有哪些信号
同一个域名问不同解析器结果不一致、返回的地址指向广告页、明明不存在的名字却被解析出结果，都是链路劫持或污染的迹象。启用加密校验后验证失败也是强信号——校验不通过，说明应答与权威数据不符。
怎么确认而不是猜
确认要靠交叉比对：换多个解析器、换解析方式（明文与加密各来一次），看结论是否稳定。只凭一次异常就断言被劫持，很容易把解析器自身故障或本地缓存问题误判成攻击，从而浪费大量排查时间。
基本信息
| 对比方法 | 用多个公共解析器分别查询同一个名字 |
|---|---|
| 加密比对 | 用加密解析接口或加密传输查询同一名字做对照 |
| 强信号 | 加密校验失败，说明应答与权威数据不符 |
| 常见表现 | 返回广告地址、不存在的名字被解析、不同网络结果差异 |
典型使用场景
- 排查线上服务被指向陌生地址
- 安全事件初筛：确认是劫持还是解析器故障
- 部署验证型解析器后的对照检查
- 排查移动网络下的解析异常
对比与验证
对比与验证
dig @223.5.5.5 www.example.com +short # 换解析器对比
dig @8.8.8.8 www.example.com +short
dig +dnssec www.example.com +noall +comments # 看能否建立验证标志
curl -s 'https://dns.google/resolve?name=www.example.com&type=A' # 用加密接口对照信号怎么解读
| 信号 | 含义 | 下一步 |
|---|---|---|
| 多解析器结果不同 | 链路某处改写了应答 | 用加密解析接口确认真实结果 |
| 不存在的名字也能解析 | 可能被伪造应答 | 先排除搜索域补齐导致的误解 |
| 返回无关广告地址 | 典型劫持行为 | 留存证据并更换解析链路 |
| 加密校验失败 | 应答与权威数据不符 | 检查验证型解析器与链路配置 |
对抗手段包括加密解析（把查询本身加密）、启用加密校验（配合支持验证的解析器），以及为关键域名固定解析路径。选哪种取决于你能控制到链路的哪一段。
能连通不等于没有被劫持：劫持方通常照常应答，只是把内容换掉。必须比对查询结果本身，而不是只看延迟或连通性。
排查建议保留完整证据：同一时刻不同解析器的应答、抓包文件与时间戳。只有可复现的证据才能在事后区分误报与真实事件。