去年秋天，网站我一个做独立博客的防劫朋友发现，自己站点的持软百度收录量一夜之间归零。他以为是网站服务器崩了，查了日志——正常。防劫又以为是持软robots.txt写错了，翻出来看——没动过。网站折腾了三天，防劫最后在浏览器里用手机流量打开网站，持软跳转到了一个博彩页面。网站用WiFi打开，防劫正常。持软

这就是网站典型的DNS劫持。运营商那端被污染了，防劫特定网络环境下，持软你的域名被解析到了别人的服务器上。用户看到的是你的域名，打开的却是别人的内容。

网站防劫持软件要解决的核心问题就一个：从用户输入你的域名，到浏览器真正加载你的页面，这条链路上有太多环节可以被人动手脚。DNS解析、HTTP传输、甚至路由器本身，每一环都可能被插一脚。

劫持到底有几种玩法

最常见的两种。一种是DNS劫持，刚才说的那种，用户在运营商层面被引导到假IP。另一种是HTTP劫持，你的域名解析没问题，服务器也没问题，但数据在传输过程中被运营商或者中间节点注入了广告代码、跳转脚本。你打开页面，右下角弹出一个关不掉的浮窗，或者页面顶部被塞了一条横幅——这就是HTTP劫持的典型症状。

还有更粗暴的：ARP攻击。同一个局域网里，有人用ARP欺骗把你路由器的流量引到他机器上，再伪造你的页面。这种情况在公共WiFi环境下特别多，咖啡馆、酒店、机场，连上就能中招。

防劫持软件在做什么

市面上的防劫持工具，思路大概分三层。

第一层是监控。定时检测你的域名在全国各地的解析结果，看有没有异常IP。阿里云、腾讯云都有这类服务，原理不复杂——在全国多个节点同时dig你的域名，结果一对比，哪个地区返回了不该返回的IP，立刻告警。我那个朋友后来就是靠这个发现问题出在某省联通。

第二层是加密。HTTPS是基础中的基础。全站上HTTPS之后，HTTP劫持注入广告的难度会大幅上升，因为中间节点没法篡改加密内容。但注意，HTTPS防不了DNS劫持——用户都被引导到假服务器了，假服务器也可以有证书，只是证书对不上域名，浏览器会报警。很多用户看到警告还是点了“继续访问”，这就没办法了。

第三层是HSTS。这个响应头告诉浏览器：以后访问我这个域名，必须用HTTPS，不许降级。配合预加载列表，连第一次请求都不会走HTTP。这一招对防降级攻击和部分中间人劫持很有效。

实际效果和局限

说实话，防劫持软件不是万能的。DNS劫持发生在运营商层面，你的服务器端做什么都白搭。能做的是尽快发现、尽快切换。有些防劫持服务提供“DNS容灾”——检测到某地区解析异常，自动把该地区的解析切到备用IP上。这算是目前比较实际的方案。

另一个现实问题是成本。小站长不太可能自建全国监控节点，用云服务商的现成产品，一年几千到几万不等。我那个朋友最后用的是某厂商的免费版，只监控几个主要城市，精度有限，但总比裸奔强。

还有个容易忽略的点：移动端。很多劫持专门针对移动网络做文章，因为移动运营商的网关层级更复杂，劫持成本更低。你的网站在PC上一切正常，在4G/5G下就被跳转了。防劫持检测必须覆盖移动网络，否则等于没测。

普通站长能做的几件事

全站HTTPS，这是底线。配置HSTS头，能加preload就加。用云服务商的DNS解析，别用域名注册商默认的。定期用第三方工具检测全国解析情况，发现异常及时找运营商投诉——虽然投诉经常没用，但留个记录也好。如果预算允许，上一套带自动切换的防劫持服务。

说到底，防劫持是一场不对等的博弈。攻击者只需要找到一个薄弱环节，防守方要堵住所有漏洞。软件能帮你发现问题、争取时间，但指望它彻底解决问题，不现实。