爱华网域名劫持是互联网攻击的一种方式，通过攻击域名解析服务器（DNS），或伪造域名解析服务器（DNS）的方法，把目标网站域名解析到错误的地址而达到无法访问目标网站的目的。
域名劫持_域名劫持 -简介
域名劫持就是在劫持的网络范围内拦截域名解析的请求，分析请求的域名，把审查范围以外的请求放行，否则直接返回假的IP地址或者什么也不做使得请求失去响应，其效果就是对特定的网址不能访问或访问的是假网址。
域名劫持_域名劫持 -原理
百度被黑
域名解析（DNS）的基本原理是把网络地址（域名，以一个字符串的形式，比如 www.google.com）对应到真实的计算机能够识别的网络地址（IP地址，比如216.239.53.99 这样的形式），以便计算机能够进一步通信，传递网址和内容等。
由于域名劫持往往只能在特定的被劫持的网络范围内进行，所以在此范围外的域名服务器(DNS)能够返回正常的IP地址，高级用户可以在网络设置把DNS指向这些正常的域名服务器以实现对网址的正常访问。所以域名劫持通常相伴的措施――封锁正常DNS的IP。
如果知道该域名的真实IP地址，则可以直接用此IP代替域名后进行访问。比如访问http://www.google.com/ ，可以把访问改为http://216.239.53.99/ ，从而绕开域名劫持。
域名劫持_域名劫持 -过程
由于域名劫持只能在特定的网络范围内进行，所以范围外的域名服务器(DNS)能还回正常IP地址。攻击者正是利用此点在范围内封锁正常DNS的IP地址，使用域名劫持技术，通过冒充原域名以E-MAIL方式修改公司的注册域名记录，或将域名转让到其他组织，通过在修改注册信息后所指定的DNS服务器加进该域名记录,，让原域名指向另一IP的服务器，让多数网名无法正确访问，从而使得某些用户直接访问到了恶意用户所指定的域名地址，其实施步骤如下：
一、获取劫持域名注册信息：首先攻击者会访问域名查询站点，通过MAKE CHANGES功能，输入要查询的域名以取得该域名注册信息。
二、控制该域名的E-MAIL帐号：此时攻击者会利用社会工程学或暴力破解学进行该E-MAIL密码破解，有能力的攻击者将直接对该E-MAIL进行入侵行为，以获取所需信息。
三、修改注册信息：当攻击者破获了E-MAIL后，会利用相关的MAKE CHANGES功能修改该域名的注册信息，包括拥有者信息，DNS服务器信息等。
四、使用E-MAIL收发确认函：此时的攻击者会在信件帐号的真正拥有者之前，截获网络公司回溃的网络确认注册信息更改件，并进行回件确认，随后网络公司将再次回溃成攻修改信件，此时攻击者成功劫持域名。
域名劫持_域名劫持 -域名劫持的缺点
它不是很稳定，在某些网络速度快的地方，真实的IP地址返回得比窃持软件提供的假地址要快，因为监测和返回这么巨大的数据流量也是要花费一定时间的。
在网上查询域名的正确IP非常容易。一个是利用海外的一些在线IP地址查询服务，可以查找到网站的真实IP地址。在Google上搜索"nslookup"，会找到更多类似的服务。
参考资料：全球互联网的13台DNS根服务器分布
美国VeriSign公司2台
网络管理组织IANA(Internet Assigned Number Authority)1台
欧洲网络管理组织ripe-NCC(Resource IP Europeens Network Coordination Centre)1台
美国PSINet公司1台
美国ISI(Information Sciences Institute)1台
美国ISC(Internet Software Consortium)1台
美国马里兰大学(University of Maryland)1台
美国太空总署(NASA)1台
美国国防部1台
美国陆军研究所1台
挪威NORDUnet1台
日本WIDE(Widely Integrated Distributed Environments)研究计划1台
域名劫持_域名劫持 -破解困境
PacketScout GeniePro DNS 应对方案：
一致性检查
每个Geniepro节点将自身的DNS记录发送给工作组内其他节点请求一致性检查
每个Geniepro节点将自身的记录与收到的记录进行比较
每个Geniepro工作组的通信协调节点将获得的DNS记录更新发送给其他组的通信协调节点请求一致性检查
每个Genipro工作组的通信协调节点向上一级DNS服务器请求更新记录并与收到的其他通信协调节点的记录进行比较
PacketscoutDNS劫持
一致性仲裁
如果一致性检查发现记录不一致情况，则根据策略（少数服从多数、一票否决等）决定是否接受记录的变化
根据结果，各Geniepro节点将自身记录进行统一
通信协调节点选举
选举出的通信协调节点在任期内具有更新组内节点的权限
选举过程满足不可预测性和不可重复性
DNS安全问题的根源在于Berkeley Internet Domain (BIND)。BIND充斥着过去5年广泛报道的各种安全问题。VeriSign公司首席安全官Ken Silva说，如果您使用基于BIND的DNS服务器，那么请按照DNS管理的最佳惯例去做。
SANS首席研究官Johannes认为：“目前的DNS存在一些根本的问题，最主要的一点措施就是坚持不懈地修补DNS服务器，使它保持最新状态。”
Nominum公司首席科学家、DNS协议原作者Paul Mockapetris说，升级到BIND 9.2.5或实现DNSSec，将消除缓存投毒的风险。不过，如果没有来自BlueCat Networks、Cisco、F5 Networks、Lucent和Nortel等厂商的DNS管理设备中提供的接口，完成这类迁移非常困难和耗费时间。一些公司，如Hushmail，选择了用开放源代码TinyDNS代替BIND。替代DNS的软件选择包括来自Microsoft、PowerDNS、JH Software以及其他厂商的产品。
不管您使用哪种DNS，请遵循以下最佳惯例：
1．在不同的网络上运行分离的域名服务器来取得冗余性。
2．将外部和内部域名服务器分开（物理上分开或运行BIND Views）并使用转发器（forwarders）。外部域名服务器应当接受来自几乎任何地址的查询，但是转发器则不接受。它们应当被配置为只接受来自内部地址的查询。关闭外部域名服务器上的递归功能（从根服务器开始向下定位DNS记录的过程）。这可以限制哪些DNS服务器与Internet联系。
3． 可能时，限制动态DNS更新。
4． 将区域传送仅限制在授权的设备上。
5． 利用事务签名对区域传送和区域更新进行数字签名。
6． 隐藏运行在服务器上的BIND版本。
7． 删除运行在DNS服务器上的不必要服务，如FTP、telnet和HTTP。
8． 在网络外围和DNS服务器上使用防火墙服务。将访问限制在那些DNS功能需要的端口/服务上。
让注册商承担责任
域名劫持的问题从组织上着手解决也是重要的一环。不久前，有黑客诈骗客户服务代表修改了Hushmail的主域名服务器的IP地址。对于此时，Hushmail公司的CTO Brian Smith一直忿忿不已，黑客那么容易就欺骗了其域名注册商的客户服务代表，这的确令人恼火。
Smith说：“这件事对于我们来说真正糟透了。我希望看到注册商制定和公布更好的安全政策。但是，我找不出一家注册商这样做，自这件事发生后，我一直在寻找这样的注册商。”
Nominum公司首席科学家、DNS协议原作者Paul Mockapetris说，升级到BIND 9.2.5或实现DNSSec，将消除缓存投毒的风险。不过，如果没有来自BlueCat Networks、Cisco、F5 Networks、Lucent和Nortel等厂商的DNS管理设备中提供的接口，完成这类迁移非常困难和耗费时间。一些公司，如Hushmail，选择了用开放源代码TinyDNS代替BIND。替代DNS的软件选择包括来自Microsoft、PowerDNS、JH Software以及其他厂商的产品。
Panix.com总裁Alex Resin在因注册商方面的问题，导致今年1月Panix域名遭劫持时，也感受到了同样强烈的不满。首先，他的注册商在没有事先通知的情况下，将他的域名注册卖给了一家转销商。然后，这家转销商又把域名转移给了一个社会工程人员
