CN
EN
在网络安全和域名管理的语境下，“域名污染”和“DNS污染”通常指的是同一件事。两者都是对“DNS缓存投毒（DNS Cache Poisoning）”或“DNS欺骗（DNS Spoofing）”的通俗叫法，核心都是解析结果在传输途中被伪造的应答篡改，导致用户被导向错误的IP地址。
真正需要厘清、且在日常排障中极易混淆的，是DNS污染与DNS劫持——它们虽然都表现为“域名解析不对劲”，但攻击位置、表现特征和解决方案截然不同。
核心区别：DNS污染vs.DNS劫持
| 维度 | DNS污染(DNS Pollution) | DNS劫持(DNS Hijacking) |
| 攻击位置 | 发生在DNS查询的传输链路中。中间设备（如防火墙、运营商节点）监听查询请求，抢在真实应答之前，伪造一个应答包返回给用户。 | 发生在DNS服务器本身。攻击者通过入侵、篡改配置等方式，直接修改了DNS服务器上的解析记录，使其永久或长期返回错误结果。 |
| 典型症状 | 打不开，或各地结果不一样。表现为`NXDOMAIN`（域名不存在）、`SERVFAIL`，或不同地区、不同运营商解析出完全不同的IP。网站可能“时好时坏”。 | 能打开，但内容不对。域名解析到了一个错误的IP，但网站能正常响应。你看到的是运营商的广告页、钓鱼网站或无关的推广页面。 |
| 影响范围 | 通常具有地域性和网络特异性。可能只影响某个省、某个运营商的用户，而使用`8.8.8.8`等干净DNS的用户则一切正常。 | 如果劫持的是权威DNS服务器，影响全球所有用户；如果劫持的是本地运营商DNS，则影响该运营商下的所有用户。 |
一句话总结：污染是“半路杀出的假信使”，用伪造的应答欺骗你；劫持是“邮局本身被策反”，给你的地址从一开始就是错的。
DNS污染的工作原理
DNS查询默认使用无连接的UDP协议，且缺乏内置的认证机制。当你的设备向本地DNS服务器（递归解析器）发出查询时，这个请求会经过运营商的网络。监测设备一旦识别到对特定域名的查询，就会立即伪造一个响应包，抢在真实DNS服务器的应答到达之前发送给你。你的设备会接受这个先到的伪造结果，后续的真实应答反而被忽略。
这种污染还可能蔓延：如果递归DNS服务器接受了伪造的应答并将其缓存，那么之后所有向该服务器查询此域名的用户，都会在TTL（生存时间）内持续收到错误结果，形成“缓存污染”。
如何检测与诊断
诊断的关键是多源交叉验证，判断问题是局部的“劫持”还是广泛的“污染”。
1.全球解析对比：使用`dnschecker.org`、`viewdns.info`等工具，查看全球多地对你域名的解析结果。如果只有特定地区（如国内某运营商）返回异常IP，而其他地区正常，是污染的典型特征。
2.命令行深度探测：在本地用`dig`或`nslookup`分别向本地默认DNS和可信公共DNS（如`8.8.8.8`）查询，对比结果。
如果本地DNS返回错误，但`8.8.8.8`返回正确，说明问题出在本地链路上，倾向于劫持或局部污染。
如果`dig+trace`显示权威DNS记录本身正确，但递归查询结果错误，则污染发生在递归解析环节。
3.观察访问行为：能打开但内容被替换为广告或跳转，优先怀疑劫持；完全打不开、返回`NXDOMAIN`或不同地区结果迥异，优先怀疑污染。
解决方案：分层应对
应对策略需根据问题类型分层展开。
针对DNS污染（传输链路遇干扰）
启用加密DNS（DoH/DoT）：这是对终端用户最直接有效的方法。将DNS查询封装进加密隧道，中间设备无法识别查询内容，也就无法进行有针对性的伪造应答。
部署DNSSEC：DNSSEC通过数字签名验证应答的真实性。即使伪造的污染包先到达，也会因签名校验失败而被拒绝，从机制上保证解析结果的完整性。
使用Anycast分布式权威DNS：Anycast让解析请求从地理上最近的节点响应，缩短链路，增加污染者精准干扰的难度。同时，分布式架构能提升解析服务整体对抗攻击的韧性。
针对DNS劫持（服务器记录被篡改）
立即核查并锁定解析记录：登录域名注册商和DNS托管平台，检查A记录、NS记录是否被未授权修改。立即修正并启用双因素认证（2FA），防止再次被篡改。
启用注册局锁（Registry Lock）：在注册商层面锁定域名，任何NS记录或关键信息的变更都需要额外的、经过人工复核的授权流程，从权限源头封堵“改道”的可能。
全站HTTPS+HSTS：即使解析被短暂劫持到错误IP，HSTS会强制浏览器只通过HTTPS连接。攻击者如果无法提供有效的SSL证书，浏览器会直接拦截连接，避免用户被导向钓鱼页面。
污染防的是“路上的假信使”，劫持防的是“内部被策反”。理解两者的差异，才能在选择防御手段时“对症下药”：用加密DNS和DNSSEC封堵链路篡改，用账户安全与注册局锁守住记录权限。把这几个层面都覆盖到，域名解析才能在面对不同手法的干扰时，依然保持可信与可用。
