用户反馈网站会跳到陌生页面，管理员自己打开却一切正常；或者首页还在，页面里突然多了广告、下载按钮。这类问题经常被统称为“网站被劫持”，但原因可能出在完全不同的位置。

高防CDN可以参与防劫持，但需要把解析安全、HTTPS传输、应用防护和源站保护一起配置。 DDoS清洗主要保障网站可用性，不能自动修复被盗的域名账号、被篡改的程序或恶意第三方脚本。

先找到异常发生在哪一段，才能判断接入CDN、调整规则还是修复源站更有效。

先分清：用户说的“网站被劫持”是哪一种？

从输入域名到页面显示，浏览器要完成域名解析、连接服务器、获取页面、执行脚本等步骤。任何一个环节发生异常，都可能表现为“打开了不该打开的内容”。

这张表用于缩小范围，并不是根据一个现象直接定性。不同地区解析出不同IP，可能只是CDN正常调度；网站返回302，也可能是合法登录流程。

真正要找的是：哪个环节产生了未经授权的地址、规则或内容。

DNS这一层，怎样避免用户被带到错误入口？

接入CDN后，用户访问域名应按服务商要求指向CDN。通常可以通过CNAME接入，也有代理DNS等方式，具体取决于产品。

但换了CNAME，并不会让DNS环节天然安全。域名注册商账号被盗、DNS平台密钥泄露，或者访问侧收到伪造的解析响应，都可能让用户偏离原本的访问路径。

保护解析账号，也保护域名控制权

域名注册商、DNS平台和CDN控制台，都属于重要的管理入口。应分别启用多因素认证，按岗位分配权限，清理离职人员账号，并让自动化程序使用权限尽量小的API令牌。

还应关注NS、A、AAAA、CNAME记录及相关配置的变更。NS记录涉及域名由哪些权威DNS服务器负责，不能只盯着某一条A记录是否正确。

域名转移锁可以降低未经授权转移的风险，但不能据此认为所有解析记录都不能被修改；不同锁定机制的保护范围需要分别确认。

DNSSEC保护解析真实性，不负责加密网页

DNSSEC通过数字签名帮助验证DNS数据的来源和完整性。ICANN的DNSSEC原理说明解释了签名与信任链如何让验证型解析器识别被篡改的数据。

它的作用有前提：域名签名、上级委派中的相关记录和验证链需要正确，访问侧还需要经过实际执行验证的解析过程。配置不匹配可能造成解析失败，切换DNS服务商时尤其要协调相关记录。

DNSSEC也不能阻止拥有合法管理权限的人修改记录。如果账号已经失守，攻击者可能通过正常管理流程改掉解析。因此，DNSSEC与账号保护应同时进行。

HTTPS要覆盖哪两段连接？

接入高防CDN后，通常存在两段独立连接：

• 浏览器与CDN之间；
• CDN与源站之间。

浏览器显示HTTPS，只能反映它与当前访问端点建立了安全连接，不能直接证明CDN回源也使用了HTTPS。

边缘加密之后，回源也要验证身份

如果浏览器到CDN已经加密，但CDN仍通过公网HTTP获取源站内容，后一段仍然使用明文传输。对于登录、订单、API和其他敏感业务，应配置HTTPS回源，并正确验证源站证书。

证书校验包括有效期、信任关系和名称匹配。Cloudflare的Full（strict）模式说明就明确区分了加密连接与更严格的源站证书要求；其他服务商的模式名称和可接受证书范围，应以对应文档为准。

回源地址、HTTP Host和TLS握手中的服务器名称指示（SNI），也需要与源站配置配合。连接的是某个IP，不代表可以忽略域名校验。发生证书错误时，应修复配置，不能靠长期关闭验证解决。

HSTS减少浏览器退回HTTP的机会

HSTS是一项浏览器安全策略。浏览器通过安全连接收到有效策略后，会在策略有效期内强制以HTTPS访问对应主机。

在HTTPS已经稳定工作的前提下，可先对测试域名或小范围流量设置较短有效期，例如下面的HTTP响应头：

Strict-Transport-Security: max-age=300

这里的300表示300秒，只适合初期验证；确认无误后，再按正式部署计划逐步延长。不要直接加入includeSubDomains，除非相关子域名都已具备稳定的HTTPS服务。

MDN的HSTS说明指出，普通HSTS通常要在浏览器先建立一次安全连接并收到响应头后才生效，因此仍有首次访问的限制；预加载机制可以缓解这一问题，但需要满足额外条件。

HSTS保护的是连接方式。它不能让被入侵的网站恢复原样，也无法阻止已经获得页面执行权限的恶意脚本产生业务危害。

WAF和源站保护，怎样减少网站被篡改的机会？

另一类“劫持”并没有发生在传输途中：服务器本身就返回了恶意代码。此时HTTPS甚至会完整地把这些代码交给浏览器。

常见入口包括存在漏洞的CMS、未更新的插件、泄露的后台密码、异常文件上传，以及被滥用的发布凭证。防护重点应转向应用入口与管理权限。

把危险请求挡在边缘，同时修复程序

Web应用防火墙（WAF）可以依据规则识别部分SQL注入、跨站脚本、路径遍历和异常上传等请求，降低漏洞被利用的机会。但它不能保证发现所有变体，也无法替代代码修复和依赖更新。

如果攻击者已经取得合法后台凭证，通过正常操作修改了首页，仅靠攻击特征匹配未必能识别。后台权限、登录保护和发布审批仍然重要。

在WAF、Bot管理与DDoS协同防护中，CDN07将网络攻击处理、应用请求检测和自动化行为识别放在同一条访问链路中考虑。用于防劫持时，可以围绕后台登录、内容发布、文件上传等高风险路径制定策略，同时保留正常业务需要的访问方式。

让源站业务入口只接受预期访问

源站长期直接暴露在公网，攻击者可能绕过CDN访问后台或利用漏洞。因此，业务端口应结合实际回源地址范围、访问控制和适用的身份验证方式进行限制。

如果使用共享CDN出口，仅允许某组出口IP，不一定足以证明请求属于自己的站点。是否需要进一步的回源身份验证，应结合服务商能力与业务架构确定。

还要检查IPv6、旧子域名和管理面板是否存在旁路。仅限制IPv4入口，却让AAAA记录直接指向源站，保护范围仍然不完整。已有源站暴露问题时，可结合源站IP保护与旁路检查方法继续排查。

这些措施减少的是绕过防护和进入源站的机会。如果程序已被修改，仍需恢复可信版本、修复入口并处理泄露凭证。

第三方脚本导致跳转，CDN能直接识别吗？

网站没有被直接入侵，也可能因为统计、广告、客服或其他第三方脚本发生异常跳转。

浏览器加载的脚本具有相应执行能力。脚本来自HTTPS地址，并不能证明其内容始终安全；第三方账号失守、资源被替换，或者脚本逻辑发生变化，都可能影响页面。

用CSP限制页面可以加载和执行什么

内容安全策略（CSP）可以限制资源来源、脚本执行条件及某些页面行为。为了减少上线时影响正常功能，可以先使用仅报告模式。

例如，下面的响应头可作为测试起点，并非适用于所有网站的最终策略：

Content-Security-Policy-Report-Only: default-src 'self'; object-src 'none'; base-uri 'self'; form-action 'self'

它默认以同源作为资源限制基线，并对对象嵌入、基础URL和表单提交增加约束。因为使用Report-Only，这些限制不会实际阻断请求，可先在浏览器控制台查看违规信息；若需要集中收集，还应配置报告端点。

MDN的CSP部署指南介绍了这种测试方式。正式启用前，需要梳理第三方依赖，按需设计来源、nonce或哈希规则，并测试登录、支付和客服功能。

CSP不是通用的“禁止一切跳转”开关。如果策略允许的脚本本身有问题，宽泛的来源白名单仍可能放过它。

对固定版本资源使用完整性校验

子资源完整性校验（SRI）允许页面提供预期的资源哈希。浏览器下载脚本或样式后进行比对，不匹配时拒绝加载。

根据MDN的SRI说明，跨域使用时还需要资源服务器正确支持CORS，并配置相应的crossorigin属性。MDN

它适合版本固定、内容可预期的资源；资源更新时应同步更新哈希。若攻击者连主页面和哈希值都能修改，SRI也无法独立保证安全，因此发布链路与页面本身仍然要保护。

网站已经出现异常跳转，按什么顺序排查？

先记录发生时间、完整URL、设备、运营商、是否从搜索结果进入，以及跳转前后的域名。不要只保留一句“网站被劫持了”，这些差异可能正是定位条件。

以下命令适用于安装了dig和curl的Linux或macOS终端，示例域名与地址需要替换。它们用于检查自己的站点，不需要发起攻击流量。

1. 对照解析配置，别把CDN调度当成劫持

dig +short NS example.com
dig +short CNAME www.example.com
dig +short A www.example.com
dig +short AAAA www.example.com

将结果与注册商、DNS平台及CDN控制台中的预期配置对照。不同网络返回不同节点IP并不罕见，关键是解析链是否仍指向授权的服务。

如果本地结果异常，而另一网络正常，可以继续检查本地路由器、代理和解析环境；但仅凭两个结果不同，还不能证明发生了DNS劫持。

若所有地区都解析到同一个未经授权的目标，应优先核对账号登录与配置变更记录，而不是反复更换本机DNS。

2. 看重定向由哪一次响应产生

下面使用GET请求查看响应头，并丢弃响应体，不自动跟随跳转：

curl --noproxy '*' -sS \
  --connect-timeout 10 --max-time 20 \
  -D - -o /dev/null \
  https://www.example.com/

-D -将响应头打印到终端，--noproxy '*'让这次请求不使用环境代理。应在允许直接联网的测试环境执行。

重点看状态码和Location：如果返回301、302、307或308，确认目标地址是否符合业务预期。先检查每一跳，再决定是否访问下一地址；不要在未知跳转页输入后台账号或其他凭证。

curl官方手册说明了这些参数的用途。curl不会像浏览器一样执行页面JavaScript，因此“命令没有跳转”不等于页面不存在恶意跳转。

如果返回200，而浏览器加载后才离开当前页面，应打开开发者工具，保留网络日志，查看发起导航的脚本、页面内容和请求链。还应核对HTML中的刷新跳转，以及浏览器扩展、Service Worker等可能影响访问的因素。

3. 在授权条件下比较源站与CDN响应

如果有权限访问自己的源站，可以从已获允许的测试环境，绕过CDN进行对比：

curl --noproxy '*' -sS \
  --connect-timeout 10 --max-time 20 \
  --resolve 'www.example.com:443:192.0.2.10' \
  -D - -o /dev/null \
  https://www.example.com/

192.0.2.10是文档示例地址，需要替换为真实源站地址。命令保留URL里的域名，用于Host、SNI和证书校验。

示例假设源站按该域名提供HTTPS服务。若实际回源使用其他名称或私有信任链，应按真实配置调整测试，而不是添加-k跳过验证。也不要为了对比而向公网放开整个源站。

源站正常、CDN异常时，重点查缓存、重定向规则、边缘处理和配置变更；两边都异常时，再检查应用、Web服务器配置和数据库内容。

不过，比较必须尽量使用相同路径和触发条件。若异常仅针对移动端或特定Cookie出现，一个普通curl请求可能无法复现。

4. 修复异常来源，再处理缓存残留

确认入侵或配置被修改后，应保留必要日志和异常样本，再恢复可信配置或发布版本，撤销异常规则，处理泄露账号与令牌，并修复最初的进入途径。

涉及凭证轮换时，应从可信设备操作，并核查恢复邮箱和已有会话。只改一个密码，却保留已泄露的API令牌或异常会话，问题可能再次出现。

源站确认干净后，再刷新受影响的CDN缓存。若先清缓存、后修源站，节点可能重新缓存恶意页面。用户侧还可能残留浏览器缓存、缓存的重定向或Service Worker，需要分别检查。

恢复验证应覆盖之前出现异常的设备、网络和访问来源，而不只是管理员电脑上的首页。

接入CDN07时，怎样把防劫持措施落到业务上？

CDN07高防CDN提供网站加速、DDoS防护及可定制的节点、带宽和安全策略。防劫持接入应围绕真实风险配置，而不是只提高攻击流量防御值。

例如，内容站应关注后台发布和第三方脚本；电商站要保护登录、订单及支付相关路径；SaaS平台则需要同时考虑租户域名、API和管理权限。防护规则应服务于这些具体入口。

实际部署时，可以把工作分为三部分：

DNSSEC通常需要DNS与注册商侧配合；CSP、SRI则涉及应用或响应头配置。它们是否由现有平台提供、谁负责维护，应在接入时确认，不能仅凭购买了高防CDN便认为全部自动完成。

常见问题

高防CDN能百分之百防止网站被劫持吗？

不能作这样的保证。它能参与保护访问入口、传输链路与应用请求，但域名账号、源站程序、第三方脚本和用户设备仍可能形成独立风险。

网站已经用了HTTPS，为什么还会跳到广告页面？

HTTPS保护传输，不保证页面内容本身安全。恶意内容可能来自源站、数据库、第三方脚本，也可能来自被修改的CDN规则或本地浏览器环境。

只有手机访问才跳转，是运营商劫持吗？

不能直接确定。服务端和脚本都可以按设备、网络、来源或会话条件返回不同内容。应对照不同设备和网络，并保留实际跳转链。

接入CDN之后，DNSSEC还需要开启吗？

两者解决不同问题。CDN负责代理与分发，DNSSEC帮助验证解析数据。在DNS服务与域名体系支持且能正确维护的情况下，可以配合使用。

更换CDN后正常了，是否说明原CDN被入侵？

不能这样推断。切换可能同时改变缓存、规则、解析和访问路径。需要查看具体响应及变更记录，才能判断原因。

源站修复后，为什么还有部分用户看到恶意页面？

可能存在CDN缓存、浏览器缓存、缓存的重定向或Service Worker残留，也可能是入侵入口尚未彻底修复。应比较当前源站响应、节点响应和受影响设备的实际请求。

网站防劫持需要让解析、传输、配置和内容都保持可信。高防CDN能在其中承担重要保护工作，但每一层仍要有明确的维护责任。

准备接入或正在排查异常时，可以通过CDN07技术咨询提供受影响的URL、发生时间、地区运营商及脱敏后的响应记录，结合解析、规则和回源情况定位问题。提交材料前删除Cookie、Authorization、访问令牌及其他敏感信息，让排查依据具体证据推进。