判断域名是否被劫持，核心是同时核对DNS解析记录、网站证书与页面内容、访问链路和域名注册信息；只要其中一项与预期不一致，就要按“先DNS、后内容、再链路”的顺序复测。 多数情况下，用户看到的“网站打不开、跳转到陌生页面、HTTPS证书报错”只是结果，真正原因可能在本地DNS、运营商递归、CDN回源、注册商NS或源站，下面按可验证步骤拆开。
域名劫持和DNS污染有什么区别？先分清问题类型
域名劫持是一个统称,DNS劫持、注册商劫持、内容劫持、证书劫持都算；DNS污染更偏向解析结果被错误返回，两者表现相似，但排查入口不同。
四类异常对照表
| 异常类型 | 常见表现 | 优先排查入口 |
|---|---|---|
| DNS劫持 | 多地解析到错误IP，页面被跳转 | 权威DNS、注册商NS、递归DNS |
| DNS污染 | 特定网络或地区返回错误结果 | 换公共DNS、换网络对比 |
| 注册商劫持 | NS记录或域名状态被改 | whois、注册商控制台 |
快速判断顺序
- 先看权威DNS记录和注册商控制台是否被改。
- 再用至少两组公共DNS查询同一域名，比较A、AAAA、CNAME、MX、TXT记录。
- 接着换手机流量、公司网络、不同地区节点访问，观察是否只在局部异常。
- 最后查页面源码、证书、CDN回源和源站日志。
如何查看域名是否被劫持？从DNS解析开始做基准比对
DNS是域名访问的第一道入口,排查时不要只看一次本地解析结果，而要把“本地递归DNS”和“权威DNS”分开看。
本地命令查当前解析
- Windows：
nslookup 你的域名 223.5.5.5，再换8.8.8复测；清缓存用ipconfig /flushdns。 - macOS/Linux：
dig 你的域名 A +short @223.5.5.5，再查@8.8.8.8；查NS用dig 你的域名 NS +short。 - 查看hosts文件：Windows路径为
C:\Windows\System32\drivers\etc\hosts，macOS/Linux为/etc/hosts。 - 记录TTL、多IP、CNAME指向，避免把CDN多节点IP误判为劫持。
对比权威DNS与递归DNS
使用dig 你的域名 +trace观察解析链路，若权威DNS返回正常，但本地递归DNS返回错误IP，常见原因是本地缓存、运营商递归异常或DNS污染，此时更换公共DNS、切换网络再查，若结果恢复，问题更可能不在域名注册商。
行业共识认为,只查DNS不足以排除内容劫持，DNS正常但页面异常，要继续查证书和源码。
检查域名注册信息与NS
运行whois 你的域名，核对注册商、到期时间、域名状态和NS服务器，登录注册商控制台，确认NS、A记录、CNAME、MX、TXT是否被改动，业内专家指出，注册商账户与NS变更权限往往是安全短板，若NS被改、域名状态异常、联系邮箱被替换，应优先按注册商劫持处理。
与证书也要查：只查DNS会漏掉内容劫持
企业官网域名被劫持如何排查？按访问链路逐段定位
企业官网排查要按“本地DNS→办公网DNS→运营商递归→CDN→源站→证书→页面”逐段定位，不要一上来就重装服务器。
- 用手机流量和办公网络分别访问,记录解析IP和页面截图。
- 在CDN控制台核对回源地址、缓存规则和证书绑定。
- 在源站查看访问日志,确认请求是否到达源站。
- 对比首页源码中的title、canonical、统计代码和JS外链，查找异常插入。
- 检查301/302跳转链，重点看是否跳到陌生域名。
证书与页面异常怎么验证
- 浏览器开发者工具的Network面板查看响应头、跳转链和证书信息。
- 命令行执行
curl -I https://你的域名查看状态码和跳转。 - 执行
openssl s_client -connect 你的域名:443 -servername 你的域名核对证书颁发者、域名和有效期。 - 对比证书指纹和首页源码基线，出现变化就留证。
域名劫持检测工具哪个好？本地命令与在线平台怎么选
工具没有绝对好坏,关键看你要解决“单次排查”还是“长期监测”。
工具组合表
| 场景 | 推荐组合 | 注意点 |
|---|---|---|
| 临时自检 | nslookup、dig、curl、openssl | 多网络复测，保存截图 |
| 多地解析对比 | 公共DNS在线查询、多节点监测 | 注意隐私，不上传敏感记录 |
| 长期监控 | 注册商告警、证书到期提醒、多节点可用性监测 | 设置变更告警 |
| 企业排查 | CDN日志、源站日志、WAF日志 | 保留时间戳和访问IP |
域名劫持检测多少钱？自检与商业监测的成本差异
自检基本零成本,命令和在线查询就能完成第一轮判断，商业监测通常按节点数量、检测频率、告警方式和服务级别计价，价格差异较大，在北京找域名劫持检测服务时，先要求对方演示多节点解析对比和告警流程，再谈报价，比只看价格更稳妥。
发现异常后的处置清单
- 立即修改注册商、DNS服务商、CDN后台密码，开启双因素认证。
- 核对NS、A、CNAME、MX、TXT记录，恢复为基线值。
- 检查CDN回源、证书绑定和源站文件，清理异常跳转脚本。
- 清理本地DNS缓存和hosts文件,换网络复测。
- 联系注册商、云服务商或运营商，保留解析截图、证书截图和日志。
- 观察一段时间,确认多地解析和页面内容恢复正常。
把检测变成日常：预防比事后恢复更省成本
- 开启域名锁定、注册商登录提醒和解析变更告警。
- 记录基线：A记录、NS记录、证书指纹、首页关键源码。
- 定期运行
dig、whois和证书检查，不要等用户反馈才查。 - 对官网、支付页、登录页设置多节点可用性监测。
域名是否被劫持，不能只看“能不能打开”，而要看解析、证书、页面和注册信息是否一致。 把基线记录和多地复测做成习惯，异常时就能快速定位，而不是靠猜。
域名劫持检测Q&A：如何查看域名是否被劫持的常见问题
域名被劫持后搜索引擎排名会掉吗？
会,若搜索引擎抓取到错误页面、恶意跳转或证书异常，抓取和索引都可能受影响，恢复解析与页面后，应检查搜索资源平台的抓取异常和死链，再提交正常页面。
如何查看域名是否被劫持而不用安装软件？
用系统自带命令和浏览器即可：nslookup或dig查多地解析，curl -I看跳转，开发者工具看证书和源码，在线DNS查询也能辅助，但不要把敏感记录上传到不明平台，多地结果一致且与权威DNS一致，是排除常见DNS劫持的基础事实。
域名劫持和DNS污染有什么区别？普通用户怎么快速判断？
换网络、换公共DNS复测：如果只有特定网络异常，其他网络正常，更偏向本地缓存或运营商递归问题；如果权威DNS与注册商控制台也被改，才更接近注册商劫持，权威DNS记录与注册商控制台一致，是排除注册商劫持的基础事实。