DNS 劫持

DNS 劫持（也称 DNS 欺骗或缓存投毒）攻击的是解析层而非注册本身：攻击者无需在注册商处夺取域名，而是破坏 DNS 解析器或域名服务器所认为域名指向的地址，悄无声息地将访问者引导至恶意 IP。在缓存投毒攻击中，伪造的 DNS 响应被递归解析器接受并缓存至 TTL 到期，在此期间，该解析器服务的所有用户都会被误导——而权威 DNS 记录中没有任何可见变化。主要的技术对策是 DNSSEC，它对 DNS 响应进行密码学签名，使解析器能够检测篡改。与传统域名盗窃不同，DNS 劫持不会改变所有权记录，因此在没有主动监控域名实际解析位置的情况下，更难被发现。