域名劫持简单来讲，就是有人在你访问网站的传输链路动手脚。浏览器输入正确网址，最终打开的页面却不是目标站点，有可能是广告页、钓鱼网站，也会直接访问失败。根源基本都在DNS环节。DNS负责域名转IP，谁掌控解析结果，就能控制流量去向。
正常解析流程是这样：输入域名，浏览器先读取本地缓存，没有就询问操作系统，操作系统检索hosts文件，无记录则请求路由器或是运营商分配的递归DNS服务器。递归服务器依次查询根服务器、顶级域名服务器、权威域名服务器，拿到IP之后返回客户端。整条链路任意环节被篡改，解析结果就出错。
最常见、门槛最低的劫持，就是本地hosts文件被篡改。hosts相当于本机域名映射表，优先级高于DNS查询。恶意程序或是人为修改，写入一条域名指向错误IP，这台设备访问该域名就会跳转错地址。这类劫持只影响单台电脑，换设备访问就恢复正常。排查方式简单，打开hosts文件查看异常条目。
路由器层面劫持影响范围更大。很多人一直没修改路由器后台默认密码，大多是admin、password这类简单字符。攻击者扫描公网暴露的路由器，使用默认账号登录，修改DHCP下发的DNS地址，指向恶意DNS。接入这个路由器下所有设备，手机、电脑、电视，解析全部被劫持。用户常会误以为宽带故障，实际路由器配置被篡改。修改路由器管理密码，关闭远程管理，就能挡住绝大多数这类攻击。
往上一层，DNS缓存投毒。递归DNS服务器为加速解析，会缓存查询记录。攻击者向递归服务器发送伪造DNS响应，并且比真实响应更早抵达，服务器就会缓存错误记录。后续所有使用该递归服务器的用户，访问该域名都会拿到错误IP。攻击影响范围广，但技术门槛偏高，攻击者需要预测DNS查询ID与端口。早年Kaminsky漏洞就是典型案例，后续DNS增加端口、ID随机化，缓解了这类风险。
局域网中间人攻击，也常用来做域名劫持。攻击者接入同一个WiFi，依靠ARP欺骗伪装成网关，你的DNS查询先经过攻击者设备，直接伪造解析结果返回。你拿到的IP是伪造的，却以为解析正常。公共WiFi风险最高，咖啡厅、机场、酒店网络都是高发场景。HTTPS可以抵御一部分篡改，证书校验失败就会弹出警告，但很多用户看到警告直接继续访问，防护直接失效。
更高阶的劫持发生在注册商或者权威DNS侧。攻击者通过撞库、钓鱼、社工手段拿到域名注册商账号，登录后修改NS记录、A记录，解析指向自己服务器。这种劫持破坏力最强，权威记录被改动，全球所有用户解析结果全部出错，域名持有者甚至失去控制权，申诉恢复流程繁琐。域名注册账号开启双重验证，打开域名转移锁，可以大幅降低风险。
BGP劫持属于另一维度攻击。它不改动DNS，而是在路由层面宣告不属于自己的IP段，把流量引流到自身网络。流量抵达之后，伪造DNS响应或者实施中间人劫持。攻击影响范围极大，可以劫持整段IP，实施门槛很高，大多是大型运营商或是国家级行为，普通用户碰到概率很低，一旦遭遇基本无法自救。
普通用户可以做几件事，用来防御域名劫持。修改路由器后台密码，不要保留默认值。电脑安装靠谱安全软件，阻止恶意程序篡改hosts。公共WiFi尽量用手机热点，访问网站确认HTTPS证书正常。浏览器地址栏小锁标识不是摆设，证书警告不要强行继续访问。域名持有者，注册账号开启两步验证，锁定域名，定期核对解析记录。懂一点技术的用户，可以启用DNSSEC，校验DNS响应真实性，抵御缓存投毒。DoH、DoT这类加密DNS，把DNS查询加密传输，中间人无法查看、篡改请求。
域名劫持算不上多么高深的攻击手段，核心就是利用解析链条上的信任漏洞。链路很长，从本机、路由器、运营商一路到根服务器，每一环都存在被利用的可能性。理清整条链路的薄弱点，远比死记各类攻击名词更有用。