二级域名泛解析

昨天半夜，域解析朋友老周发来一条消息，名泛说他新买的域解析域名被人“偷”了——输入任意子域名，比如 abc.zhoulab.com 或 xyz.zhoulab.com，名泛都会跳到一个赌博网站。域解析他急得不行，名泛我看了眼他域名解析记录，域解析果然，名泛一条 * 的域解析 A 记录赫然在列。这不是名泛被偷，是域解析二级域名泛解析被恶意利用了。

二级域名泛解析，名泛说白了就是域解析一条通配符记录。你在 DNS 里加一条 * 的名泛解析，指向某个 IP，域解析那么任何不存在的子域名都会自动“生效”。比如 *.example.com 指向 1.2.3.4，那么 aaa.example.com、bbb.example.com 甚至 随便打.example.com 都能访问。这功能本身是中性的，很多 CDN 和 SaaS 服务商靠它做多租户，比如 你的名字.github.io 就是靠泛解析实现的。

但问题是，这玩意儿一旦落在不懂的人手里，就成了灾难。老周的域名注册商是某小厂，控制面板里默认给加了一条 * 记录，他压根没注意。结果三个月后，搜索引擎收录了几千个赌博页面，全是他的域名下的子域名。百度直接把他主域名判为“危险网站”，邮件服务器也被拉黑，因为垃圾邮件发送者用他的子域名发信。

更麻烦的是，泛解析会放大攻击面。你本来只想要 blog.example.com 和 shop.example.com 两个子域名，但泛解析让攻击者可以随意构造子域名，指向你的服务器。如果服务器上某个虚拟主机配置不当，比如 Apache 或 Nginx 的默认站点没关，攻击者就能通过任意子域名访问到不该暴露的内容。我见过一个案例，某公司用泛解析做内部系统入口，结果员工在公网搜到自己的内部测试页面，直接泄露了数据库连接字符串。

那怎么判断自己是不是被泛解析了？最简单的方法，在浏览器里随便敲一个不存在的子域名，比如 asdf123.yourdomain.com，如果它能打开页面，那基本就是中招了。或者用命令行 nslookup randomstring.yourdomain.com，看返回的 IP 是不是你预期的。如果返回的是别人家的 IP，赶紧去 DNS 管理面板删掉那条 * 记录，然后检查所有 A 记录和 CNAME 记录，确认没有多余的。

但删了就行吗？不一定。泛解析的记录可能被缓存，全球 DNS 刷新要时间，短则几分钟，长则 24 小时。而且搜索引擎已经收录的那些恶意子域名，得去站长工具提交死链，或者等它自然过期。老周删完记录后，又过了三天，百度才恢复他的网站正常状态。

最后说个实用的建议：如果你不是真的需要“任意子域名都指向同一个服务”，就别开泛解析。如果确实要用，比如做测试环境，那就限制在特定前缀下，比如 test-*.example.com，而不是裸的 *。另外，把域名注册商的账号密码换成强密码，开两步验证——很多泛解析被恶意添加，是因为注册商账号被撞库了。老周后来查了下，他的注册商账号密码是“123456”，这怪谁呢？