第一时间登录域名注册商后台锁定域名、改掉账户密码并核对DNS解析记录，多数情况下几小时内就能止损；真正麻烦的是后续的信任修复搜索引擎收录被污染、用户被仿冒站点骗过，这些要花更久才能补回来。
下面按“先止血、再堵漏、最后清场”的顺序，把三个可落地的解决方法拆开讲，命令和后台路径都写清楚,照着做就行。
域名劫持怎么解决？三个动作按顺序做
抢时间，把DNS和域名状态改回来
劫持者最常见的手法就两类：改NS服务器，或者在你的解析记录里塞进陌生IP，前者让整站流量被导走，后者只劫持部分子域名,隐蔽性更强。
操作路径：
- 登录注册商后台，进“域名管理DNS解析/域名服务器”，核对NS是否还是你熟悉的地址,陌生NS就是被改了的直接证据。
- 逐条比对A记录、CNAME记录、MX记录、TXT记录，重点看有没有多出泛解析（）和陌生IP。
- 检查域名状态字段，出现
clientHold（暂停解析）、serverHold、pendingDelete说明域名已被处置或进入删除流程。 - 删掉异常记录，NS改回原值,保存。
- 立刻改注册商账户密码,开启双因素认证。
用命令行快速验证,比在后台点来点去更直观：
nslookup www.example.com 8.8.8.8
dig @223.5.5.5 example.com A +short
dig example.com NS +short
whois example.comwhois结果里的Name Server字段如果不是你设置的，基本可以确认劫持，改回记录后，生效速度取决于TTL和各地递归DNS缓存，多数公共DNS在数分钟到十几分钟内更新，本地缓存可能更久,清一下更放心：
- Windows：
ipconfig /flushdns - macOS：
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder - Linux：
resolvectl flush-caches
堵后门，账户和邮箱才是真正的入口
DNS被改只是结果，入口通常在你的账户体系里，业内专家指出，域名劫持案例中有相当一部分并非注册商被攻破，而是站长自己的邮箱先失守，攻击者通过“忘记密码”走完整个流程。
要查的地方：
- 注册商账户：密码、绑定手机、备用邮箱是否被改；登录日志里有没有异地IP。
- 域名绑定邮箱：检查是否被设置了自动转发规则,这类规则经常被用来偷偷接收重置密码邮件。
- 域名锁：确认
clientTransferProhibited处于开启状态,也就是常说的转移锁。 - WHOIS信息：注册人邮箱被改的话，立刻联系注册商做工单，准备好营业执照或身份证、域名缴费凭证,走域名所有权验证流程。
- 云解析与CDN账户：很多人只改注册商密码，却忘了云解析平台的权限同样能改记录，一样要改密码、开双因素。
- 网站本身：查后台弱口令、可疑管理员账号、近期上传的可疑文件,服务器被拿下后攻击者往往顺手改解析。
域名被非法转移的，还有5天左右的转移确认窗口,越早提交工单追回概率越高。
清残留，投诉申诉和搜索引擎侧同步做
DNS改回来只解决了“流量去哪”的问题，没解决“用户看到了什么”，劫持期间被搜索引擎抓取的博彩、仿冒页面，会继续挂在你域名下吃流量、掉权重，行业共识认为,劫持后的权重恢复周期往往比止损周期长得多。
同步推进三件事：
- 取证：截图保存DNS记录变更前后的对比、注册商登录日志、异常IP,后面投诉和申诉都要用。
- 投诉：向注册商提交工单说明情况；涉及仿冒诈骗站点的，可向中国互联网违法和不良信息举报中心（12377）举报；备案信息异常的，通过工信部ICP/IP地址/域名信息备案管理系统核对并联系对应管局。
- 搜索引擎：在百度搜索资源平台完成站点验证后，通过反馈入口说明劫持情况并申请清理异常收录，同时用抓取诊断确认百度蜘蛛拿到的已是你修复后的页面，若劫持期间产生大量垃圾URL,走死链提交通道处理。
域名被劫持了怎么恢复：一份DNS核对清单
不确定自己是不是被劫持，按下表逐项过一遍,命中两条以上基本可以定性。
| 检查项 | 正常状态 | 被劫持的典型表现 |
|---|---|---|
| NS服务器 | 你设置的解析服务商 | 变成陌生DNS地址 |
| A记录 | 指向自己的服务器IP | 指向陌生IP或跳转域名 |
| 泛解析 | 未开启或指向自有服务 | 突然出现记录 |
| MX记录 | 企业邮箱服务商 | 被改到陌生邮件服务器 |
| TXT记录 | 只有你自己加的验证值 | 多出陌生验证字符串 |
| 域名状态 | 正常/转移锁开启 | 出现clientHold、serverHold |
| 后台登录日志 | 只有你的常用地点 | 出现异地或陌生设备登录 |
另外提醒一句：如果只是你自己打不开、别人能打开，多半是本地DNS或hosts文件的问题，先清缓存再判断,别一上来就当成劫持去改记录。
域名劫持和DNS污染的区别在哪？别搞混了
两者的现象很像,处理思路完全不同。
- 域名劫持：控制权层面的问题，NS或解析记录被改，注册商后台看得见痕迹,处置权在你和注册商手里。
- DNS污染：解析链路层面被投毒，权威记录是好的，但部分网络环境返回错误结果，注册商后台看不出异常,你改记录也没用。
判断方法很简单：whois看NS，再分别用多个公共DNS查询同一域名，如果权威侧正常、部分线路返回异常IP，倾向污染；如果权威侧本身就被改了，就是劫持，前者换解析服务商、启用加密DNS缓解,后者按前面三个方法走。
域名劫持恢复需要多少钱
成本差异很大,取决于你自己动手还是外包。
- 自己处理：零成本，主要是时间，DNS回滚加账户加固,半天到一天能完成。
- 委托第三方应急：按工时或域名数量计价，行业里没有统一标准，介入范围越大报价越高,签合同前问清楚是否包含溯源和搜索引擎申诉。
- 域名已进入赎回期的：按注册商公布的赎回价格支付，赎回期有明确时间限制，过期就只能等释放后重新注册,那时候域名基本抢不回来。
- 隐性成本最贵：收录被清、排名下滑、老用户被仿冒站骗过之后的信任损失,这部分花多少钱都难完全补回。
事后怎么防，把概率压到最低
- 注册商、云解析、邮箱三处全部开启双因素认证,密码互不复用。
- 域名转移锁常开,WHOIS信息用隐私保护但保持邮箱可达。
- 有条件就上DNSSEC,防止解析结果被伪造。
- 定期跑一次
dig NS和dig A，和上次结果比对,或用第三方DNS监控做变更告警。 - 证书和HSTS配置检查一遍，劫持期间证书可能被替换,修复后要重新确认。
域名劫持常见问题解答
域名劫持修复后，搜索引擎排名还能回来吗
能回来，但需要时间，前提是异常收录被清理干净、站点持续正常可访问、内容质量没有下滑，恢复速度取决于劫持持续时长和被污染页面的数量,越早处理越好。
只把DNS改回来就算解决了吗
不算，DNS回滚只是止血，账户入口没堵住，同样的事会再来一次，完整闭环是：回滚解析、加固账户、清理异常收录、复盘入侵路径,四步缺一不可。
免费DNS和付费DNS，哪个更抗劫持
抗劫持能力主要取决于账户安全和是否支持DNSSEC、解析变更告警，与收费与否关系不大，不少免费公共DNS同样支持DNSSEC和多节点冗余,关键看你有没有把账户权限管住。
域名劫持的本质是控制权被拿走，最快的应对永远是先锁域名、再改密码、后清收录，把这三步变成出事时的条件反射，损失就能压到最小。