老张经营一家本地特产网店，某天客户突然反馈说网站跳转到了一个陌生的保健品页面。他赶紧打开自己电脑查看，发现首页确实显示着完全不属于他的内容——一款声称能“三天瘦身十斤”的减肥茶广告赫然在目。
你以为是黑客改了网页？其实是DNS在作祟
很多人遇到这种情况第一反应是网站后台被黑，文件被篡改。但更多时候，问题出在域名解析环节。当你的域名服务器（DNS）配置被恶意修改，攻击者并不需要动你服务器上的任何一个文件，就能让用户看到完全不同的内容。
比如，原本你的域名 example.com 应该指向你自己的服务器IP 123.45.67.89，但攻击者通过劫持DNS记录，将其改为指向他们控制的服务器IP 234.56.78.90。用户访问时，请求直接被导向虚假网站，而你服务器上的所有文件依然完好无损。
常见的DNS劫持方式
一种情况是域名注册商账户被盗。如果你用的是弱密码，或者开启了不安全的邮箱绑定，攻击者可能通过社工手段获取权限，直接登录你的注册商后台修改NS或A记录。
另一种是本地网络劫持。公共Wi-Fi环境下，路由器可能被植入恶意DNS设置，导致你在咖啡馆连网时看到的“银行官网”其实是伪造页面。虽然这不是你网站的问题，但说明DNS层面的风险无处不在。
如何判断是否遭遇DNS层面的虚假信息植入
最简单的方法是多地点测试。让朋友从不同城市、不同网络环境访问你的网站。如果只有部分人看到异常内容，很可能是局部DNS污染；如果所有人都看到错误页面，则要检查域名解析记录是否被全局修改。
还可以通过命令行工具排查：
nslookup example.com
# 或者
dig example.com A对比输出的IP地址和你实际服务器的IP是否一致。如果不符，说明DNS已被篡改。
防范措施比事后补救更重要
给域名注册商账户开启双重验证（2FA），别再用“生日+手机号”这种密码。定期登录查看DNS记录是否有变动，尤其是A记录、CNAME和NS这类关键条目。
更进一步的做法是将域名注册商和DNS服务商分离。比如在阿里云注册，在Cloudflare做解析。即使一方账户泄露，对方仍有缓冲时间进行干预。
如果你的网站涉及交易或敏感信息，建议启用DNSSEC。它像给DNS加了一层数字签名，确保返回的解析结果未被篡改。虽然配置稍复杂，但能有效抵御中间人攻击。
老张后来查了下，发现自己的域名NS记录被改成了两个陌生的服务器。恢复后他长了个心眼，把账户密码换了，还绑了手机验证码。几天后又有一次异常登录提醒，这次系统自动拦截了——正是多一层防护带来的安全感。