凌晨三点，网站我盯着浏览器里那个熟悉的域名电商网站，页面加载出来了，正被但地址栏旁边的劫持小锁图标变成了灰色。点开详情，网站证书颁发机构写着“DigiCert”，域名但域名却指向了一个IP段在俄罗斯的正被服务器。我刷新了三次，劫持每次都是网站同一个结果——这不是网络波动，是域名DNS解析被劫持了。

劫持这件事，正被比大多数人想象的劫持要普遍得多。上周我帮一个做外贸的网站朋友排查网站访问缓慢的问题，最后发现他的域名域名解析记录被改了，所有流量被导到了一个仿冒的正被“官网”上。那个假网站做得几乎一模一样，只是结算页面的收款账号换成了个人账户。朋友说最近确实有几个海外客户投诉说付款后收不到确认邮件，他以为是邮件服务商的问题。实际上，那些客户的订单信息、信用卡号，全被劫持者截走了。

技术原理其实不复杂。你的域名就像门牌号，DNS服务器就是城市导航员。正常情况下，导航员告诉你“这个门牌号对应那栋楼”。劫持就是有人收买了导航员，或者干脆在导航员的路上挖了个坑，把去真楼的路引到了假楼。更麻烦的是，有些劫持发生在更底层——运营商层面。去年我测试过某家宽带运营商，访问一个海外网站时，返回的IP地址跟真实IP差了十万八千里，中间隔了三个省份的节点。这种劫持，你就算换了浏览器、清了缓存、重启路由器，照样中招。

最气人的是，很多劫持根本防不胜防。你装了防火墙，用了加密DNS，甚至上了VPN，但劫持者直接在你的路由器里植入恶意固件。我见过一个案例，受害者家里的智能路由器被刷了改版系统，所有DNS查询都被重定向，但网页显示完全正常，只是偶尔弹出奇怪的“系统升级”提示。等用户发现时，他的网银账号已经被盗刷了两个月。谁会在意路由器偶尔的“升级”呢？

真正让人头疼的是，你没法完全避免被劫持，只能尽量缩短发现时间。我的做法是定期检查域名解析记录，用不同运营商的网络交叉测试。有一次我故意用手机4G网络访问自己的网站，发现解析出的IP地址跟电脑上不一样——电脑走的是宽带，手机走的是移动网络，两个结果不一致，说明至少有一条线路被动了手脚。这种差异，普通用户根本察觉不到，但一旦被利用，可能就是几万块的损失。

写这篇文章的时候，我又检查了一遍自己的域名，目前是安全的。但谁知道明天呢？劫持者永远在暗处，你只能比他们更勤快。如果你发现网站突然变慢了，或者页面偶尔出现奇怪的跳转，别急着怪服务器，先查查你的域名解析——可能你的网站，已经不是你一个人的网站了。