打开浏览器，域名输入熟悉的被劫域名，回车。持自页面没出来。动被地址栏里的跳转字符跳了一下，变成了一个完全陌生的域名网址——博彩网站、贷款广告，被劫或者干脆是持自个空白页。你以为是动被网络卡了，刷新，跳转再刷新，域名结果一样。被劫这不是持自你的网断了，是动被域名被劫持了。

我头一回碰上这事是跳转帮朋友看他的个人博客。那域名他用了五年，忽然有一天，访问者全被转到一家卖保健品的页面。他以为是服务器被黑，查了半天，服务器日志干干净净。问题出在DNS上。域名解析记录被人改了，指向了另一台服务器。整个过程，他毫不知情。

域名劫持，说白了就是有人偷偷改了你域名的“导航地址”。你输入域名，浏览器得先问DNS服务器：这个域名对应哪个IP？DNS告诉你一个IP，浏览器就去那儿取内容。劫持者做的事，就是在DNS这个环节动手脚，把正确的IP换成他控制的IP。你输入的域名没错，但导航给你指了一条错路。

常见的劫持路径有几条。一条是域名注册商那边被攻破。你的域名管理账号密码泄露，或者注册商自身有安全漏洞，攻击者直接登录进去，把DNS记录一改，完事。另一条是本地DNS被污染。你用的路由器DNS设置被恶意软件改了，或者运营商那边的DNS服务器被投毒，解析结果直接是错的。还有一条更隐蔽——中间人攻击。你在公共Wi-Fi下访问网站，有人截获了你的DNS请求，返回一个假地址。

我见过最离谱的一个案例，是一家小公司的官网被劫持了整整两周。他们自己访问正常，因为他们的电脑用的是内部DNS缓存。但外部用户全部被跳转到赌博网站。老板一开始不信，觉得是客户网络问题。后来用手机4G网络一测，脸都绿了。两周时间，品牌形象掉了一大截。

怎么判断自己是不是被劫持了？很简单。用nslookup或者dig命令查一下域名解析出来的IP，跟你服务器真实的IP对一下。不一样，基本就是被劫持了。或者用在线DNS查询工具，多查几个不同地区的DNS服务器，如果返回的IP五花八门，那肯定有问题。还有一个土办法：用手机热点访问，如果正常，连Wi-Fi就不正常，说明问题出在本地网络或路由器。

发现被劫持之后，第一件事是改密码。域名注册商账号、DNS管理后台、服务器SSH，全部换掉，并且开启两步验证。然后去DNS管理面板，把解析记录改回正确的IP。如果注册商账号已经被锁，直接联系注册商客服，走域名找回流程。同时检查路由器，恢复出厂设置，改掉默认的管理密码。要是本地网络有恶意软件，全盘杀毒。

预防比补救省事得多。域名注册商账号的密码，别跟其他网站共用。两步验证必须开，现在主流注册商都支持。DNS服务商选靠谱的，别贪便宜用那些听都没听过的免费DNS。路由器的DNS设置，手动指定成可信的公共DNS，比如1.1.1.1或者8.8.8.8，别用运营商默认的。还有，域名到期前记得续费。有人专门盯着快过期的域名，你一忘，他抢注，然后拿去做跳转。

域名劫持这事，技术门槛不高，但破坏力不小。一个个人博客被跳转，顶多损失几个读者。一个电商网站被跳转，每一分钟都在丢订单。我那个朋友后来把域名转到了支持两步验证的注册商，DNS也换了，折腾了一整天。他说了一句话我印象挺深：“域名这东西，平时感觉不到它存在，一出事，跟房子塌了一样。”