```html

域名攻击

2016年10月21日，美国东海岸的域名攻击网民发现Twitter、Spotify、域名攻击GitHub、域名攻击Airbnb等一大票网站集体趴窝。域名攻击不是域名攻击服务器被炸，也不是域名攻击光缆断了——攻击者压根没碰那些网站本身。他们打的域名攻击是DNS服务商Dyn。Dyn的域名攻击域名解析系统被海量垃圾请求淹没，导致它无法把域名翻译成IP地址。域名攻击用户输入twitter.com，域名攻击浏览器问DNS：“这域名对应哪个IP？域名攻击”DNS那边一片死寂。于是域名攻击网页打不开，App刷不出内容。域名攻击一个做域名解析的域名攻击公司被干翻，半个美国的互联网跟着陪葬。

域名攻击就是这么回事。它不直接攻击你的服务器，而是攻击“找到你服务器”的那条路。路标被涂改、被拆掉、被伪造，用户就被导到沟里去了。

常见的玩法有这么几种。DNS劫持算最脏的——攻击者篡改DNS记录，把原本指向你服务器的域名解析到他的IP上。用户看着地址栏里还是你的域名，实际访问的是钓鱼站或者挂马页面。2018年，MyEtherWallet就吃过这一招。黑客劫持了它的DNS，把用户导到一个假钱包页面，几分钟内偷走了价值15万美元的以太币。用户做错了什么？什么都没做错。他们只是输入了正确的网址，然后被DNS出卖了。

DNS放大攻击是另一种路数。攻击者伪造你的IP，向大量开放DNS解析器发送查询请求。解析器把响应发回给你——响应包比请求包大几十倍。你的带宽瞬间被撑爆。这招阴在攻击者根本不用看到你，他甚至不需要知道你的服务器在哪。他只需要伪造你的IP，然后让全世界成千上万的DNS服务器替他向你开火。

还有域名劫持——直接偷你的域名。攻击者搞到你的注册商账号，把域名的NS记录改到他的服务器上。用户访问你的域名，看到的是他控制的内容。2019年，黑客通过社会工程学骗到了GoDaddy的客服，拿到了一个加密货币交易所的域名控制权。整个过程没用到什么高深技术，就是打电话冒充域名所有者。客服信了，域名就没了。这比入侵服务器简单多了，收益却可能更大。

我观察到一个现象：很多公司愿意花几十万买防火墙、WAF、EDR，却对域名安全几乎零投入。注册商账号用个弱密码，DNS服务商选最便宜的，DNSSEC从来没开过。攻击者当然挑软柿子捏。你前门装了防弹玻璃，后门却挂着把生锈的挂锁。

防域名攻击，有几件事是底线。注册商账号开双因素认证，别用同一个密码走天下。DNS服务商选靠谱的，支持DNSSEC的优先。监控DNS解析记录有没有被改——很多攻击发生后几小时甚至几天才被发现。还有，别把鸡蛋放一个篮子里：关键域名用多个DNS服务商做冗余，一家被打瘫了，另一家还能顶一会儿。

域名攻击最让人不安的地方在于：它攻击的是信任本身。用户信任DNS，信任地址栏里的域名。当这份信任被利用，用户连“我到底在访问谁”都搞不清楚。你可以在服务器上堆满安全设备，但用户连门都找不到的时候，那些设备就是一堆废铁。

Dyn被攻击那天，我正好在做一个项目的上线部署。突然发现npm装不了包，GitHub也连不上。一开始以为是公司网络抽风，折腾半天才看到新闻。那种感觉很奇怪——你什么都没做错，但整个基础设施突然就不工作了。域名系统就像空气，存在的时候你感觉不到，一旦没了，你才发现自己寸步难行。