我只是给域名设了个“别名”，邮箱和网站怎么会被别人接管？

NISL
NISL

NISL实验室

2026年11月4日 19:30
北京

去阅读

想象一下：你在门口挂了块牌子，写着“找我请去隔壁”。这块牌子能帮访客找到你，却不能证明隔壁的住户拥有你的房子。

互联网上也有类似的“指路牌”，叫作 CNAME 记录。它让一个域名指向另一个域名，是网站部署、服务迁移中的常见配置。然而，我们发表于 USENIX Security 2026 的研究发现：部分托管平台在核验域名归属时，将 CNAME 的“指向关系”错误理解成了“管理权限”的证明。这种对域名别名记录作用范围的错误理解，引发了一种新型域名服务安全风险，涉及超过 200 万个域名。

原文标题：Alias Equals Zone? Large-Scale and Stealthy Takeover of Domain Hosting Service via CNAME-Following Cross-Domain Verification
原文作者：Ruixuan Li, Xingyu Zhao, Yunyi Zhang, Baojun Liu, Jun Shao
原文链接：

https://www.usenix.org/conference/usenixsecurity26/presentation/li-ruixuan
发表会议：35th USENIX Security Sym-posium (USENIX Security 26)

1. 托管平台的域名所有权验证机制

我们从一个常见的学校业务迁移场景出发，理解托管平台的域名所有权验证机制。

假设一所学校启用了新的业务域名（new.school），并在第三方托管平台上开通邮件服务。为了确认学校对新域名具有管理权限，托管平台要求学校在域名中配置指定的挑战令牌（mx.host）。如图 1 所示，当平台查询到符合要求的挑战令牌后，便确认域名所有权验证通过，并为其开通邮件服务。

图1 托管平台的正常域名所有权验证过程

2. 域名别名作用的错误理解

与此同时，学校为了保持原有服务的正常访问，将旧业务域名（old.school）通过 CNAME 记录指向新业务域名（new.school）。这样，旧域名就能通过别名关系关联到新域名所使用的服务。

然而，部分托管平台在执行域名所有权验证时，也会沿着 CNAME 记录查询挑战令牌，获取到了符合要求的令牌，就认为验证通过了。

如图 2 所示，当其他申请者在托管平台申请使用学校的旧域名（old.school）时，平台沿着 CNAME 查询到了新域名（new.school）的挑战令牌，从而通过了旧域名的归属验证。

实际上，旧域名并未配置正确的挑战令牌，新域名上的挑战令牌也不代表申请者拥有旧域名的管理权限。

图2 托管平台错误跟随CNAME记录获取验证令牌

研究团队将这一新型域名服务安全风险命名为 AliasLeap，涉及网站、邮箱等常见的域名托管服务。网站改版、品牌迁移、公司并购等场景中，域名之间的别名关系十分常见，并且会长期保留。因此，这一安全风险的现实影响大且易被忽视。

3. 现实安全风险的评估

研究团队通过受控实验验证了相关安全风险，并结合大规模互联网测量，系统评估了其现实影响。研究发现，11家主流网站和邮箱托管服务商存在相关问题，涉及超过 200 万个潜在受影响的域名。 其中，19,819 个域名的脆弱别名指向关系已持续超过十年。

有意开展安全自查的域名服务商，可以联系研究团队，共同开展风险评估。

4. 安全风险的缓解措施

缓解这一风险的关键，在于明确区分域名的指向关系与管理权限，确保挑战令牌能够有效证明申请者对目标域名的控制权。

（1）采用独立、随机的域名验证令牌。
域名托管服务商应为每个待验证域名生成独立、不可预测的验证令牌，并设置合理的有效期限，避免不同域名重复使用固定的挑战令牌。

（2）严格检查挑战令牌的来源。
域名托管服务商应确保挑战令牌与待验证域名直接关联，不能仅凭 CNAME 指向关系就认定申请者拥有目标域名的管理权限。

（3）加强现有服务的安全检查。
域名管理者应定期检查别名记录和第三方服务绑定关系，及时清理不再使用的域名配置，减少不必要的服务关联，降低相关安全风险。

目前，研究团队已向 11 家相关域名托管服务商披露研究发现，并积极推动验证机制的完善。同时，研究团队还与互联网工程任务组（IETF）的域名系统运行工作组（DNSOP）开展了技术讨论，推动完善域名控制权验证的相关规范，进一步提升互联网域名服务的安全性。

作者简介

李瑞烜，清华大学网络科学与网络空间研究院2025级博士研究生，导师为刘保君副教授。主要研究方向为互联网基础设施安全，在国际网络安全领域四大顶级会议发表学术论文 6 篇。
联系邮箱：[email protected]

项目支持
本研究得到国家重点研发计划青年科学家项目“互联网域名服务授权机制的安全模型分析与安全增强技术”（项目编号：2023YFB3105600）的支持。

文案：李瑞烜

审核：刘保君、张一铭

排版：周航