什么是DNS劫持？它有哪些危害？

　　DNS就是把域名翻译成IP地址的系统。你输入一个网址，DNS告诉你该连哪台服务器。DNS劫持就是有人在这条“翻译链”上动了手脚，把原本应该指向正确服务器的域名，指向了攻击者指定的地址。

　　攻击者篡改解析记录的手段主要有三种：本地设备劫持(修改你电脑的hosts文件或DNS设置)、路由器劫持(篡改你家路由器的DNS配置，影响所有连网设备)、DNS服务器攻击(包括DNS缓存投毒、入侵权威DNS服务器、中间人攻击)。

　　手段说完了，这篇重点聊危害——DNS劫持到底能造成什么后果，为什么它比很多人想象的要严重得多。

　　危害一：账号密码被窃取，这是最直接的损失

　　DNS劫持最经典的攻击场景就是钓鱼。

　　攻击者把银行网站、电商平台、邮箱登录页的域名解析到一个精心伪造的假网站上。这个假网站和真网站长得一模一样——LOGO、布局、输入框、甚至SSL证书都看不出破绽。

　　你输入账号密码，点击登录，页面可能还会跳转回真网站让你觉得“刚才只是网络卡了一下”。但你的账号密码已经在攻击者的服务器上了。

　　这个危害的严重程度取决于被劫持的是什么网站：

　　银行和支付平台——直接造成资金损失。攻击者拿到你的网银账号密码后，可以转账、消费、申请贷款。

　　邮箱——邮箱是很多账号的“找回密码”入口。邮箱被攻破，攻击者可以用它重置你其他所有账号的密码，形成连锁反应。

　　企业和内部系统——如果企业员工登录域名被劫持，攻击者可以窃取员工的凭证，进而进入企业内部网络。

　　社交和电商账号——账号被盗后可能被用于欺诈你的好友，或者盗刷你绑定的支付方式。

　　危害二：流量被劫持到恶意服务器，网站完全被控制

　　比钓鱼更隐蔽的一种危害是流量重定向。

　　攻击者不伪造登录页面，而是把你的域名解析到一个恶意服务器上。这个服务器可以：

　　植入恶意代码——你的网站被打开时，恶意服务器返回的页面里嵌入了脚本、木马下载链接、或者窃取Cookie的JavaScript。用户访问你的网站，电脑就中招了。

　　篡改网站内容——攻击者可以在你的网站上发布虚假信息、欺诈广告、甚至政治敏感内容。对于企业官网来说，这直接损害品牌信誉。

　　拦截API通信——如果你的小程序或App后端接口被重定向，攻击者可以中间人拦截所有API请求和响应，窃取用户数据、篡改交易金额、伪造服务器指令。

　　插入广告——这是运营商级别DNS劫持的“经典操作”。你访问一个正常网站，页面顶部或底部被强行插入广告，而这些广告和网站本身没有任何关系。用户在不知情的情况下，会认为是网站自己在打广告，损害的是网站的品牌形象。

　　危害三：企业邮件被拦截，商业机密泄露

　　企业邮箱通常使用自定义域名(如name@company.com)。如果这个域名的MX记录被DNS劫持，攻击者可以：

　　拦截所有收发邮件——攻击者把MX记录指向自己的邮件服务器，所有发往该企业的邮件都会先到攻击者手里。攻击者可以阅读内容、转发给真正的收件人(收件人完全不知情)，或者直接截留。

　　伪造发件人——攻击者可以用劫持来的域名，冒充公司高管向财务人员发邮件，要求转账。这类“商务邮件欺诈”(BEC)每年造成全球企业数十亿美元的损失。

　　窃取商业机密——如果企业正在进行的并购谈判、产品研发讨论通过邮件进行，这些内容全部暴露在攻击者眼前。

　　更麻烦的是，邮件劫持可能持续数周甚至数月不被发现。因为邮件看起来都正常送达了，只有攻击者知道中间多了一道“中转站”。

　　危害四：SSL证书验证失效，HTTPS形同虚设

　　很多人以为“网站有HTTPS小锁头就安全了”。但DNS劫持可以绕过这道防线。

　　攻击者把域名解析到自己的服务器后，可以用Let’s Encrypt免费申请一张该域名的SSL证书(因为Let‘s Encrypt只验证域名控制权，不验证身份)。这样一来，浏览器地址栏显示的仍然是HTTPS和小锁头，但连接的另一端是攻击者。

　　更严重的是，如果攻击者控制了DNS解析，他们还可以申请EV证书(扩展验证证书)，这种证书通常会让浏览器地址栏显示企业名称。用户看到“XX银行”的字样和小锁头，会更加确信网站是真的。

　　HTTPS保护的是传输过程，不保护“你连的那台服务器是不是真的”。 DNS劫持恰恰攻击的是“你连的是哪台服务器”这个环节。这是很多人理解上的盲区。

　　危害五：SEO排名暴跌，自然流量归零

　　这个危害对企业网站来说尤其致命，但很多人意识不到。

　　搜索引擎的爬虫也是通过DNS解析来抓取网页的。如果你的域名被DNS劫持，搜索引擎爬虫抓到的可能是攻击者服务器上的内容——垃圾页面、垃圾网站、或者干脆是404。

　　搜索引擎会认为你的网站“内容质量下降”或“存在安全问题”，进而降低你的排名，甚至直接从搜索结果中移除。等你发现的时候，自然流量已经跌了大半，恢复排名需要很长时间。

　　还有一种更隐蔽的情况：攻击者把你的域名解析到一个“镜像站”上，镜像站复制了你网站的全部内容，但插入了大量黑帽SEO链接。搜索引擎无法区分哪个是“正版”，可能导致你的原创内容被判定为“抄袭”。

　　危害六：DDoS攻击的跳板

　　DNS劫持不只是“被动受害”，还可能让你的服务器成为攻击他人的工具。

　　如果攻击者控制了你的DNS解析，他们可以把你的域名指向一个受害者的服务器。当大量用户访问你的域名时，流量实际打到了受害者的服务器上——你的用户成了DDoS攻击的“帮凶”，而受害者完全不知道攻击来自哪里。

　　另一种情况是：攻击者劫持你的DNS后，把你的域名解析到一个恶意软件分发服务器。所有访问你域名的用户都在下载恶意软件，而你的域名会成为安全厂商黑名单上的“恶意域名”。解除这个黑名单标记可能需要数周甚至数月。

　　危害七：品牌信誉受损，用户信任崩塌

　　这是所有技术危害的最终落点。

　　用户访问你的网站，看到的是被篡改的页面、插入的广告、或者浏览器弹出的“此网站不安全”警告。他们不会去查“这是DNS劫持导致的”，他们只会记住“这个网站有问题”。

　　对于电商平台，用户不敢下单;对于金融机构，用户不敢登录;对于企业官网，客户怀疑公司的专业能力。信任一旦崩塌，重建的成本远高于技术修复的成本。

　　谁最容易成为目标

　　DNS劫持不是随机攻击，攻击者通常有明确的目标选择：

　　金融机构和支付平台——直接变现价值最高。

　　电商平台——用户绑定了支付方式，账号有价值。

　　企业邮件系统——商业机密和BEC欺诈的入口。

　　政府和教育网站——流量大，被劫持后影响面广。

　　高流量网站——被劫持后可以插入广告或脚本，变现快。

　　使用廉价或免费DNS服务的中小网站——安全防护弱，容易被攻破。

　　如何判断自己是否被劫持？几个简单的自查方法：

　　对比不同网络的解析结果。用手机4G和家里Wi-Fi分别访问同一个网站，如果结果不一样(一个正常一个异常)，可能被劫持了。

　　检查hosts文件。打开C:\Windows\System32\drivers\etc\hosts(Windows)或/etc/hosts(macOS/Linux)，看有没有不认识的域名映射记录。

　　检查路由器DNS设置。登录路由器后台，查看WAN口和DHCP设置中的DNS地址。如果不是你熟悉的(如114.114.114.114、8.8.8.8)，可能被改了。

　　用dig或nslookup验证。如果两个DNS服务器返回的IP不一致，说明至少有一个被污染了。

　　留意SSL证书警告。访问敏感网站时，如果浏览器提示证书无效或不受信任，可能是被劫持到了钓鱼站点。

　　关注网站流量异常。如果自然搜索流量突然暴跌，或者用户反馈“网站打不开”“页面不对”，需要排查DNS。

　　防护思路

　　DNS劫持的危害链条是从“解析被篡改”开始的，所以防护也要从解析环节入手：

　　对普通用户来说：开启DoH/DoT加密DNS查询、修改路由器默认密码、定期检查hosts文件和DNS设置。

　　对网站运营者来说：启用DNSSEC(域名系统安全扩展)验证解析结果的真实性、使用可靠的DNS服务商、监控DNS解析是否被篡改、给域名注册商账户开启双因素认证。

　　对企业来说：部署DNS安全监控、对员工进行钓鱼识别培训、关键业务系统使用独立域名和专用DNS。

　　总结：DNS劫持的危害远不止“打不开网站”这么简单。它能让你的账号被盗、让你的用户中招、让你的邮件被看、让你的品牌被毁。而这一切的起点，可能只是路由器上一个没改的默认密码，或者一条没开DNSSEC的解析记录。