域名劫持是指黑客通過篡改域名解析的過程，將原本屬于某個域名的IP地址指向其它惡意網(wǎng)站或服務(wù)器的行為。這種攻擊方式常用于網(wǎng)絡(luò)釣魚、廣告投放等非法活動。
定義
域名劫持就是在劫持的網(wǎng)絡(luò)范圍內(nèi)攔截域名解析的請求，分析請求的域名，把審查范圍以外的請求放行，否則直接返回假的IP地址或者什么也不做使得請求失去響應(yīng)，其效果就是對特定的網(wǎng)址不能訪問或訪問的是假網(wǎng)址。
域名劫持一方面可能影響用戶的上網(wǎng)體驗，用戶被引到假冒的網(wǎng)站進而無法正常瀏覽網(wǎng)頁，而用戶量較大的網(wǎng)站域名被劫持后惡劣影響會不斷擴大；另一方面用戶可能被誘騙到冒牌網(wǎng)站進行登錄等操作導(dǎo)致泄露隱私數(shù)據(jù)。
原理
域名解析（DNS）的基本原理是把網(wǎng)絡(luò)地址（域名，以一個字符串的形式）對應(yīng)到真實的計算機能夠識別的網(wǎng)絡(luò)地址（IP地址），以便計算機能夠進一步通信，傳遞網(wǎng)址和內(nèi)容等。
由于域名劫持往往只能在特定的被劫持的網(wǎng)絡(luò)范圍內(nèi)進行，所以在此范圍外的域名服務(wù)器（DNS）能夠返回正常的IP地址，高級用戶可以在網(wǎng)絡(luò)設(shè)置把DNS指向這些正常的域名服務(wù)器以實現(xiàn)對網(wǎng)址的正常訪問。所以域名劫持通常相伴的措施——封鎖正常DNS的IP。
過程
由于域名劫持只能在特定的網(wǎng)絡(luò)范圍內(nèi)進行，所以范圍外的域名服務(wù)器（DNS）能返回正常IP地址。攻擊者正是利用此點在范圍內(nèi)封鎖正常DNS的IP地址，使用域名劫持技術(shù)，通過冒充原域名以E-MAIL方式修改公司的注冊域名記錄，或?qū)⒂蛎D(zhuǎn)讓到其他組織，通過修改注冊信息后在所指定的DNS服務(wù)器加進該域名記錄，讓原域名指向另一IP的服務(wù)器，讓多數(shù)網(wǎng)民無法正確訪問，從而使得某些用戶直接訪問到了惡意用戶所指定的域名地址，其實施步驟如下：
一、獲取劫持域名注冊信息：首先攻擊者會訪問域名查詢站點，通過輸入要查詢的域名以取得該域名注冊信息。
二、控制該域名的E-MAIL賬號：此時攻擊者會利用社會工程學(xué)或暴力破解學(xué)進行該E-MAIL密碼破解，有能力的攻擊者將直接對該E-MAIL進行入侵行為，以獲取所需信息。
三、修改注冊信息：當攻擊者破獲了E-MAIL后，會利用相關(guān)的功能修改該域名的注冊信息，包括擁有者信息，DNS服務(wù)器信息等。
四、使用E-MAIL收發(fā)確認函：此時的攻擊者會在信件賬號的真正擁有者之前，截獲網(wǎng)絡(luò)公司回饋的網(wǎng)絡(luò)確認注冊信息更改件，并進行回件確認，隨后網(wǎng)絡(luò)公司將再次回饋成功修改信件，此時攻擊者成功劫持域名。
劫持類型
一、DNS劫持
DNS劫持是一種惡意攻擊，其中，個人通過覆蓋計算機的傳輸控制協(xié)議/互聯(lián)網(wǎng)協(xié)議(TCP / IP)設(shè)置(通常通過修改服務(wù)器的設(shè)置)將查詢重定向到域名服務(wù)器。
二、http劫持
屬于常見的劫持，是目前廣泛被劫持域名最直接的。攻擊依賴于攻擊者對您的會話cookie的了解，因此也稱為cookie劫持或cookie側(cè)面劫持。盡管可以劫持任何計算機會話，但是會話劫持最常應(yīng)用于瀏覽器會話和Web應(yīng)用程序。攻擊者需要知道受害者的會話ID(會話密鑰)。這可以通過竊取會話cookie或說服用戶單擊包含準備好的會話ID的惡意鏈接來獲得。在這兩種情況下，在服務(wù)器上對用戶進行身份驗證之后，攻擊者都可以通過對自己的瀏覽器會話使用相同的會話ID來接管(劫持)會話。然后，將服務(wù)器欺騙，將攻擊者的鏈接視為原始用戶的有效會話。
三、地區(qū)網(wǎng)絡(luò)劫持、路由劫持
網(wǎng)絡(luò)路由節(jié)點或者地區(qū)線路劫持，通常表現(xiàn)在部分地區(qū)，或者是某個線路，比如：移動、聯(lián)通、電信等產(chǎn)生的劫持。
四、注入劫持，攻擊劫持
通常網(wǎng)站采取的是asp、php、js等常見網(wǎng)站語言建設(shè)。主要發(fā)生在網(wǎng)站使用的服務(wù)器不安全，采用了比較古老的服務(wù)器環(huán)境，場景上擁有的環(huán)境非常低，很容易被別人攻擊，直接將代碼注入到網(wǎng)站。
五、DNS污染
其實屬于DNS劫持的一種，通常DNS位于國內(nèi)，被污染地域也在國內(nèi)。這種情況下的站點類型很多，一般緊急處理，建議暫停解析，更換DNS到其他平臺。
為了有效防護域名劫持，可以采取以下措施：
1.使用可靠的DNS服務(wù)器：選擇一個可靠的DNS服務(wù)器，避免使用由不明來源提供的DNS服務(wù)器。
2.定期更新系統(tǒng)和軟件：保持操作系統(tǒng)、瀏覽器以及安全軟件等的最新版本，及時修復(fù)漏洞。
3.使用HTTPS：使用HTTPS加密協(xié)議可以防止黑客竊取數(shù)據(jù)并修改傳輸內(nèi)容。
4.檢查域名解析：定期檢查域名解析是否被劫持，可通過命令行工具進行檢測。
5.防止本地劫持：定期檢查本地hosts文件是否被篡改，確保其中沒有惡意的域名解析。
6.使用防護工具：可以使用一些專門的防護工具來檢測和防御域名劫持，如防火墻、反病毒軟件等。
7.加強賬戶安全：設(shè)置強密碼、啟用雙因素認證等來保護域名注冊賬戶的安全，防止黑客通過竊取賬戶信息的方式進行域名劫持。
8.接入SCDN，即安全內(nèi)容分發(fā)網(wǎng)絡(luò)：SCDN是在CDN的基礎(chǔ)上增加了安全防護功能的一種網(wǎng)絡(luò)服務(wù)。SCDN通過智能預(yù)判攻擊行為，能夠?qū)DoS攻擊請求切換至高防IP完成清洗，而真正用戶的請求則正常從加速節(jié)點獲取資源。此外，SCDN的分布式架構(gòu)還具備防CC攻擊的能力。這意味著SCDN不僅具備CDN的所有功能，而且還能夠在確保數(shù)據(jù)傳輸快速的同時提供強大的安全防護。主要的優(yōu)勢在于：
1.分布式架構(gòu)增強冗余和可用性
SCDN的分布式架構(gòu)意味著內(nèi)容被存儲在多個地理位置的服務(wù)器上，這種冗余性不僅提高了內(nèi)容的可用性和訪問速度，還增強了系統(tǒng)的魯棒性。當某個節(jié)點遭受攻擊或出現(xiàn)故障時，其他節(jié)點可以繼續(xù)提供服務(wù)，確保內(nèi)容的持續(xù)可用性。
2.緩存策略減少源站負載
SCDN節(jié)點可以緩存靜態(tài)和動態(tài)內(nèi)容，當用戶請求這些內(nèi)容時，可以直接從離用戶最近的節(jié)點獲取，而無需每次都從源站獲取。這種緩存策略不僅加速了內(nèi)容傳輸，還顯著減少了源站的負載，降低了源站遭受直接攻擊的風(fēng)險。
3.流量清洗和DDoS防御
一些先進的SCDN解決方案集成了流量清洗和DDoS防御功能。當檢測到異常流量或攻擊行為時，SCDN可以自動將流量重定向到清洗中心，去除惡意流量后再將正常流量轉(zhuǎn)發(fā)給源站。這種機制有效地保護了源站免受大規(guī)模DDoS攻擊的威脅。
4.SSL/TLS加密保障數(shù)據(jù)傳輸安全
SCDN通常支持SSL/TLS協(xié)議，可以對傳輸?shù)臄?shù)據(jù)進行加密，確保數(shù)據(jù)在傳輸過程中的安全性。這對于傳輸敏感信息（如用戶憑據(jù)、支付信息等）的網(wǎng)站和應(yīng)用至關(guān)重要。
5.Web應(yīng)用防火墻（WAF）集成
一些SCDN服務(wù)提供商還將Web應(yīng)用防火墻（WAF）與CDN集成，以提供對常見Web攻擊的防護，如SQL注入、跨站腳本（XSS）等。WAF可以實時分析和過濾HTTP/HTTPS流量，識別和攔截惡意請求，從而保護Web應(yīng)用免受攻擊。
6.訪問控制和身份驗證
SCDN還可以結(jié)合訪問控制和身份驗證機制，確保只有授權(quán)用戶才能訪問特定內(nèi)容。這可以通過IP白名單、令牌驗證、OAuth等機制實現(xiàn)，進一步增強了內(nèi)容的安全性。
7.日志和監(jiān)控
SCDN通常提供詳細的日志記錄和實時監(jiān)控功能，使管理員能夠?qū)崟r了解網(wǎng)絡(luò)流量、攻擊嘗試和其他安全相關(guān)事件。這些日志可以用于安全審計、故障排除和合規(guī)性檢查。
總之，有效的防護域名劫持需要綜合使用多種措施，保持軟件和系統(tǒng)的更新，定期檢查域名解析情況，并加強賬戶和網(wǎng)絡(luò)安全。
