域名劫持最直接的域名表现，就是劫持输入正确网址后跳转到陌生页面，或者邮箱、处理后台突然收到异地登录提醒。域名去年有个做跨境电商的劫持朋友，早上打开自己的处理独立站，发现首页变成了博彩广告，域名后台密码没改，劫持服务器也没被入侵——问题出在域名解析记录被人改了。处理域名劫持的域名本质，是劫持攻击者拿到了你域名管理后台的权限，或者篡改了DNS解析路径，处理把访客引到别处去。域名

先确认是劫持不是真的被劫持。用 nslookup 或 dig 命令查一下域名当前解析到的处理IP，跟你自己设置的对比。如果解析IP不对，基本可以确定。另一个办法是用不同网络环境访问，比如手机4G和家里宽带分别打开，如果结果不一样，说明DNS层面有问题。还有一种情况是本地电脑中了病毒，hosts文件被改，这种只影响你自己，不算真正的域名劫持，但排查时容易混淆。

确认之后，第一件事是登录域名注册商后台，把所有解析记录截图保存。别急着删，先留证据。然后立刻修改域名管理密码，开启两步验证。很多劫持案例的入口就是注册商账户密码太弱，或者用了同一个密码注册多个平台，撞库撞出来的。我见过一个案例，站长在三个不同注册商都有域名，图省事用了同一个密码，结果一个论坛被拖库，三个域名全被改了解析。

改完密码，检查DNS解析记录。攻击者通常会添加一条A记录指向他的服务器，或者修改NS记录把整个域名交给他的DNS服务器管理。如果NS被改了，你需要在注册商那里把NS改回来，然后等TTL过期。TTL是个关键参数，如果原来设了86400秒，那全球DNS缓存要一天才能刷新干净。这时候可以联系注册商客服，说明被劫持，让他们帮忙加速处理。有些注册商有安全锁功能，域名状态设为clientTransferProhibited和clientUpdateProhibited，能挡住大部分未授权修改。

如果域名注册商账户也被完全控制，登不进去，那就得走账号找回流程。准备好域名注册时的邮箱、付款凭证、身份证件。注册商会要求验证所有权。这个过程可能花几个小时到几天，期间域名一直处于被劫持状态。有个做知识付费的博主遇到过，注册商是国外的小平台，客服响应慢，折腾了三天才拿回来，期间用户访问全跳到了钓鱼页面，损失了不少信任。

拿回控制权之后，别以为就完了。检查网站有没有被植入后门，服务器SSH密钥、数据库密码、API密钥全部换一遍。攻击者既然能拿到域名权限，也可能通过域名邮箱重置了其他服务的密码。把所有关联账号的密码更新，开启两步验证。另外，去Google Search Console和百度站长平台提交死链或安全申诉，把被劫持期间产生的垃圾索引清掉，不然搜索结果里还会显示那些乱七八糟的内容。

预防比补救省事得多。域名注册商选支持两步验证的，密码用密码管理器生成，别复用。DNS服务商选有DNSSEC的，能防止DNS缓存投毒。注册商后台的登录提醒和操作通知全部打开，有人改解析你立刻知道。还有个小习惯：定期导出域名解析记录存本地，真出事的时候能快速对照恢复。

域名劫持这事，技术门槛不高，但后果很烦。攻击者图的是流量变现或者钓鱼，你丢的是用户信任。花半小时把安全设置做扎实，比事后折腾几天强得多。