圍內(nèi)攔截域名解析的請(qǐng)求，分析請(qǐng)求的域名，把審查范圍以外的請(qǐng)求放行，否則直接返回假的IP地址或者什么也不做使得請(qǐng)求失去響應(yīng)，其效果就是對(duì)特定的網(wǎng)址不能訪問(wèn)或訪問(wèn)的是假網(wǎng)址。

　　域名劫持原理

　　域名劫持一方面可能影響用戶(hù)的正常體驗(yàn)，用戶(hù)被引到假冒的網(wǎng)站進(jìn)而無(wú)法正常瀏覽網(wǎng)頁(yè)。用戶(hù)量較大的網(wǎng)站域名被劫持后惡劣影響會(huì)不斷擴(kuò)大，用戶(hù)可能被誘騙到冒牌網(wǎng)站進(jìn)行登錄等操作導(dǎo)致泄露隱私數(shù)據(jù)。

　　域名解析原理

　　域名解析(DNS)的基本原理是把網(wǎng)絡(luò)地址(域名，以一個(gè)字符串的形式)對(duì)應(yīng)到真實(shí)的計(jì)算機(jī)能夠識(shí)別的網(wǎng)絡(luò)地址(IP地址，比如122.102.14.131這樣的形式)，以便計(jì)算機(jī)能夠進(jìn)一步通信，傳遞網(wǎng)址和內(nèi)容等。

　　由于域名劫持往往只能在特定的被劫持的網(wǎng)絡(luò)范圍內(nèi)進(jìn)行，所以在此范圍外的域名服務(wù)器(DNS)能夠返回正常的IP地址，高級(jí)用戶(hù)可以在網(wǎng)絡(luò)設(shè)置把DNS指向這些正常的域名服務(wù)器以實(shí)現(xiàn)對(duì)網(wǎng)址的正常訪問(wèn)。所以域名劫持通常相伴的措施——封鎖正常DNS的IP。

　　如果知道該域名的真實(shí)IP地址，則可以直接用此IP代替域名后進(jìn)行訪問(wèn)。

　　域名劫持原理

　　網(wǎng)站如果被植入木馬程序或者代碼，表現(xiàn)為通過(guò)搜索引擎搜索到某一網(wǎng)站，搜索結(jié)果中的網(wǎng)站名稱(chēng)、域名均與實(shí)際相符，但打開(kāi)這個(gè)網(wǎng)站的前幾秒時(shí)間是打開(kāi)的院網(wǎng)站沒(méi)有異常。但是再過(guò)幾秒鐘左右，打開(kāi)出現(xiàn)的網(wǎng)站卻是其他網(wǎng)站或者非法網(wǎng)站，而域名解析的ip地址沒(méi)有任何異常是完全正確的。我們通常把出現(xiàn)類(lèi)似的問(wèn)題稱(chēng)之為“域名劫持”。

　　域名劫持方法

　　攻擊者通常采用注入代碼與植入木馬文件的手法。注入代碼當(dāng)被注入的文件被瀏覽者訪問(wèn)時(shí)，這段注入的代碼開(kāi)始工作形成一個(gè)木馬文件，攻擊者再用這個(gè)木馬文件來(lái)控制服務(wù)器。當(dāng)然還有些攻擊者不需要控制服務(wù)器只是在Web文件里注入一些黑鏈接，打開(kāi)網(wǎng)站時(shí)不會(huì)出現(xiàn)任何多余的內(nèi)容，只是打開(kāi)速度比正常的要慢很多，因?yàn)橐冗@些黑鏈接都生效之后整個(gè)網(wǎng)站才完全打開(kāi)，如果是黑鏈接只需要清除一下就可以，但是文件被植入了木馬或代碼的話，便很難查找。

　　文件被植入代碼或者木馬的主要特征：

　　1、隱蔽性強(qiáng)

　　生成的木馬文件名稱(chēng)，和系統(tǒng)的文件名極為像似，如果從文件名來(lái)識(shí)別，根本無(wú)法判斷。而且這些文件，通常會(huì)放到網(wǎng)站文件夾下很多級(jí)子文件夾里，使管理員無(wú)從查找，文件植人的字符也非常隱蔽，只有幾個(gè)字符，一般無(wú)法發(fā)現(xiàn)。

　　2、技術(shù)性強(qiáng)

　　將文件存儲(chǔ)在某文件夾下，并對(duì)這個(gè)文件作特殊字符處理，正常辦法無(wú)法刪除，無(wú)法復(fù)制，有的甚至無(wú)法看到，只是檢測(cè)到此文件夾里有木馬文件，但無(wú)法查看到，(系統(tǒng)完全顯示隱藏文件)，更無(wú)法刪除、復(fù)制。

　　3、破壞性強(qiáng)

　　一個(gè)站點(diǎn)如果被植入木馬或字符，整個(gè)服務(wù)器相當(dāng)于被攻擊者完全控制，可想而知破壞性有多大。

　　域名被劫持后該怎么做?

　　1、立即修改域名服務(wù)商和郵箱密碼，使用復(fù)雜度高的密碼且經(jīng)常更換

　　2、刪除不屬于你的DNS解析，恢復(fù)DNS設(shè)置。關(guān)閉域名的泛解析，進(jìn)入域名管理后臺(tái)就可以點(diǎn)擊我們的域名找到帶*號(hào)的域名解析，刪除掉就可以了。

　　3、如果使用的是第三方DNS服務(wù)，應(yīng)立即修改第三方DNS服務(wù)端帳戶(hù)密碼，鎖定帳戶(hù)信息，開(kāi)啟帳戶(hù)短信郵箱類(lèi)提醒

　　4、看網(wǎng)站整體代碼是否被篡改。這是解決域名劫持問(wèn)題之后對(duì)自己的網(wǎng)站進(jìn)行全面排查，從而做到完美的清除垃圾頁(yè)面，保證網(wǎng)站的安全性。

　　5、收集全部被非法添加的頁(yè)面并設(shè)置404，使用百度站長(zhǎng)平臺(tái)工具提交死鏈。因?yàn)槟切┚W(wǎng)站的死鏈就是我們的垃圾頁(yè)面，所以我們要把這些死鏈都解決。我們?cè)陧?yè)面舉報(bào)內(nèi)容處寫(xiě)上網(wǎng)站被惡意攻擊就可以了。

　　6、如果該服務(wù)商下域名經(jīng)常出現(xiàn)被劫持事件，可考慮更換更安全穩(wěn)定的服務(wù)商。有能力的網(wǎng)站可自建DNS服務(wù)自主運(yùn)營(yíng)。

　　如何預(yù)防域名劫持?

　　1、為域名注冊(cè)商和注冊(cè)用郵箱設(shè)置復(fù)雜密碼且經(jīng)常更換。使用單獨(dú)的DNS服務(wù)，也需要對(duì)密碼進(jìn)行上述設(shè)置。同時(shí)注意不要在多個(gè)重要注冊(cè)地使用相同的用戶(hù)名和密碼。

　　2、將域名更新設(shè)置為鎖定狀態(tài)，不允許通過(guò)DNS服務(wù)商網(wǎng)站修改記錄，使用此方法后，需要做域名解析都要通過(guò)服務(wù)商來(lái)完成，時(shí)效性較差。

　　3、定期檢查域名帳戶(hù)信息、域名whois信息，査看事件管理器，清理Web網(wǎng)點(diǎn)中存在的可疑文件。每天site網(wǎng)站檢查是否有預(yù)期外網(wǎng)頁(yè)。詳細(xì)檢查網(wǎng)站索引和外鏈信息有異常一定要檢查清楚。

　　4、加強(qiáng)網(wǎng)站的防SQL注入功能，SQL注入是利用SQL語(yǔ)句的特點(diǎn)向數(shù)據(jù)庫(kù)寫(xiě)內(nèi)容，從而獲取到權(quán)限的方法。

　　5、配置Web站點(diǎn)文件夾及文件操作權(quán)限。Windows網(wǎng)絡(luò)操作系統(tǒng)中，使用超級(jí)管理員權(quán)限，對(duì)Web站點(diǎn)文件及文件夾配置權(quán)限，多數(shù)設(shè)置為讀權(quán)限，謹(jǐn)慎使用寫(xiě)權(quán)限，如果無(wú)法獲取超級(jí)管理員權(quán)限，這樣木馬程序便無(wú)法生根，網(wǎng)站域名被劫持的可能便可以降低很多。

　　6、利用事務(wù)簽名對(duì)區(qū)域傳送和區(qū)域更新進(jìn)行數(shù)字簽名

　　7、刪除運(yùn)行在DNS服務(wù)器上的不必要服務(wù)，如FTP

　　8、在網(wǎng)絡(luò)外圍和DNS服務(wù)器上使用防火墻服務(wù)。將訪問(wèn)限制在那些DNS功能需要的端口/服務(wù)上。