危险域名检测

2023年秋天，危险一位做外贸的域名朋友收到一封“客户”邮件，域名是检测sinotrust-logistics.com。他差点点了里面的危险发票链接。我帮他查了一下——这个域名注册于七天前，域名服务器在俄罗斯，检测页面克隆了某物流公司的危险官网。典型的域名危险域名。

危险域名不是检测单指某一类东西。它可能是危险一个刚注册的钓鱼站，一个被黑掉的域名正规网站，一个用形近字冒充的检测假域名，或者一个短链接背后藏着的危险恶意跳转。判断一个域名危不危险，域名得看几个硬指标。检测

注册时间和注册商

正常企业官网的域名，注册时间通常以年为单位。一个声称是“某银行”的域名，如果注册于上个月，那基本可以判定有问题。我习惯用Whois查询，看两个字段：Creation Date和Registrar。注册商如果是NameCheap、GoDaddy这类常见平台，倒不说明什么。但如果注册商名字都没听过，且注册时间极短，风险直线上升。

有个例外：有些公司会提前注册域名做品牌保护，但那种域名通常不会立刻挂上登录页面。

域名拼写和字符替换

把apple.com写成app1e.com，或者把microsoft.com写成micros0ft.com，这是最老套也最有效的钓鱼手法。人眼扫过去，很容易忽略数字1和字母l的区别。更隐蔽的是用西里尔字母“а”替换拉丁字母“a”——在浏览器地址栏里几乎看不出差别。

我见过一个案例：g00gle-drive.com。多了一个连字符，多了一个零。点进去是Google Drive的登录页克隆，输入密码后直接发到攻击者服务器。

SSL证书不是安全标志

很多人看到地址栏有小锁头就放心了。这个习惯得改。Let's Encrypt让HTTPS证书免费了，钓鱼站也能轻松申请。有锁只代表传输加密，不代表网站合法。我见过一个危险域名，证书信息里组织名称是“None”，颁发给一个随机字符串，这种细节值得警惕。

页面内容和跳转行为

打开一个域名，如果它立刻要求你登录，或者自动下载文件，或者跳转到另一个完全无关的域名，危险信号就很明显了。有个工具叫URLVoid，能查域名在黑名单里的记录。另一个方法是把域名丢进VirusTotal，看安全引擎的检测结果。

但工具不是万能的。我遇到过一个新注册的钓鱼域名，所有引擎都显示“干净”——因为它太新了，还没被收录。这种时候只能靠人工判断：页面设计粗糙、图片模糊、联系方式缺失、版权年份不对，都是线索。

一个真实的判断过程

上个月有人发来一个链接：alibaba-supplier.cn。看起来像阿里巴巴的供应商页面。我做了几件事：查Whois，注册人邮箱是temp@mailinator.com——一次性邮箱；查DNS记录，A记录指向一个荷兰的VPS；打开页面，要求输入阿里巴巴账号密码。结论很明确：钓鱼站。

整个过程不到五分钟。不需要什么高级技术，就是几个基础查询加上一点怀疑精神。

危险域名检测的核心不是技术，是习惯。看到陌生域名，先别点。复制出来，查一下注册时间，看一眼拼写，搜一下域名加“scam”或“钓鱼”关键词。这几步花不了两分钟，但能挡掉大部分坑。

浏览器和杀毒软件会拦一部分，但拦不住全部。最终判断还是得靠人。别懒，别侥幸。