网站劫持检测

打开浏览器，网站输入自己的劫持检测域名，回车。网站页面加载出来的劫持检测东西跟你印象里的完全不一样——满屏博彩广告，或者跳转到一个你从没见过的网站购物网站。这不是劫持检测服务器被黑了，大概率是网站网站被劫持了。

劫持和入侵是劫持检测两码事。入侵是网站别人拿到了你服务器的控制权，劫持更像是劫持检测你家的快递在路上被人换了包裹——服务器本身没丢，但用户拿到的网站内容变了。最常见的劫持检测一种是DNS劫持。用户在浏览器里敲下你的网站域名，DNS服务器负责把域名翻译成IP地址。劫持检测如果这个翻译环节被人动了手脚，网站用户访问的就不再是你的服务器，而是攻击者指定的那台机器。2010年百度域名被劫持那次，就是DNS记录被篡改，几个小时内百度流量被引到一个荷兰的IP上，页面上挂着“This site has been hacked by Iranian Cyber Army”。

另一种更隐蔽的方式是在网页里做手脚。攻击者通过运营商链路或者公共WiFi节点，在你返回的HTML里插入一段JS。用户看到的页面大体正常，但右下角多了个弹窗，或者页面底部多了个iframe在偷偷加载广告。这种叫内容注入式劫持。我自己就碰到过一次：连了某酒店的WiFi，访问一个技术博客，页面里凭空多出一段推广某App的脚本。换了4G网络再访问，脚本就没了。问题出在哪儿很清楚。

还有一种情况容易被忽略——浏览器扩展。你装了个来路不明的Chrome插件，它拿到了“读取和更改所有网站数据”的权限，然后在你访问某些页面时替换广告位、插入推广链接。用户感知不到，网站主也蒙在鼓里。这种劫持发生在用户端，服务器日志里干干净净，你查半天查不出问题。

怎么判断自己的网站有没有被劫持？几个土办法很管用。用不同网络环境访问——公司网络、手机热点、家里宽带，对比返回内容是否一致。用curl直接请求服务器IP，带上Host头，看返回的HTML和通过域名访问是否相同。如果直接请求IP的内容正常，走域名就出问题，那基本能锁定在DNS或链路层面。再就是用第三方监测工具，比如Google的Safe Browsing或者Sucuri SiteCheck，它们会从多个节点去抓取你的页面做对比。

发现被劫持之后，处理速度很关键。DNS劫持的话，第一时间改DNS服务商的密码，启用双因素认证，检查DNS记录有没有被添加陌生的A记录或NS记录。如果是内容注入，联系你的主机商，让他们排查链路上有没有被插东西。浏览器扩展导致的，让用户自己排查插件——这个你控制不了，但可以在网站上发个公告提醒。

有个细节值得说：很多劫持不是持续性的，而是按时间段或按地区投放。攻击者可能只对某个省份的联通用户下手，或者只在凌晨两点到四点之间替换内容。你白天测试一切正常，不代表没问题。监测要覆盖不同时段、不同地域、不同运营商，否则很容易漏掉。

HTTPS能解决一部分问题。内容注入式劫持在HTTPS下很难实施，因为中间人没法伪造证书。但DNS层面的劫持，HTTPS也挡不住——用户连的还是那个假IP，证书报错反而会让用户以为你的网站有问题。所以HTTPS不是万能药，它只堵住了一部分路径。

说到底，网站劫持这事儿，防的成本远低于事后补救。DNSSEC、CAA记录、证书透明度监控、定期多节点抓取对比——这些手段不复杂，但能挡掉大部分低级攻击。真正麻烦的是那些盯着你一个人打的定向劫持，那就得靠日志分析和流量基线来抓异常了。