2023年3月，域名漏洞一个叫Squarespace的域名漏洞建站平台悄悄改了规则。它收购了谷歌的域名漏洞域名业务，把百万个域名从谷歌迁移到自己系统里。域名漏洞没人料到，域名漏洞这成了钓鱼攻击者的域名漏洞狂欢节。安全研究员发现，域名漏洞任何能猜中用户邮箱前缀的域名漏洞人，都能在Squarespace后台直接申请重置密码——因为系统默认信任谷歌账号的域名漏洞旧绑定，而那个绑定早就断了。域名漏洞短短几小时，域名漏洞数十个加密货币管理后台被接管，域名漏洞钱包被掏空。域名漏洞域名，域名漏洞这个互联网最古老的域名漏洞信任锚点，一夜之间变成了一把漏水的伞。

漏洞的根子不在技术，而在“所有权”这个概念本身。你花几十块钱买的域名，其实只是租来的使用权。注册局、注册商、DNS服务商、托管平台，每一层都是中间人。任何一层的失误，都能让控制权易主。我见过一个小型电商网站，因为注册商被收购后内部系统合并，域名到期日被错误地提前了两个月。店主没收到续费提醒，直到网站打不开才发现。等他去赎回，域名已经被一个抢注脚本自动买走，挂在了赌博网站上。整个过程，没有一道安全验证能拦住。

更隐蔽的是子域名接管。很多公司开着DNS记录指向某个云服务，后来服务停了，但记录没删。攻击者只要去那个云平台注册个账号，就能接管这个子域名，然后用它来种cookie、钓鱼、绕开CSP策略。有个安全团队做过统计，Alexa前一万的网站里，有超过3%存在这种“僵尸DNS记录”。这数字听起来不大，但想想那些网站每天的流量——足以让一个熟练的攻击者轻松拿到用户会话。

域名系统最讽刺的地方在于，它几乎不验证“你是谁”，只验证“你证明你拥有什么”。而证明方式，往往是邮箱里的一个链接，或者一条短信验证码。邮箱本身可能被攻破，短信验证码能被SIM卡劫持。2022年有个知名的案例，一个黑客通过社工手段让运营商把受害者的手机号过户给自己，然后重置了受害者的域名管理密码，再顺着域名邮箱拿下了受害者的苹果ID、推特账号和加密货币交易所。整个链条里，域名只是第一块倒下的骨牌。

你说这能防吗？能，但需要用户做很多“反人性”的事：开启两步验证、用硬件密钥、定期检查DNS记录、别用域名邮箱当万能钥匙。可现实是，大部分创业者连域名管理后台长什么样都没仔细看过。他们把域名当成电话号码一样的存在，欠费就充值，从没想过这串字符背后，是一整套可以被撬动的信任体系。

写这篇文章时，我又查了一下Squarespace那件事的后续。时至今日，依然有用户报告收到奇怪的密码重置邮件。漏洞修复了，但攻击模式已经成熟，成了教科书里的经典案例。域名这东西，像一把钥匙——你用它打开门，却忘了钥匙本身也有一把锁，而锁匠可能早换了人。