怎么检测域名是否被劫持？

先看回的 ip 对不对

怎么检测域名是否被劫持？我不看页面。先看解析。 同一个域名。几个地方各问一次。 答案一样。先别怀疑。答案不一样。再往下查。

我一开始查了半天页面

我一开始盯着页面看。看有没有被挂马。翻了半天。 试了半天才想起来。该先问解析。 这里我记一下。页面是结果。解析才是原因。

四个地方各问一次

本地问一次。看用的是谁家的解析。 换一家 dns 再问一次。 外地机器问一次。手机流量再问一次。 四个答案摆一起。有分歧就有线索。 那么先看清自己的缓存。再清一次。

看回的是哪个段

183.2.172.177 是广州电信。124.237.178.35 是保定电信。 220.181.111.232 是北京电信 IDC。180.101.49.44 是南京电信。 那么回的 ip 段都对得上号。陌生的段先记下来。 同段不同城。也算一条。

用宝塔拨测的网站测速。多地区跑一轮。看各地回的 ip 是不是同一批。

这次的数据

24 个节点跑一轮。另一轮 25 个。 广西河池移动 142ms。安徽宿州电信 62ms 和 63ms。 其余大多在几十毫秒以内。 那么 ip 都对得上。这两轮没看到被换。 最慢那个 142ms 也是正常段。慢不等于劫持。

再补两条旁证

证书 issuer 变没变。变了先记一笔。 换一家 dns 就正常。这条很硬。 然后看 ttl。突然变短也算一条。 那么几条一起看。单看一条容易误判。 这里我一般记两轮。隔一小时再记一次。

一个域名。四个地方问。三个一样。一个不一样。那个不一样的。才是要查的。