打开浏览器，网站输入自己的域名域名，跳出来的被劫却是一个博彩网站。这种事我遇到过两次，持处一次是网站帮朋友看他的外贸站，另一次是域名某个小公司的官网。域名被劫持不像服务器被黑那么“轰轰烈烈”，被劫它更像有人偷偷把你家路牌换了，持处访客按原路走，网站全进了别人家院子。域名

先搞清楚劫持发生在哪一层。被劫最常见的持处是DNS劫持——你域名解析到的IP被改成了别人的。去查一下域名当前的网站A记录，如果指向一个你完全不认识的域名IP，基本就是被劫DNS被动了。谁动的？要么是域名注册商那边的账号被盗，要么是DNS服务商的接口被撞库，还有一种情况是本地网络运营商搞的鬼，但这个通常只影响你自己，不会影响全国访客。

我朋友那次就是注册商账号被撞了。他的密码是“公司名+123”，黑客进后台把NS记录改到了自己的DNS服务器上。整个过程不到三分钟，等他发现的时候，谷歌已经收录了那个博彩页面。所以第一件事，登录你的域名注册商后台，看NS记录和A记录有没有被改。如果还能登进去，立刻改回来，然后马上换密码，开两步验证。别用短信验证，用Google Authenticator或者类似的动态口令。

如果登不进去，说明账号已经被控制了。这时候打电话给注册商客服，走账号找回流程。有些注册商效率很低，你得反复催。同时去DNS服务商那边（如果你用的是Cloudflare、DNSPod这类），检查域名是否还在你的账户下。有时候黑客会直接把域名转移到别的注册商，这叫“域名转移劫持”，处理起来更麻烦，需要向ICANN投诉。

假设你拿回了控制权，别急着松口气。查一下域名有没有被设置域名锁定（Registrar Lock），这个功能能防止未经授权的转移。没有的话立刻开启。然后检查邮箱——注册商账号的密码重置邮件是发到你邮箱的，如果邮箱也被黑了，那等于白干。所以邮箱密码也得换，两步验证也得开。

还有一个容易被忽略的点：SSL证书。黑客劫持期间可能会给假页面申请一个Let‘s Encrypt证书，浏览器显示小锁，访客根本不会怀疑。你拿回域名后，去查一下证书透明度日志（crt.sh），看看有没有陌生证书被签发。有的话，吊销它，然后给自己重新签一张。

处理完这些，去Google Search Console提交重新审核。被劫持期间搜索引擎可能已经把你的页面标记为“被入侵”，不处理的话搜索结果里会挂一个警告，访客点都不敢点。提交审核后一般几天内会恢复。

最后说一个真实细节。我帮那个外贸站处理完以后，发现黑客还留了一个后门：他在DNS服务商那边加了一个API密钥，即使我们改了密码，那个密钥依然能调用接口修改解析。所以清理的时候，把所有API密钥、子账号、授权应用全部删掉重建。别嫌麻烦，这一步漏了，等于门锁换了但窗户还开着。

域名劫持这件事，防比治重要。两步验证、域名锁定、独立邮箱、定期查解析记录，这四件事做到位，基本不会出事。真出了事，按上面顺序走，别慌，大部分情况都能救回来。