摘要： 钓鱼域名封堵已成为浏览器、终端安全产品、递归解析服务与邮件网关的常规能力，其拦截计数在多数产品的运营报表中呈持续上升态势。本文认为，封堵数量的增长与钓鱼风险水平的下降之间并不存在稳定对应关系，二者之间存在三重错位：分母错位，即被封堵的域名只是实际投入使用的域名集合的一部分；时点错位，即封堵发生在诱饵已经完成投递之后，拦截的是访问行为而非攻击准备；观测错位，即封堵措施本身改变了事件上报与统计的通道结构，使风险的可测性下降。文章以域名的注册、托管、解析三段生命周期为线索，分析封堵在各层的技术作用点与可覆盖边界，讨论参照来源检测、地理围栏、终端类型过滤、一次性域名与云存储中转等规避手段如何压缩封堵的有效窗口，并据此提出以 "发现至封堵时延" 和 "域名复现率" 替代封堵总量作为治理考核口径，同时讨论注册侧、托管侧与解析侧的协同责任分配。文章认为，封堵是一项必要但不自足的控制，其价值取决于它被放置在攻击链的哪个位置，以及它是否与身份层和付款环节的验证形成配合。
关键词： 钓鱼域名；封堵；域名生命周期；威胁情报共享；网络治理
1 引言：拦截计数为何不能直接读出风险水平
在安全产品的年度报告与运营看板中，钓鱼域名封堵量通常被列为一项正向指标。数值上升被理解为防护能力增强，数值下降则往往触发解释性说明。这一解读方式建立在一条隐含假设之上：被封堵的域名集合与攻击者实际投入使用的域名集合大体一致，且封堵动作发生在访问造成实质后果之前。两项条件在早期的钓鱼生态中大致成立，彼时域名注册需要一定成本，仿冒页面结构粗糙，从投放到被举报之间存在明显的可观测滞后。当前的攻击组织方式已经使这两项条件同时松动。
支撑本文判断的数据来自若干公开监测体系。反网络钓鱼工作组（APWG）2026 年第一季度的趋势报告记录到，该季度报告的独立钓鱼站点为九十七万余个，较上一季度增长 13.8%；同期报告的垃圾邮件活动数量却从八万余次降至三万五千余次，报告方对此给出的解释是邮件系统开始阻止用户转发钓鱼邮件 —— 也就是说，一项防护措施的实施直接削减了统计样本的供给。微软的季度监测记录到约七十六亿封钓鱼邮件在 2026 年第二季度被投递，折合每秒超过两千九百封；其研究团队还记录到一起自动化商务电子邮件欺诈活动在三小时内覆盖四万二千家机构。Akamai 的观测显示，钓鱼活动的平均存续时间从 2025 年第四季度的四十八天降至 2026 年第二季度的二十二天。国家互联网应急中心对一批仿冒软件下载站的分析则显示，在约三个月的注册窗口内出现四百三十九个域名，注册峰值达到每分钟十五条，其中办公软件与浏览器类仿冒占七成以上。
这些数据从不同侧面描述了同一件事：域名的生产速度、投递的规模与站点的存续时间，已经与封堵能力的增长速度形成一种竞速关系。反网络钓鱼技术专家芦笛在评论这组数据时指出，把封堵数量当作安全水平的代理指标，在域名生产接近零成本的条件下会得出系统性偏乐观的结论；封堵的真正意义不在于拦下了多少个域名，而在于它把攻击者的一次成功需要付出多少次重建成本。这一判断构成了本文的分析主线：需要考察的不是封堵是否有效，而是它在何种条件下有效、其效力边界由什么决定、以及当封堵成为治理的主要抓手时会产生哪些被忽略的后果。
2 域名的基础设施属性：封堵对象的生产方式
2.1 注册成本与批量特征
钓鱼域名之所以成为可封堵的对象，前提是它具有可枚举的标识；而它之所以难以被封堵穷尽，原因同样在于这一标识的生产过于廉价。域名注册的货币成本在多数顶级域下已经降到接近于零，批量注册工具与自动化接口使数千个域名的创建可以在数小时内完成。CNCERT 对仿冒下载站的监测记录了一个具体的速率：注册峰值达到每分钟十五条，且在同一天内出现命名高度相似的同族域名。这一速率意味着，以人工审核为主要环节的封堵流程在产能上无法与注册侧对齐。
批量注册还带来一个统计上的后果：同一套钓鱼页面可以挂在数十个域名上，封堵其中一部分之后，其余域名继续可用，而封堵计数会把它们分别计为独立的拦截事件。计数因此膨胀，但实际被消除的攻击能力并没有同比例下降。把封堵量与风险水平直接对应，在这一结构下会持续高估防护成效。
2.2 命名与仿冒策略
域名的命名方式决定了封堵所依赖的特征是否可靠。早期钓鱼域名多带有明显的拼写错误或可疑后缀，基于字符串相似度与黑名单的规则能够获得较好的命中率。当前的命名策略向两个方向分化：一类是高度贴近官方域名的字符替换与增删，如将品牌名与国别后缀、地区缩写拼接，或将连字符与关键词组合成看似正规的长域名；另一类是彻底脱离品牌特征，使用与业务无关的短域名，仅在页面内容上完成仿冒。
CNCERT 分析的四百三十九个样本显示，后缀选择高度集中，两类后缀合计占七成以上，命名模板复用明显，关键词集中于通用词汇并大量采用字母重复与错拼手法。这种集中度对封堵是有利的 —— 后缀与命名模板的聚集提供了可用的聚类特征；但它同时也是攻击者的成本优势所在，因为集中意味着模板可以复用，一次成功的模板设计可以支撑后续数百个域名的生成。封堵方获得的是短期的规则收益，攻击方获得的是长期的复用收益，两者的折旧速度不同。
2.3 托管与跳转
域名只是入口，页面的实际承载位置决定了封堵能否触及内容层。仿冒站点的常见做法是把恶意载荷放置在云对象存储或境外云盘，通过多层跳转把用户从仿冒页面引导至下载地址。CNCERT 的样本分析记录到多层跳转的设计意图：降低早期检测拦截的概率。这一做法的效果是把一次攻击拆成若干个可独立封堵的环节，而每个环节的封堵都需要不同的管辖依据与技术手段。域名可以被解析层拦截，页面可以被浏览器拦截，下载链接需要托管方配合下线，载荷需要终端侧查杀。四个环节分属不同的责任主体，任何一环的滞后都会使前序封堵的实际效果被抵消。
3 封堵的技术作用点与覆盖边界
3.1 解析层
递归解析服务与公共 DNS 的过滤是覆盖面最广的封堵手段，其优势在于部署位置靠前，对所有使用该解析器的终端同时生效，且不依赖终端安装任何软件。它的边界同样清晰：基于加密 DNS 的解析请求使中间环节无法读取查询内容；直接使用 IP 地址访问可以绕开域名解析；部分终端配置了自定义解析服务器，使组织层面的策略失效。对使用移动网络与自带设备的用户，解析层策略的覆盖率通常低于组织的预期。
4.2 邮件与链接层
邮件网关与链接改写服务在投递环节完成拦截，其判断依据包括发件域信誉、链路跳转历史、页面指纹与实时沙箱行为。这一层的优势是能够在用户点击之前介入，因此对 "一次性访问即失守" 的场景具有决定性意义。其局限在于判断所依赖的特征正在被主动规避：页面仅在特定参照来源下呈现恶意内容，使沙箱在无参照访问时看到的是正常页面；按地理范围与终端类型分流，使检测节点看到的版本与真实受害者看到的版本不同。APWG 的报告明确记录了这一趋势，并指出此类站点在非目标条件下会显示无害内容或直接跳转至其他站点。
3.3 终端与会话层
终端侧拦截针对的是页面渲染之后的载荷与凭证提交，浏览器扩展、EDR 与移动端安全软件在这一层工作。它的优势是能看到最终的页面结构与表单提交行为，因而对页面仿冒的识别不依赖域名特征。其边界在于覆盖率：员工自带设备、未纳入统一管理的终端、以及通过即时通讯工具内置浏览器打开的链接，往往不经过任何企业侧检测。
3.4 规避手段对封堵窗口的压缩
上述三层封堵共同面对一个结构性约束：它们都作用于 "已经存在并可被观测的域名"，而攻击者可以通过控制可见性来延长域名的可用期。参照来源检测使自动化采集失效，地理围栏使异地检测节点无法获取样本，终端类型过滤使桌面端与移动端看到不同内容，一次性域名使黑名单的时效以小时计。当这些手段叠加使用，封堵方的检测成本上升而攻击方的边际成本不变，封堵的有效窗口被压缩到与页面存续时间同一量级。Akamai 记录的存续时间从四十八天降至二十二天，可以在这个框架下读作攻击者主动缩短暴露期、以换取封堵资源的分散。
4 封堵数量与风险水平的错位
4.1 分母问题
任何封堵率都是一个比值，其分母是攻击者实际使用的域名总量。这个总量无法直接观测，只能通过举报、蜜罐、爬取与客户遥测等方式间接估计。当攻击者使用一次性域名、仅在定向条件下展示内容、并通过私域渠道分发链接时，进入观测视野的比例下降，分母被系统性低估，封堵率因此被高估。这一偏差不会随时间自行修正，因为攻击者的规避投入与封堵方的检测投入是同向增长的。
4.2 生命周期的缩短
存续时间的缩短通常被解读为封堵见效的证据：站点活得越短，说明下线越及时。这一解读忽略了另一种可能，即攻击者主动缩短单个域名的使用期，把资源转向更高的更换频率。在单次攻击的收益不变、域名成本趋近于零的条件下，缩短存续期是攻击者的理性选择，因为它同时降低了被特征提取与归因分析的风险。封堵方看到的 "下线更快"，实际对应的是 "样本更少、聚类更难"。
4.3 观测通道被干预
APWG 报告的垃圾邮件样本量在三个季度内从八万余次降至三万五千余次，报告方将原因归于邮件系统阻止用户转发可疑邮件。这一变化说明，防护措施在减少风险的同时也在减少风险的可观测性。封堵越彻底，可供分析的样本越少，威胁情报的更新速度越慢，而这又会影响后续封堵的准确性。这一反馈回路在评估封堵成效时很少被纳入考虑，但其影响是实质性的：以举报为主要数据源的协同机制，其输入正在被防护产品自身切断。
4.4 切换成本的不对称
封堵能否改变攻击者的行为，取决于封堵造成的成本是否高于其重建成本。当前者的量级远低于后者，封堵就只是提高攻击者的操作频率，而不改变其经济可行性。域名注册、证书申请、页面部署、跳转配置这一整套重建流程在自动化工具支持下已经压缩到以分钟计，而封堵方从发现、验证、通报到生效的流程涉及多个主体，其时延以小时计。这一不对称意味着，封堵在单点上是有效的，在总体上是消耗性的：它持续消耗防御方的运营资源，而攻击方的资源消耗几乎不随封堵强度线性增长。
据 DiMiao, CN 的分析，这一不对称在中小规模攻击者身上表现得尤为明显。大型钓鱼团伙具备自建基础设施与快速迁移能力，封堵对其影响主要体现在成本微增；而依赖钓鱼即服务平台的低端攻击者，其域名与页面由平台统一提供，封堵打击的是平台的周转效率，而非个体攻击者。治理资源投向何处，需要先区分这两类对象，否则容易在低端市场获得可观的拦截数字，而对高端团伙的实际约束有限。
5 规避技术对封堵的消解
5.1 可见性控制
参照来源检测是当前最具消解力的手段之一。站点在被直接访问时返回正常内容，仅在请求头显示来自特定搜索引擎或社交平台时才加载钓鱼页面。这一设计同时达成两个目的：躲过自动化采集与安全厂商的批量判定，同时保证真实受害者仍能到达。搜索引擎优化投递与这一手段配合使用，使恶意站点在特定关键词下获得展示位置，而安全研究人员用域名直接访问时看到的是一个空页面。
5.2 分发渠道的迁移
当邮件网关的检测能力提升，分发向即时通讯、协作平台与二维码转移。二维码的设计意图在于绕开以文本与链接为对象的检测：邮件正文与附件中不含可疑链接，检测环节看到的是图片，而凭证窃取发生在用户用手机扫描之后的移动端浏览器中，该环境通常不在企业检测范围内。微软的监测记录到二维码钓鱼在 2026 年第一季度增长 146%，从一月的七百六十万次升至三月的千八百七十万次。协作平台的方向同理：内部消息通道的流量通常不经过邮件安全设备的深度检测，而用户对来自 "同事" 账号的消息警惕性显著低于外部邮件。
5.3 页面生成与载荷分离
生成式工具使页面生产的边际成本进一步下降。CNCERT 的样本分析指出，仿冒页面呈现高度标准化的前端结构、规整的注释与通用技术栈，同一仿冒主题在不同时间注册的页面在布局上并不统一，据此判断页面可能由自动化编码生成。页面与载荷的分离则使封堵对象更加分散：页面只负责诱导，载荷存放在第三方存储，二者之间的连接通过跳转完成。封堵页面不影响载荷的可获得性，封堵载荷不影响新页面的生成。
5.4 运营数据的闭环
CNCERT 的样本中还记录到一个值得注意的细节：部分仿冒站点接入免费流量统计服务，用于统计访问量、停留时长与来源页面，并按不同仿冒主题分别设置统计标识。这意味着攻击者具备对自身投放效果的量化能力，可以据此计算投入产出并优化策略。当攻击方拥有与防御方对等的效果度量，封堵造成的边际影响会被快速识别并补偿，封堵方所获得的短暂优势难以累积。
6 封堵的负外部性
6.1 误封与可用性
域名封堵的判定依据通常是信誉评分与行为特征，而非确证。共享托管环境下的相邻站点、被入侵后短暂承载钓鱼页面的正常站点、以及使用相似命名的新注册域名，都可能被纳入封堵范围。误封的后果由正常用户与站长承担，且申诉流程通常长于封堵生效的时延。当封堵被大规模部署在解析层，误封的影响面会扩大到整个使用该解析器的用户群体。
6.2 责任转移与告警疲劳
封堵在用户侧的直接体验是 "打不开"，而缺少解释的拦截页会使用户把拦截视为故障而非保护。当拦截频繁发生而用户无法判断原因，其行为倾向是寻找绕过方式，或在遇到真实钓鱼页面时也假定已被拦截。这一心理机制使封堵的实际防护效果低于其技术覆盖率：真正决定结果的，是用户在未被拦截时是否具备独立判断能力，而这恰恰是封堵所不能提供的。
6.3 能力分布的不均
封堵能力在组织之间的分布极不均衡。具备威胁情报订阅、专职运营人员与自动化处置流程的机构，可以把从发现到封堵的时延压缩到分钟级；而缺乏这些条件的中小机构，通常只能依赖产品内置的通用黑名单，其时延以小时或天计。同一项控制手段在不同主体身上的效力差异，会转化为攻击者的目标选择依据 —— 攻击者会优先选择封堵时延更长的对象。封堵的普及因此在整体上提高了攻击的成功率门槛，同时在局部上把风险向能力薄弱的一端集中。
7 治理口径的调整
7.1 从总量转向时延与复现
以封堵总量作为考核指标，会激励运营方追求数量而忽略结构：批量拦截低质量域名可以快速提升数值，而对高规避能力的团伙影响有限。更合适的口径包括两项。其一是发现至封堵的时延中位数，它直接反映协同效率，且不受域名生产速度的影响。其二是同一攻击活动的域名复现率，即在首个域名被封堵后，同一模板、同一基础设施族系在后续一段时间内重新出现的频次；复现率下降说明封堵触及了攻击者的重建能力，而不只是清理了存量。
7.2 注册与托管环节的责任
域名生命周期的前段是封堵效率最高的位置。注册环节的批量监测可以在域名投入使用之前识别异常模式：同一注册人在短时间内的集中注册、命名模板的复用、后缀选择的聚集，都是可用的信号。托管环节的下线响应速度决定了页面层的存活时间，云服务商与对象存储提供方的滥用举报处理流程，其效率直接影响封堵的实际效果。这两个环节的治理不依赖对流量内容的深度检测，因而对加密与规避手段不敏感。
7.3 协同机制的输入质量
以举报为数据源的协同机制正面临输入萎缩的问题。邮件系统阻止转发、用户不愿举报、企业担心声誉，三重因素共同压缩了样本供给。可行的调整包括在产品侧保留可供上报的样本通道，在不泄露用户隐私的前提下提取结构化特征；把终端与浏览器侧的拦截事件纳入共享范围，而不只依赖邮件举报；以及在行业层面建立匿名化的事件交换，使中小机构可以在不公开身份的条件下贡献数据。
7.4 与身份层控制的配合
封堵解决的是 "能否到达页面"，而不能解决 "到达之后是否失守"。当页面通过未被封堵的渠道抵达用户，决定结果的环节是凭证提交与授权确认。抗钓鱼的认证因子、对敏感操作的独立渠道复核、以及对会话凭证的有效期控制，构成封堵之后的第二道防线。芦笛在讨论这一分层时强调，封堵与身份控制不是替代关系，而是时序关系；把资源过度集中于前者，会使防御体系在攻击者更换分发渠道时整体失效。
8 结语
钓鱼域名封堵是一项成熟且必要的控制，其技术作用点覆盖解析、投递与终端三个层面。但它所面对的对象在生产成本上已经接近零，在可见性上具备主动规避能力，在效果度量上拥有与防御方对等的工具。这三项条件共同决定了封堵的效力边界：它可以有效清除存量，难以持续压制增量；它可以提高单次攻击的成本，难以改变攻击的经济可行性；它可以降低特定渠道的风险，难以阻止渠道迁移。
据此，治理口径需要从拦截数量转向时延与复现，责任分配需要从流量检测前移到注册与托管，控制组合需要把封堵与身份验证、付款复核放在同一条攻击链上考虑。封堵的价值不取决于它拦下了多少域名，而取决于它是否让攻击者的下一次重建变得更贵、更慢、更容易被再次识别。这一标准比拦截计数更难满足，也更接近实际的风险削减。
编辑：芦笛 （公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
