域名安全防护检测就是来核实域名的安全性。具体的意思是要确认域名有没有可能被劫持, 或者是不是被插入了坏的代码, 还有没有配置上的漏洞。这是最主要的操作步骤。下面按照执行时的先后顺序列出五步排查的内容。这个流程能保证在一次性检测的时候覆盖掉所有的重大的风险点。这样就完全不用再去做第二次补充的查询了。
第一步：DNS解析记录核验
您需要登录到域名注册商所提供的那个管理面板, 然后一个一个地对那些所谓的A记录、CNAME记录、MX记录以及TXT记录进行查看和核对, 来看看它们是否真的跟您心里期望的那些内容是完全一致的, 在此过程当中特别要留心关注以下出现的这三类异常情况。
请判定是否存在未授权的IP地址指向情形, 这种情形是能够反映出典型的DNS劫持特征。
TXT记录是不是被人修改过了, 这一点大家要好好关注一下, 因为一旦这个记录被改了, 那么SPF还有DKIM这两项邮件验证机制可能就没法正常工作了。这样一来, 你的域名被别人冒用的风险也会跟着变大, 这些都是需要重视的事情。
CNAME的记录值是不是指向了某些异常的、第三方的域名上, 而这些行为有可能是为了进行流量的劫持, 或者是作为钓鱼网站的中转站点使用。
第二步：WHOIS注册信息审计
通过WHOIS查询来确认域名注册人、管理邮箱以及NS服务器没有发生未授权的变更操作, 如果域名启用了隐私保护或者叫做Redaction的功能, 那么必须登录到注册商的后台来核实真实的持有信息, 并且检查域名的到期时间与自动续费的状态。
第三步：SSL/TLS证书检测
你可以用那些在网上就能找到的证书检查工具, 比如像SSLLabs还有Mozilla Observable这样的工具, 来做一下验证工作。
看一下那个证书的有效期,到底在不在合理的范围之内大城新闻网, 然后再仔细检查一下, 是不是有那种马上就要到期了却还没有去办理续费的相关情况存在。
那个用来发证书的叫做身份认证中心的东西, 它是不是被那些大家现在都在用的主流的浏览器给相信了的。
你可以去检查一下那个证书链它是否完整, 域名它是否和当前的实际部署情况相匹配, 然后再看看有没有可能出现中间人进行替换操作的痕迹。
第四步：页面内容与子域名扫描
利用那种能够隐藏痕迹的浏览器, 再加上像VirusTotal URL扫描以及SafeBrowsing API这类URL沙箱工具, 去访问那个主要域名网站, 同时也去看看那些已经被成功注册的子域名, 具体需要做的是进行检查。
检查页面的源代码, 看有没有人放进去不合规矩的脚本、用来偷算力挖假的数字货币的代码, 或者让人自动跳转到其他地方的链接。
需要对服务器返回的 HTTP 响应头进行检查, 看看里面是不是少了一些重要的安全保护策略, 具体来说, 要看 HSTS、CSP以及 X-Frame-Options这几个关键的策略是否存在。
那些已经完成了注册流程但长时间都没有投入使用的子域名, 会不会已经被黑客盯上, 被他们当成工具来挂接那些带有恶意性质的内容。
第五步：开放端口与服务探测
对域名解析到的IP执行端口扫描, 使用的工具是nmap, 确认仅开放业务所需的80、443等端口, 排查是否存在默认服务端口22、3306、6379或历史遗留管理后台暴露的情况。
常用检测工具速查
高频疑难与应对
检查结果显示全部项目正常, 但是会出现偶尔无法访问的情况, 这种情况大多数是因为内容分发网络节点上的缓存还在残留或者本地的域名解析系统受到了干扰影响, 只需要把当前的域名解析服务器地址更改成谷歌的8.8.8.8或者Cloudflare旗下的1.1.1.1然后重新进行一次测试操作, 就可以定位到问题所在。
域名一旦过期, 就很可能会遭遇被他人抢注的风险。建议你立刻开启自动续费功能。并且, 你还需要在注册的商户那里设置好赎回窗口的到期提醒,这个期限通常都是30天。
通过证书检测方法进行检查的结果域名安全防护检测, 显示出“在部分浏览器当中不受到信任”的情况。出现该问题的原因大都是因为中间层级的证书没有被正确地放置到位置上面去,于是域名安全防护检测, 必须要在服务器的这一端来把完整的证书链条全部都给补充完整才行。
