阿里服务器过期，被黑产精准创建并盗用

[jwj]

客户服务器忘记续费，在 10 月 10 日凌晨被释放了。直到今天，经费下来，重新采购了服务器。

重新部署后访问，发现访问的是黑产网站，底部备案号也是客户域名的备案号。

还以为网站被入侵，查了下，原来是域名解析还没改，指向的也是旧服务器 IP 。

这里就很诡异了，盯上你服务器过期，然后不知道怎么的形式，被他注册结果了这个 IP 。

再查了下 SSL 证书签发时间，是 2026-10-22T09:47:59Z 。

旧服务器 IP 是 8.148.182.232 。 域名是 YW5qdXNnLmNu （ btoa ）。

我接触云计算这么久，还是第一次遇见这情况，真是太有意思了。

到底是碰巧，还是有备而来。

[elboble]

改解析就完了

[jwj]

改解析倒是很快，已经改完了。主要是还是，这利用的太精准了。

[luojiedev]

有备而来的可能性很高。

问了一下 DeepSeek 得到的答案是：“黑灰产会专门批量扫描带有有效 ICP 备案的过期域名进行抢注。安全研究也发现，攻击者会运行自动化扫描，专门寻找这类遗留的“悬空”资源（包括被回收的 IP 地址）。”

[7ero]

申请 IP 的时候，也不能指定 IP 地址啊，都是随机分配的，怎么做到的呢？

[PopRain]

随机分配的 IP 怎么可能这么巧？ 感觉内部有人配合都很难吧

[princenan]

我之前碰到过，直接被做成钓鱼网站了

[106npo]

就是申请 ip 然后扫描有哪些解析,有可用的解析就用,没有就再换一个

[MagicalCarl]

我之前有一个域名，备案过，后来我不用了，取消备案了，域名到期了；过了一段时间域名就被注册了，并且挂上了颜色网站；可能微信那边备案信息没有同步，域名在微信里面能直接打开也不会提示风险

[PopRain]

@106npo 反向解析难度太大了，应该没有这个数据库

[tisswb]

阿里云内部又不是铁板一块

[PopRain]

@MagicalCarl 这种很常见，我也遇到过，被网安打电话，解释一下域名主体已经变了就没有后续了

[jwj]

申请一个，然后观察解析访问情况，倒是这种可能性比较大。

境内 IP ，一般有对应的备案域名，然后就被利用。

但感觉也有很大概率遇到域名都解析走了的，或者解析过来的域名都是没什么流量的。

[Felldeadbird]

擦,你提醒我了.刚好有个域名忘记改解析了.

[FlashEcho]

这个算子域名抢注吧，算是经典攻击方式了，DNS 记录都是公开的，无数人在扫，一旦发现某个记录没有资源就可能成为攻击的点

[ntedshen]

我现在一小鸡上就有个上家忘记改的解析，天天还有访问。。。
我做了个假的放在那还不晓得他啥时候发现。。。。。。

[layxy]

其实很奇怪，黑产是怎么知道服务器过期，而且恰好他购买的服务器分配了你之前解析的 ip ，难道阿里云购买服务器还能指定 ip ？

[mercury233]

黑产要这么干，得每天在阿里云换几百个 ip ，这难道不会被风控？还是说能指定 ip ？

[koic]

确实很多这样的，我中招过一次，还有的是发现别人的域名解析到你的服务器 IP 上，他直接入侵你服务器，我上次中招就这样，后来我就非常注意服务器的安全性了

[Lax]

从黑产角度就很好理解了：1 在阿里云申请一个服务器，开启 80/443 端口。2 看日志中记录的域名，3 出现什么域名就直接去查询该域名的备案号，申请 ssl 证书，上线一个新的网站。