站長故事：網站域名被盜的經歷

編者按：以下是一個中國個人站長域名被盜的經歷，大致是因為在Godaddy上使用了與CSDN相同的用戶名和密碼，而因為CSDN密碼泄漏，導致Godaddy帳號被盜，最終使得域名被盜。防止Godaddy域名被盜只要有兩點：Godaddy帳號和郵箱，Godaddy帳號使用單獨的用戶名（不要和其他網站用戶名相同）和強密碼，域名全部鎖定（遷移解鎖會發(fā)送郵件），郵箱使用安全的郵箱（建議使用Gmail，開啟“兩步驗證”功能，全世界目前只有Gmail具有這種手機動態(tài)密碼驗證功能，這樣除非Gmail用戶密碼和手機同時被盜，否則黑客很難攻破）。而如果Godaddy域名被盜之后，中國用戶與其進行交涉就非常麻煩了，以下這個站長的經歷就可見一斑，因此編者轉發(fā)此文，以提醒廣大站長保護好自己的域名。

以下是原文：

眾所周知，域名是一個網站的根基，就像是大樹的根、大樓下面的地皮，一旦域名被盜，對于網站的打擊將是毀滅性的。黑客拿到域名的擁有權之后，便可以將域名解析到他自己的服務器上，將網站換成一個掛滿木馬或病毒的頁面，這樣網友一進入該頁面就中木馬。或者可以直接將域名跳轉到色情網站上，通過該色情網站來獲利，這都是短時間內獲得暴利的辦法。不過他也可以仿制原本的網站，使其界面看起來一模一樣，然后將網站的廣告全換成他自己的，通過廣告來獲得持續(xù)性的利益�？傊蛎槐I后，原站長就對自己的網站失去了一切控制權，就算更換新的域名，網友們在短時間內也很難獲知新的域名地址，換域名之后網站必定元氣大傷，網站名氣大一點的，可能有一部分網友還會通過該網站名找過來，名氣小的直接就廢了。

由于缺乏相關法律保護，域名被盜之后，唯一的辦法是找域名注冊商申訴，因為公安局和法院通常都不會受理。而也沒有任何規(guī)定顯示域名注冊商必須對域名被盜負責，由于每天接到的申訴過多，域名注冊商為了避免承擔不必要的風險，通常都會拒絕域名注冊人的申訴，并讓他們去報案或去法院訴訟，相互踢皮球。所以說現(xiàn)在域名基本上處于三不管的境地，一旦被盜，能找回來的寥寥無幾，要想保護域名只能依靠自己。

筆者的個人網站創(chuàng)立于2005年初，其實早在2007年2月份域名就曾被盜過。域名是在新網的一家代理商注冊的，新網是當時國內兩大域名注冊商之一。當時本人已有十幾個重要的地方需要用到密碼，如QQ、郵箱、服務器、FTP、網銀等等。由于密碼多了自己也老是忘記，為了記憶方便，我將兩兩不相關的地方設置為相同的密碼，例如當時網站主服務器的登陸密碼，與我域名管理郵箱的密碼相同。這樣做也是為了避免某一處密碼泄露導致所有東西淪陷。誰知道當時那個黑客入侵了網站服務器，通過后門程序獲得了網站服務器的密碼，他或許是拿著這個密碼將我所有地方都試了一遍，最終郵箱也被盜。之后他再通過這個域名管理帳戶的密保郵箱，取回了域名管理帳戶的密碼，然后進入域名管理平臺，將域名轉出了該代理商的系統(tǒng)，過戶到了他自己的新網帳戶下面，域名的注冊人名稱和注冊人郵箱地址也全被改了。后來我通過身份證和部分郵件（用了foxmail，郵件存在了電腦上）向網易申訴，拿回了郵箱，然后再聯(lián)系那家代理商，可是代理商卻說域名已不在他們系統(tǒng)內，他們無權操作，要我聯(lián)系新網。我聯(lián)系了新網，得到的答復卻是無法受理。后來經過多次聯(lián)系，新網那邊終于答應受理，但需要那家代理商出具證明，證明該域名是我本人在他們那邊注冊的。為了取得該證明，我提供了域名注冊成功的郵件，域名注冊時的銀行打款記錄，域名續(xù)費時的打款記錄等等，連同身份證一起發(fā)了過去。經過艱難的努力，最終終于拿回來了域名。事后我給新網的楊經理發(fā)了封感謝信。

自那之后，我認識到密碼安全的重要性和嚴重性。我開始使用密碼本保存密碼，每個地方密碼都不同，但隨著時間的推移，互聯(lián)網上需要用到密碼的地方越來越多，不可能每個都使用密碼本保存，每次輸入起來也會不方便，于是我將密碼分為3個等級，最初級的通常是一些臨時性的帳號，例如到某論壇去下個東西，卻發(fā)現(xiàn)必須登陸，于是隨手注冊一個帳號，這個帳號就算被盜對我沒有任何損失，但這個地方或許將來我還會再來，所以這類帳號我統(tǒng)一用一個相對比較簡單又容易記憶的密碼。中級密碼用在那些我經常要去的地方，且這些帳號即使被盜了也不會對我造成太大的損失，或者說我可以通過密保輕松的拿回來，所以這些地方我統(tǒng)一設置一個較復雜的密碼。最高級別的密碼是那些非常重要的地方，如QQ，郵箱，網銀等等，我每個都設置不同的密碼，密碼同時包含數(shù)字+大小寫字母+特殊符號，并且經常更換，但輸入起來也非常麻煩，如今這類密碼都已經有超過50個了。

2009年國內打擊低俗網站，由于低俗沒有明確的標準，當時大批網站被殃及，有些網站的域名甚至直接被域名注冊商給鎖了，由于域名放在國內，只要通信管理局下個通知給注冊商，注冊商就會把域名HOLD處理，這個域名就徹底無法使用了，一時間搞得人心惶惶。為了域名安全，我在那時將網站的其中一個域名轉移到了美國最大的域名注冊商GoDaddy。2010年GoDaddy支持了支付寶，付款和續(xù)費都更方便了，于是我又陸續(xù)將幾個未建站的域名轉了過去。有一次我試圖修改一下某個域名的注冊信息，結果GoDaddy馬上給我的郵箱發(fā)來驗證郵件，要求我回復該郵件或點擊里面的鏈接，才會將新的信息更新到域名上，如果我沒回復也沒點擊鏈接，那么對域名的修改就會無效，這封確認郵件至今還保存在我的郵箱內。正是由于這次的操作，讓我誤以為GoDaddy的安全機制很好，因此沒有對我在GoDaddy的帳戶引起重視，我將GoDaddy帳戶的密碼等級列為了中級，然后一門心思放在了保護好郵箱上面。誰也不會料到將來某天GoDaddy會取消這種驗證機制。

鑒于之前轉入GoDaddy的幾個域名一直都挺安全，而國內的局勢又比較動蕩，經常傳聞又要開始嚴打，于是在2011年我將自己網站的主域名也從新網轉到了GoDaddy，至此我的GoDaddy帳戶內已經有5個域名了。

大多數(shù)域名被盜的情況可能都是由于域名注冊郵箱先被盜，繼而導致域名被盜，因此保護郵箱安全是保證域名安全的最重要的措施。經歷第一次域名被盜后，我立即給郵箱上了多重保護，例如實名認證，捆綁手機，郵箱改密通知，收到郵件短信通知等等，郵箱密碼我還經常換。我想我的安全意識已經夠強了吧，自從2007年之后我密碼本上的那些帳號還一次都沒有被盜過。沒想到這次會陰溝里翻船，這一次域名被盜可能是由多方面原因造成的，我自己的疏忽，該黑客的精明，GoDaddy的漏洞以及各種巧合，現(xiàn)在想來，這或許就是命中注定該有此一劫。

2011年底，CSDN等網站發(fā)生密碼泄露，而本人在CSDN上的帳號和密碼與GoDaddy上的一模一樣。前面說了由于以前的一次修改操作，GoDaddy發(fā)來驗證郵件，因此我只將GoDaddy帳戶的密碼等級列為了中級，與CSDN等網站采用相同的帳號密碼。CSDN泄密事件爆出來后，我也沒想到要去改下GoDaddy的帳戶密碼，一方面我以為應該不會有人盯上我，另一方面，在那時我看來，就算黑客進入了我的GoDaddy帳戶，他想改我域名的任何信息都必須經過我郵箱的驗證，我只要保護好郵箱，并且不回GoDaddy發(fā)的郵件，不點擊郵件中的任何鏈接，他就盜不走我的域名。

2012年2月22日，我的郵箱中收到了一封來自GoDaddy的郵件，我看了前面幾句意思是說我的帳戶信息被修改了，但沒說具體什么被改了。然后下面大片大片的英文，我猜想可能是GoDaddy的修改驗證郵件，只要我不回，不點鏈接肯定沒事，于是我也沒仔細看。不過考慮到域名安全的重要性，我當時還是立即登陸了一下我的GoDaddy帳戶，很正常的進去了，檢查了一下帳戶，沒發(fā)現(xiàn)啥被修改，域名也都還在，域名信息都正確。于是我更加確定那封郵件是來驗證修改操作的了，本來想給帳戶換個密碼，但是GoDaddy的服務器在美國，我們這邊要打開都很慢，當時點了幾下網頁都給卡死了，于是就放棄了，我想著大不了下次再來改吧，這件事就這么忽略過去了。

通常情況下，網站站長不需要頻繁的登陸域名管理系統(tǒng)，如果不需要對域名進行什么修改的話，長時間不登陸也很正常。我一般一個月左右檢查一次GoDaddy帳戶和域名，不過假如去登陸的時候剛好碰上GoDaddy的網站打不開，那么少檢查一次在我看來也不是什么大事。3月底的時候我打算再去看一下我的帳戶和域名，可是半天打不開GoDaddy的網站。而自從2月22日之后GoDaddy沒有再給我發(fā)來任何郵件，于是我估計那個黑客可能認為改不了我任何信息，于是就放棄了吧。我用第三方whois功能查詢了我的所有域名，信息都是正確的，于是這次我雖然沒進入到我的GoDaddy帳戶中去，但我認為我的帳戶和域名還是安全的。

直到4月16日晚上的時候，我才無意中發(fā)現(xiàn)我的所有域名已經被盜，域名的注冊人、注冊郵箱都已全部被改。我立即意識到出大事了，趕緊登陸GoDaddy帳戶，卻提示密碼錯誤。然后使用GoDaddy網站提供的取回密碼功能，卻提示郵箱地址不正確，說明GoDaddy帳戶被盜后，連密保郵箱也已被換了。剛發(fā)現(xiàn)的時候我都不敢相信自己的眼睛，一直查詢了很多遍，并且在登陸GoDaddy帳戶時提示了好幾次密碼錯誤，我才確認域名已被盜。頓時間我感覺天塌下來一樣，整個人都呆若木雞了。我實在想不通該黑客是如何盜走我的域名的，因為我的郵箱內自從2月22日之后再沒收到過GoDaddy的郵件，按照我之前的理解，黑客改我的帳戶信息或域名信息時，GoDaddy應該給我發(fā)送驗證郵件的，只有我確認過了，修改才能生效。難道是我的郵箱已被盜嗎？我立即登陸郵箱，查詢了郵箱近期登陸記錄，自2月22日開始到現(xiàn)在，所有登陸IP都是我本人的，說明郵箱沒有被盜。而且即使真的郵箱被盜，我手機肯定會收到短信通知的。

我查詢了域名的whois信息，發(fā)現(xiàn)我的5個域名的最后更新時間（Last Update）都是4月8日，我再查詢域名的whois歷史記錄，5個域名在4月8日之前的信息都還是我本人的，4月8日之后就都是那個黑客的了。因此可以確定這5個域名都是在同一天（4月8日）被過戶的，但該黑客過戶后并沒有更換域名的DNS服務器，也就是沒有改域名的解析，所以我的網站一直都能正常打開，沒有任何人知道網站的域名已經被盜，這也是導致我到4月16日才發(fā)現(xiàn)的原因。

4月16日當晚，我百度搜索“godaddy 被盜”，發(fā)現(xiàn)網上已有許多類似的案例。就在前不久，4月1日愚人節(jié)，國內著名體育賽事直播網站“直播吧”（zhibo8.com）宣布域名被盜，很多人甚至以為是愚人節(jié)玩笑。黑客已經仿制了“直播吧”原網站，并修改了DNS服務器，黑客在他自己的這個“直播吧”網站上掛滿了賭球和博彩廣告，而網友們卻還以為是原直播吧的站長掛的廣告，因為對于他們來說這個“直播吧”網站沒有什么太大變化，只有廣告換了而已。16天過去了，zhibo8.com依然沒有拿回來，看來我的情形也不容樂觀。

現(xiàn)在我的域名被盜了，我必須立即聯(lián)系域名注冊商GoDaddy，這是拿回域名的唯一途徑，可是我都不知道該如何聯(lián)系他們，GoDaddy網站上提供了電話，可是我英文又不好，打過去也說不上話。后來我找到了“愛晴皇島”的那篇著名的GoDaddy域名被盜找回教程，教程里面說帳戶或域名被盜后15天以內為申訴期，在15天內聯(lián)系GoDaddy并提交相關證據(jù)，就能撤消之前的變更。

按照教程里提供的聯(lián)系郵箱地址，4月17日凌晨我給GoDaddy的撤消部門（undo@godaddy.com專門處理域名修改撤消操作的部門）去了第一封郵件，告訴他們我的帳戶和域名在4月8日都被盜了，請求他們幫助我。第2天他們答復我了，答復內容在我意料之中，但還是令我非常沮喪。他們說任何域名的爭議都應由域名仲裁機構或法院來解決，他們作為域名注冊商無權處理域名爭議。不過我還注意到他們說了一句關鍵的話，“由于該變更已發(fā)生太久時間，我們無法幫助你”。按照教程里說的，15天以內是申訴期，我域名8號被盜，我17號凌晨（美國當?shù)貢r間應該是16號白天）聯(lián)系他們，才過去8天不到，為什么他們會說變更已發(fā)生太久呢，我立即回信對他們解釋。第2封信中我說，“我昨天一發(fā)現(xiàn)域名被盜就立即聯(lián)系了你們，這距離4月8日域名被盜僅僅過去一星期時間，由于該黑客沒有修改掉域名的DNS服務器，我的網站至今都能正常訪問，導致我沒有及時發(fā)現(xiàn)域名被盜。而且，我的郵箱內沒有收到任何GoDaddy發(fā)來的通知郵件，否則我將更早發(fā)現(xiàn)被盜。這些域名對我非常重要，我請求你們幫助我，我有足夠的證據(jù)能證明這些域名都是我的”。由于英文不好，我借助谷歌翻譯和金山詞霸，一字一句的把這些話翻譯成英文，給他們發(fā)過去。第2天，4月19日凌晨他們給我的答復非常簡練，就一句話，“同前面說的一樣，由于該變更已發(fā)生太久時間，我們無法幫助你”。

我很不服氣，因為我覺得作為網站的管理者不可能天天沒事去查自己的域名whois信息，天天去登陸域名管理帳戶。假如黑客盜走了域名卻不修改域名DNS，網站的管理者根本很難發(fā)覺域名被盜。我能在8天之內發(fā)現(xiàn)被盜，也純屬運氣，剛好那天突發(fā)奇想去查一下whois信息，要不然一個月之后才發(fā)現(xiàn)也很有可能�，F(xiàn)在我在15天的期限內聯(lián)系他們，他們?yōu)槭裁匆芙^我的申訴呢。于是第3封郵件我略帶質問的口氣問他們，為什么我在15天的期限內聯(lián)系你們，你們卻不受理。我請求你們對我的域名展開調查，我相信我能提供所有的證據(jù)。30分鐘后他們就答復我了，這次速度是有始以來最快的，但答復內容也是最簡練的：“再次申明，由于該變更已發(fā)生太久時間，我們無法幫助你”。

由于GoDaddy一直堅稱變更已發(fā)生太久時間，我想我的域名可能在4月8日之前就已被盜。為了了解該黑客盜走域名的全過程，我自己開始展開調查。我又仔細的看了2月22日收到的那封郵件，里面寫著我的帳戶信息已被修改了，如果這個修改不是我本人操作的可以與他們聯(lián)系。英文不好害死人啊，當初沒有仔細看完這封郵件，以為是要我確認操作呢，誰知道它只是一封通知郵件，修改已經生效了�？墒堑降资裁葱畔⒈桓牧耍@封信里沒說。2月22日我登陸進GoDaddy檢查了，沒發(fā)現(xiàn)問題。那是因為該黑客在那天只修改了帳戶的密保郵箱，而帳戶密碼，聯(lián)系人信息，和域名等都沒動。而密保郵箱在修改密碼頁面上，因此我那天檢查沒有發(fā)現(xiàn)密碼郵箱已經被換掉了。

我又去查了域名whois歷史記錄，發(fā)現(xiàn)在3月10日之前的記錄里，52tian.net這個域名的最后更新時間（Last Update）都是2011-05-16，也就是我從新網轉入到GoDaddy的日期，而3月10日到4月8日這段時間內的記錄顯示最后更新時間（Last Update）則是3月10日。其他幾個域名在這段時間內的記錄里，最后更新時間（Last Update）也全是3月10日，除了這個日期字段變了以外，其他信息都未發(fā)生變化，都是我本人的信息。由此可以斷定，在3月10日這天該黑客對我的域名進行了一個操作，這個操作沒有修改域名的任何信息，但卻使得域名的Last Update字段會被刷新。因為我之前將域名從新網轉入到GoDaddy后，保持了域名信息不變，但Last Update卻被刷新了。所以可以確定，域名轉出注冊商的操作，可以實現(xiàn)不改域名的任何信息，但又刷新Last Update。而當前我的幾個域名都還是在GoDaddy，并沒有被轉到其他注冊商去，所以3月10日黑客做的不是轉出操作，我猜測或許是注冊商內部域名過戶操作，也叫域名PUSH。即將域名從一個域名管理帳戶轉給另一個域名管理帳戶，域名還是停放在GoDaddy，只是被轉到不同的帳戶下了。為了驗證我的猜想，我特意在GoDaddy重新注冊了2個帳戶和1個域名，然后將該域名從原帳戶過戶到新帳戶，在過戶過程中，有2個選項，“保持域名信息不變”和“保持域名DNS服務器不變”，只要勾選了這2個選項，那么過戶之后域名的任何信息都不會變，只有Last Update被刷新。由此我可以斷定該黑客在3月10日同一天，將我GoDaddy帳戶內的所有域名，過戶到了他自己的帳戶內。

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]