上一篇
域名杜撰是什么，如何识别域名杜撰骗局？
域名杜撰的本质，是攻破者通过相似字符、错误配置或缓存投毒等手段，让用户在不知不觉中访问到冒牌网站或收到冒牌邮件，想要有效识别和防范，核心方法就是掌握证书验证、DNS查询和域名锁定这三板斧。
域名杜撰是什么原理
域名杜撰这名字听着唬人，但拆开看就两层意思：一是杜撰域名本身，二是杜撰域名的解析结果，前者是注册一个和正规网站长相酷似的域名，比如用数字0替换字母o，或者用rn冒充m，这招在业内叫域名抢注或URL截持，后者更高级，它不改域名长相，而是通过技术手段改动DNS解析,把用户请求悄悄引到攻破者的服务器上。
比较常见的攻破场景是邮件钓鱼，攻破者杜撰发件人域名，让受害者收到一封看似来自银行或公司的邮件，实际回信地址却是山寨域名，这类攻破近年来的报告显示，超过七成网络钓鱼攻破都利用了某种形式的域名杜撰。
我们平时上网输入网址时，很少有人会盯着地址栏逐个字符核对，而浏览器地址栏的展示空间有限，攻破者就是利用了这个视觉盲区，如果域名长度再长一点，比如paypal-security-check.com，用户很容易错过真实的paypal.com被包在了子域名里。
域名杜撰和DNS截持有什么区别
这个问题经常有人搞混,实际上两者有本质区别：
- 域名杜撰侧重“冒名顶替”，杜撰的是域名身份，比如注册一个山寨域名，让用户误以为它是正主
- DNS截持侧重“中途改道”，攻破者控制或改动DNS解析结果，把原本指向正规服务器的流量引到恶意服务器上
- 域名杜撰更多依赖用户粗心，DNS截持则纯粹靠技术攻破，用户即使地址栏输入完全正确也会中招
- 域名杜撰的防御手段偏重品牌保护和邮件验证协议，DNS截持的防御则偏重DNSSEC和加密解析
域名杜撰是“我假装成你”，DNS截持是“我截走找你的访客”，前者骗眼睛,后者骗网络。
域名杜撰怎么识别
识别域名杜撰不需要高深技术，但要养成几个随手就能做的习惯，以下这些方法,普通用户和网站管理员都能直接上手。
浏览器层面的检查
- 看证书信息：点击地址栏左侧的锁形图标，查看证书颁发给哪个域名，正常网站证书中的域名和地址栏域名必须完全一致
- 手动输入关键网址：网上搜到的链接先不急着点，复制域名部分，手动在浏览器新标签页输入，电商、银行类网站尤其适用
- 检查页面排版和交互：山寨域名网站通常急着你输入密码验证码，如果页面刚打开就弹窗索取个人信息，多半有诈
- 查看域名后缀：正规企业的国际域名多为.com、.cn、.net，突然冒出来的.xyz、.top等冷门后缀要格外留神
本地命令行验证
在电脑上打开命令提示符或终端,用几条简单命令就能看穿域名的真实身份：
nslookup 域名
比如输入nslookup www.example.com，系统会返回该域名的解析IP地址，如果结果和你印象中的官网服务器所在地区明显不符,就要提高警惕。
再用WHOIS查询域名注册信息：
whois example.com
查出来注册者是个人而非企业主体，域名注册时间又很近，那这个域名大概率有问题。正规企业通常会用企业邮箱注册域名，并开启域名锁定保护。
邮箱头的溯源验证
收到可疑邮件不要急着点链接，查看邮件原文的返回路径和相关头信息，在Gmail或Outlook里查看邮件详情，找到Return-Path和Received字段，如果发件人显示的是service@bank.com，但Return-Path实际指向service@bank-security.xyz,这就是典型的域名杜撰。
企业如何防止域名杜撰
对于运营网站的企业而言，防域名杜撰不能只靠用户自觉,得从技术和管理层面主动设防。
部署邮件验证三件套
在DNS解析记录里配置SPF、DKIM、DMARC三条记录,这是当前对抗邮件域名杜撰最有效的组合方案：
- SPF记录：声明哪些服务器有权使用你的域名发邮件，收件方会核对发件IP是否在白名单
- DKIM记录：给外发邮件附加数字签名，对方服务器验证签名不通过就拒收
- DMARC策略：告诉收件方对验证失败的邮件怎么处理，比如直接投递到垃圾箱或拒绝接收
配置方法是在你的域名DNS管理后台添加对应的TXT记录，以SPF为例，添加一条类似v=spf1 include:你的邮件服务商.com ~all的记录，即可约束绝大部分杜撰行为，行业共识认为，完整部署这三条记录的域名，被杜撰成功率能下降九成以上。
注册品牌域名变体
企业应该主动把和自己主域名相近的常见变体域名注册下来，比如主域名是lianmeng.com，那就把lianmeng.net、l1anmeng.com等一并收入囊中，这招被称为域名防御性注册，成本虽然不高,但能有效阻断攻破者钻空子。
启用DNSSEC和域名锁定
DNSSEC是对DNS查询结果进行数字签名验证的协议，能防止解析结果被改动，在域名注册商那里开通此功能后，即使攻破者杜撰了DNS响应,用户的解析器也能识别出异常并拒绝接受。
把域名注册状态设为禁止转移和禁止删除，这样即使攻破者拿到了你的域名管理权限，也无法轻易把域名转走,争取到了宝贵的处置时间。
域名杜撰检测工具有哪些
市面上有不少免费或付费的域名安全检测工具,按用途可以分为两类。
在线检测平台适合零基础用户使用：
- URLVoid：输入可疑网址，一次性返回多个安全引擎的扫描结果
- VirusTotal：不仅能查域名，还能查文件哈希和IP地址的恶意标记情况
- 站长工具网：国内常用的域名安全查询平台，支持批量检测
这些工具的原理大都基于威胁情报数据库，会比对域名是否出现在历史钓鱼黑名单中，以及域名年龄、注册商、解析地等信息是否异常。
本地命令行工具适合管理员做深度排查：
- dig命令：完整展示DNS解析的整个链路，包括权威服务器返回的应答
- openssl s_client命令：查看SSL证书的签发链和有效期，判断证书是否被杜撰
- traceroute命令：追踪数据包到达目标服务器的路径，如果路径中出现异常跳转节点，可能遭遇了流量截持
其中dig命令是最推荐的初级排查工具，例如在终端输入dig 域名 +short，能快速看到这个域名当前解析的几个IP地址是否稳定一致，如果每次查询结果都不同且来源分散,说明这个域名的解析状态可能已被污染。
域名杜撰的套路在翻新，但防御思路始终没变：增强自身的辨别意识，用好证书验证和DNS查询这些基本功，对管理者而言，把邮件验证协议和域名锁配齐，相当于给域名上了多重保险，杜撰者的成本会因此成倍增加，技术手段总有对抗升级,但主动设防总比事后补救更划算。
域名杜撰识别常见问题
浏览器提示“不安全”是不是域名杜撰的信号？
不完全是，浏览器提示不安全可能由多种原因引起，常见情况是网站未部署SSL证书或证书已过期，只有当证书信息显示颁发给其他域名的异常状态时,才高度疑似遭遇域名杜撰。
手机端能识别域名杜撰吗？
可以，手机浏览器的地址栏同样会展示完整域名，点击安全图标也能查看证书详情，但手机屏幕显示区域有限，建议较长域名在输入后先观察几秒再操作，支付宝或银行类App弹出的网页,务必通过App内置浏览器重新进入官网核对域名后再登录。
