去年秋天，域名渗透一个做外贸的域名渗透朋友给我看他的网站后台。流量正常，域名渗透订单正常，域名渗透但他总觉得哪里不对——Google Search Console里多了几十条他从未提交过的域名渗透URL，全部指向他主域名的域名渗透子路径，内容却是域名渗透别人的博彩广告。他以为是域名渗透误报，直到我打开其中一个链接，域名渗透页面加载出来的域名渗透瞬间，浏览器地址栏显示的域名渗透确实是他自己的域名。

这就是域名渗透域名渗透。攻击者没有黑掉他的域名渗透服务器，没有拿到DNS管理权限，域名渗透甚至没有碰他的域名渗透SSL证书。他们利用的是他网站上一个不起眼的开放重定向参数——一个他三年前写死在某个旧模板里的?redirect=。

路径比域名更值钱

多数人把域名安全等同于“域名不被抢注”和“DNS不被劫持”。这没错，但太窄。搜索引擎评估一个URL时，看的是完整路径的权重。主域名的信任度会沿着路径向下传递。攻击者要的不是你的域名本身，而是你域名下某个路径的“信任背书”。

我另一个做独立站的朋友，他的/go/路径下有一个跳转脚本，原本用于联盟营销链接。参数没有做白名单校验。有人在他域名下生成了/go/?url=博彩站，然后把这个链接发到各种论坛。Google爬虫抓取后，把这些页面归到了他的域名下。三个月内，他主站的关键词排名掉了四十多位。他查了很久才找到原因——不是算法更新，不是外链波动，是域名被“借”去做了跳板。

渗透的入口往往是你自己开的

开放重定向只是其中一种。JSONP回调、CORS配置不当、子域名接管、甚至你网站上的用户生成内容——每一个允许外部输入影响页面输出的地方，都是潜在入口。攻击者不需要高超技术，他们只需要比站长更了解站长自己留下的“后门”。

有个案例让我印象很深。一个电商站的产品评论功能允许用户上传图片，图片URL会被直接嵌入页面。攻击者上传了一张看似正常的图片，但图片的EXIF里藏了一个URL。当搜索引擎爬虫解析页面时，会读取EXIF中的URL并尝试索引。结果就是，这个电商站的产品页开始出现在一些完全无关的搜索结果里。站长花了两周才定位到问题——图片本身没问题，问题在元数据。

检测靠的不是工具，是习惯

市面上有各种域名监控工具，但大多数只盯着DNS记录和证书透明度日志。域名渗透发生在应用层，工具很难覆盖。真正有效的方法很笨：定期用site:你的域名去搜索引擎搜，看有没有不该出现的页面。检查服务器日志里那些返回200状态码但你不认识的路径。看Search Console里有没有异常的索引页面。

我自己的习惯是每周花十分钟做三件事：搜一次site:，翻一遍Search Console的“已编入索引”报告，扫一眼Nginx日志里所有非预期路径的请求。这三件事帮我提前发现过两次子域名接管和一次开放重定向被利用。

修复比想象中简单，但需要彻底

发现入口后，修复本身不复杂。开放重定向加白名单，JSONP回调加签名验证，CORS限制来源域，子域名定期清理DNS记录。麻烦的是“彻底”——你修了主站，测试站还开着；修了测试站，旧版备份还在服务器上跑着。攻击者找的永远是你忘记的那个角落。

域名渗透的本质是信任滥用。你的域名在搜索引擎和用户那里积累的信任，被攻击者用一根细小的管道引流到了别处。这根管道可能是一个参数、一个回调、一个子域名、甚至一张图片的元数据。它不破坏你的系统，只是悄悄地在你的地盘上，用你的名义，做它的事。

把域名当成一个需要持续维护的资产，而不是一次注册就完事的凭证。那些你随手留下的跳转、回调、测试路径，就是别人进来的门。