一、根源通常只有两个

域名解析链路涉及本地缓存、递归服务器、权威服务器等多个节点，但真正被攻破的入口，绝大多数是下面两处：

顺序很重要：先确认是"账号被登进去改的"还是"软件被打穿的"，处置动作完全不同。前者改密码就够了，后者还得升版本、清缓存。

二、两步自查：先看全球解析是否一致

1. 对比多地解析结果：用 whatsmydns.net 一类工具查域名记录，如果不同地区返回的 IP 不一致，或与服务器商给的真实 IP 不符，基本可判定被篡改；同时在本地跑 nslookup 或 dig，看返回是否与官方记录一致。
2. 查域名状态与注册商通知：登录注册商控制台，看域名是否出现 ClientHold、ServerHold 这类异常锁定标记；再核对 WHOIS 里的注册邮箱有没有被改——攻击者常先改邮箱，用来接收重置密码的邮件，从而彻底接管账户。

三、紧急恢复：先锁门，再打扫

确认被篡改后，"时间就是金钱"，但顺序不能反：

1. 先锁域名、改密码：立刻启用域名锁定，防止对方继续修改；随后改注册商账户密码、域名管理密码、关联邮箱密码，并全部开启多因素验证。WHOIS 信息若被改动，立即改回原始信息。
2. 再核对全部解析记录：进入 DNS 管理界面，把 A、CNAME、MX 等记录逐条恢复为真实值，攻击者添加的多余记录一条不留。同时清空本地 DNS 缓存，并联系网络服务商刷新递归服务器缓存，避免旧记录继续生效。
3. 最后验证：换网络、换设备、用多地工具再查一次，确认所有地区都回到正确 IP。

四、长期防护：四件事，按性价比排

作者给的建议频率是：每季度做一次解析记录安全审计，同时关注安全社区的最新威胁情报。这个节奏对中小站长是合理的——不是天天盯，而是别让记录悄悄变了三个月都不知道。

一句话收尾：域名是你在互联网上的门牌，门牌被人换了，屋里再安全也没用。把它当成和服务器同等重要的资产来管，才谈得上"网站安全"。