CDN劫持是怎么回事，三种套路拆开看

浏览器地址栏的小锁还在，页面内容却变成了别人的广告位——先别急着喊服务器被黑。多数时候源站好得很，出事的是 CDN 这一段路。CDN劫持是怎么回事，一句话讲透：用户最后拿到的那个响应，不是你的源站发出去的，中间被截了、被换了，或者压根就被指到了别人的机器上。下面这三种套路，我在运维这行见过太多次，拆开说比笼统地喊“防劫持”有用。

CDN劫持是怎么回事，先看它劫的是哪一段

一整条链路掰开就四段：用户在浏览器敲域名，DNS 把域名解析到某个节点 IP，节点上缓存着你的内容，缓存里没有就回你的源站拉。四段里任何一段被人插了手，用户看到的就不是你想给他看的东西。很多人把注意力全放在源站加固上，反倒把最外层的解析和账号当成后台的一个小设置，随手填完就不管了。

再补一句，CDN 的干活方式决定了它天然有个软肋：入口是域名，节点是别人家的机器，这两样你都没法亲手摸。你能管的只有配置和账号。所以真出问题时，八成不是机器坏了，而是某个配置被人动了、某条记录被人改了。

套路一：解析被拐弯，流量压根没落到你选的节点

最省事的劫持方式就是动解析。你以为是 CNAME 指向服务商给的地址，实际被人改成一个陌生域名，用户就被送到另一台机器上——那台机器上也能摆出你的页面，只是内容被塞了东西。还有一种是本地 DNS 缓存被污染，返回的 IP 跟你控制台里显示的完全对不上。

还有一种更土但更常见：域名管理后台的账号被撞库。解析记录一改，生效还快，等你发现流量掉了去翻日志，已经过去好一阵。判定方法不难，隔段时间 dig 一下域名，把控制台里的解析记录截图存一份，两边对不上就有问题。别嫌笨，这招比任何监控面板都直接。

这里头有个坑得提：有些服务商给的 CNAME 目标域名本身就带随机后缀，切节点时会变。别看到变了就以为被劫持，先去控制台或者工单确认。以服务商页面说明为准，别自己想当然。

套路二：节点侧被人动了手脚，回源指向别人家

控制台账号泄露的后果比很多人想的严重。CDN 的权限基本等于网站内容权限：能改回源地址、能改缓存规则、能换证书、能加一堆响应头。回源地址一旦被改成别人的域名，用户访问你的站，节点去别人那儿拉内容回来，你连日志都不一定看得到。

还有缓存投毒这一路：往缓存里塞一条你根本没发布过的路径，或者让某个本该回源的请求命中一条伪造缓存。表现出来就是首页正常，某个内页被人换成了别的东西。这种最恶心的地方在于，你刷新本地浏览器可能看不到，因为命中的是离你最近那个节点的缓存。

所以控制台得按“能改内容的东西”来管：开双因素，给运维的子账号只放必要权限，操作日志定期翻一翻，谁半夜改了回源地址得能查出来。这些不是花活，是底线。

套路三：解析和节点都对，路上被中间人换了内容

第三种最隐蔽，链路本身没毛病，是传输过程被中间人插了一脚。最典型的场景是全站 HTTPS 没做全，有些页面还在用 http 拉资源。明文传输，中间环节想插广告、换下载链接、替换一段脚本，基本没什么门槛。用户看到的是你的域名，内容却不是你的。

证书这块也常出问题。有一种是域名对得上但签发者不对；还有一种是证书链少装了中间证书，部分浏览器直接报不安全。用户看到红色警告，第一反应是“这网站有问题”，你的单子就丢了。排查时先看证书链完不完整，再确认部署到节点上的证书跟你手里那份是同一张。

要减少这类事，全站 HTTPS 走起，能开的 HSTS 就开，页面里别再混着 http 的外链资源。做完这些，中间人想改内容的成本就高得多。

自己怎么查，几个不花钱的动作

先看解析：用 dig 或者 nslookup 把解析链走一遍，看 CNAME 是不是指向服务商给的目标，A 记录落在哪个 IP 段。再看返回：curl -I 拿一下响应头，看看节点标识和缓存命中状态对不对。多换几个网络环境各开一次（手机流量、家里宽带、公司网络），同时比对页面里几个关键字符串有没有变。

想省事就写个小脚本，定时抓首页标题和几个固定位置的文字，跟基准值比，不一样就发告警。频率别太密，也别抓太深的内页，容易被当成采集。这事做过一次就知道，比起出事以后熬夜排查，前面这点功夫太便宜了。

重心其实在账号、证书和源站这三处

源站 IP 能藏就藏，别在群里、邮件签名、工单附件里到处贴。控制台开双因素，能开操作审计就开。证书到期日加进日历，别等浏览器报警才想起来。解析记录一个月核对一次，顺手截个图存档。DNS 服务商支不支持 DNSSEC，以服务商或官方页面说明为准，能开就开。

这些配完，剩下的是个心态问题。别指望一次弄好就永久没事，CDN 配置和证书都是会随时间变化的东西，谁接手、谁改过、什么时候改的，得留痕。运维出事往往不是因为不懂技术，是没人交接。

要动手的话，今晚就能干三件事：把域名解析 dig 一遍跟控制台核对，把 CDN 控制台的登录改成双因素，把还在跑 http 的页面拎出来补证书。三件里做完两件，你就比大多数站强了。剩下的慢慢来，别等出事再补课。