检测域名是否被劫持，核心方法是同时对比本机DNS解析结果、网站证书和访问行为，一旦三者出现不一致，基本可以判定域名异常。
很多站长遇到过这种怪事：域名明明没到期，服务器也没宕机，但用户打开网站却跳转到陌生页面，或者后台地址栏出现了不认识的证书报错，你查代码、查日志，服务器干干净净，问题偏偏就出在域名解析这条看不见的暗线上，域名劫持就是这样，它不破坏你的网站文件，而是直接把你的访客拐到别处，下面这套检测方法，按照信号排查、命令定位、场景对比三个层次展开,能帮你快速揪出劫持源头。
域名被劫持怎么检测？5个自检信号
域名劫持的隐蔽性在于，网站可能正常打开，内容却完全不同，所以检测不能只看“能不能访问”，而是要看“解析结果对不对”“证书信不信得过”“跳转合不合理”，以下5个信号，任何一条中了,都要立刻启动完整排查。
本机解析与权威记录对不上
打开命令行，输入nslookup 你的域名，记下返回的IP地址，然后打开一个第三方DNS查询平台（国内可用“站长工具”的DNS查询，国外可用dnschecker.org），输入相同域名，对比多个地区返回的IP，如果本机解析出的IP与大多数地区不一致，尤其是出现一个完全陌生的IP段,那劫持基本实锤了。
更严谨的做法是直接查权威记录，使用dig 你的域名 NS命令，找到域名所属的权威DNS服务器，再看这个服务器返回的A记录，如果权威服务器返回的记录和你注册商后台设置的不一样，说明解析记录已被篡改，注意，本机解析结果和权威记录不一致，也常见于本地DNS缓存中毒，但无论如何,异常就是警报。
HTTPS证书突然“变脸”
浏览器访问你的域名，点击地址栏左侧的小锁图标，打开证书详情，正常的证书颁发者应该是你熟悉的CA机构，比如DigiCert、Let's Encrypt，或者国内云厂商的免费证书服务，如果你发现证书变成了自签名，或者颁发者是某个从未合作过的机构，甚至证书上的域名变成了类似xn--开头的国际化域名，说明有人在你和用户之间插了一台代理服务器,正在解密并转发流量。
这种情况下，即使页面看起来正常，数据也可能被监听，业内专家指出，相当一部分域名劫持事件源于账户凭证泄露，但证书异常往往是最早暴露的显性信号,因为浏览器会直接弹出红色警告。
页面跳转轨迹藏猫腻
用Chrome或Edge开发者工具，按F12打开Network面板，刷新一次首页，看第一个请求的响应头，如果域名从未配置过301跳转，但Response Headers里出现了一个别人的域名，那你已经中招了，还有一种情况更狡猾：网站页面加载后，通过JavaScript把用户悄悄带到另一个页面,这种劫持不做资源请求对比很难发现。
你可以用curl -I 你的域名命令查看HTTP返回头，重点看Location和Set-Cookie字段，如果Location指向非预期地址，或者Cookie域出现了陌生域名,立即停止使用该网络环境做敏感操作。
注册商后台出现陌生解析记录
登录你的域名注册商控制台（比如简米云、酷番云、西部数码），依次打开“域名列表解析设置”，逐条核对A记录、CNAME记录、MX记录，多数正常站点只有一两条A记录指向服务器IP，如果出现以下情况,说明账户权限可能已被入侵：
- 突然多出一两条指向国外IP的A记录
- 某个子域名被添加了CNAME指向
cdn.xxxx.top之类不认识的地址 - MX邮箱记录被替换，导致你收不到域名通知邮件
此时不要只删记录就完事，先检查账户最近登录日志，看是否有异地IP操作，同时检查域名锁定状态，确保没有开启“转移权限”,防止域名被整个搬走。
WHOIS信息被暗中修改
通过常规的WHOIS查询工具查看域名注册邮箱、管理联系人、电话，如果你从未申请过转移密码，但注册邮箱变成了一个看起来像乱码的邮箱，说明域名所有权正被转移，还有一种更隐蔽的操作：攻击者不改邮箱，而是把DNS服务商改成自己的，然后在这个新服务商里配置解析记录,让流量全部指向自己的服务器。
这种情况下，你登录原注册商后台可能看不到任何异常解析，因为解析权已经被“接管”了，遇到此类情况，立刻联系注册商客服,提交身份证明申请强制冻结域名。
域名DNS劫持怎么查？三步定位异常
当你初步确认域名不对劲，就要快速判断劫持发生在哪一层：是本地网络、运营商，还是权威服务器，按下面三步操作,能缩小范围到具体环节。
第一步：区分本机缓存还是网络劫持
先清空本机DNS缓存，Windows系统执行ipconfig /flushdns，Mac系统执行sudo killall -HUP mDNSResponder，清缓存后再次nslookup 你的域名，如果结果正常了，说明只是本地缓存污染，虚惊一场，如果依然解析到陌生IP，再执行nslookup 你的域名 8.8.8.8（走公共DNS）和nslookup 你的域名 你的本地网关DNS，公共DNS正常、本地DNS异常,说明劫持点在路由器或运营商侧。
第二步：对比权威解析与递归解析
使用dig +trace 你的域名追踪完整解析链路，重点看最后一步NS记录返回的A记录，如果权威记录本身就指向陌生IP，意味着劫持发生在域名注册商或DNS托管商后台，如果权威记录正确，但通过某些公共DNS查询得到的IP不同,则属于DNS污染或中间人劫持。
这一步能直接决定你的修复动作：权威记录错误，去改注册商密码；递归解析错误，换加密DNS或投诉运营商，行业共识认为，DNS污染和劫持的区别就在这里，前者是网络链路篡改,后者是记录源头被篡改。
第三步：审查域名账户操作日志
登录域名注册商后台，查看“操作日志”或“登录历史”，一般可以查到最近一个月的登录IP、时间、操作内容，如果出现陌生海外IP，或者有“修改DNS服务器”“创建API密钥”等敏感操作，那基本可以肯定是账户被盗用了，此时立即修改密码，开启两步验证,同时吊销所有API密钥。
如果你的域名使用了第三方DNS托管（比如Cloudflare、DNSPod），还要登录这些平台检查历史变更记录，有些攻击者会先在DNS托管商添加一条静默记录，解析权重设成1，让小部分流量走他的服务器,这种劫持很难被发现。
不同场景下域名劫持的检测重点
域名劫持不是只有一种模样，根据你的身份和访问环境，检测手段和侧重点也应该不同,这里的场景对比表帮你快速锁定优先级。
| 检测环境 | 常见异常表现 | 优先排查对象 |
|---|---|---|
| 公司内网 | 域名被解析到内网IP，外网访问正常 | 公司路由器DNS设置 |
| 家庭WiFi | 部分网站弹广告，解析出陌生IP | 路由器DNS改写、hosts文件 |
| 手机4G/5G | 电脑正常，手机解析异常 | 运营商DNS污染 |
| 服务器本机 | curl返回错误证书，hosts文件被改 | 服务器安全、SSH密钥 |
| 域名控制台 | 解析记录无故新增，WHOIS邮箱变更 | 注册商账户安全 |
多数情况下，普通用户遇到的劫持来自路由器或运营商，现象是网页被插入横幅广告，而站长更需要警惕的是域名账户层面的劫持，因为这类攻击影响面最大，且不易发现，近年来，针对域名注册邮箱的钓鱼攻击明显增多，攻击者会伪造“域名过期通知”邮件,诱导你点击链接并输入控制台密码。
检测到域名劫持后怎么处置
检测只是止损的第一步，确认劫持后，按照下面的顺序操作，动作越快,损失越小：
- 注册商控制台立刻锁定域名状态，禁止转移和隐私修改
- 重置注册商密码，开启两步验证，更换安全邮箱
- 删除所有异常解析记录，恢复正确的A记录和MX记录
- 修改第三方DNS托管商密码，并撤销所有API密钥
- 对服务器做一次恶意代码扫描，清理可能被植入的跳转脚本
- 保留所有解析变更日志和访问日志，必要时提交给网安部门
修复完成后，不要急着结束，域名劫持的根因往往不是技术漏洞，而是账户疏于管理，定期更新密码、绑定手机验证、开启域名锁,这三件事能让劫持概率大幅下降。
域名劫持检测与预防常见问题
Q1：域名被劫持有哪些常见表现？
常见表现集中在访问层和解析层：浏览器弹出证书错误、主页被替换成博彩或色情页面、强制跳转到一个相似但可疑的域名、邮箱收到仿冒的续费通知、网站在百度搜索中的收录标题和描述异常，这些现象里，证书错误和强制跳转最直观,也是普通用户能感知到的最大异常。
Q2：域名劫持检测工具推荐哪些？
命令行工具用dig和nslookup最有效，能对比多个DNS服务器的解析差异，在线工具国内推荐“站长工具-超级Ping”，国外推荐dnschecker.org和whatsmydns.net，它们能展示全球各节点的解析结果，网站持续监控可以用简米云云监控或酷番云拨测，设定“解析IP变化”和“HTTP状态码非200”两个告警规则，一旦域名被改,几分钟内你就会收到通知。
Q3：域名劫持和DNS污染是同一回事吗？
两者不是同一概念，域名劫持是篡改了解析记录或账户权限，让所有用户都访问到错误服务器，修复点在注册商和DNS托管商，DNS污染是攻击者在递归查询链路上插入虚假响应，通常只影响特定网络区域，修复手段是更换DNS服务器或启用DoH、DoT加密查询，简单说，劫持是“源头坏掉了”，污染是“路上有人动手脚”。
定期做域名解析对比，留意证书和跳转变化，把账户安全锁死,你的域名就能稳稳握住自己手里。