01 · 域名滥用的基本类型学
研究治理之前必须先统一分类。业界（ICANN、APWG、Interisle）通常按"域名的来源"将滥用域名分为两大类，二者在检测特征、治理抓手与责任主体上完全不同：
| 类型 | 定义 | 典型手法 | 治理抓手 | 数据特征 |
|---|---|---|---|---|
| 恶意注册 Malicious Registration | 域名本身即为实施滥用而注册，注册意图即恶意 | 批量注册品牌变体、注册含"login/verify/secure"等关键词的钓鱼域名、IDN同形异义注册、利用促销期低价批量囤积 | 注册局/注册商层面的注册审核与事后处置；UDRP/URS；批量投诉 | 注册后快速建站、短期持有、频繁更换IP、同批注册邮箱/NS聚集 |
| 被攻陷滥用 Compromised Domain | 合法注册的域名被攻击者控制后用于作恶 | 攻陷过期域名续用其信誉、入侵网站挂钓鱼页面、DNS劫持 | 网站所有者修复与加固；托管商清理；注册商协助锁定 | 域名历史清白、突然行为异常；老牌域名失窃后被钓鱼工具包利用 |
Interisle《Phishing Landscape》系列研究（据公开转述）对两类来源的结构差异给出了关键度量：新gTLD空间中约十分之九的钓鱼域名属恶意注册，而传统gTLD空间中钓鱼域名更多来自被攻陷的合法网站。这一差异决定了：新gTLD治理的主战场在注册与信用的源头，传统gTLD治理则需要兼顾网站安全生态。
1.1 滥用手法的细分谱系
| 手法 | 说明 | 与中文场景的结合点 |
|---|---|---|
| TLD抢注 TLD Squatting | 同一品牌名在不同后缀重复注册，利用用户"只看品牌词、不看后缀"的习惯 | "品牌.top""品牌.xyz"批量注册；与.cn/.com官方域并存形成混淆矩阵 |
| 组合抢注 Combosquatting | 在品牌词前后拼接功能性词汇 | "品牌-verify.cn""品牌安全中心.com"，中文场景为"品牌-客服""品牌-登录"等 |
| 拼写错误抢注 Typosquatting | 字符插入/删除/替换/换位 | 本课题课题二专项研究，此处作为交叉引用 |
| 同形异义抢注 Homograph Squatting | 用其他文字种的形近字符拼写品牌 | 西里尔аpple.com式攻击；中文形近字域名（详见第3、4页） |
| 关键词寄生 | 注册含"银行/客服/中奖/补贴"等中文高频诈骗关键词的域名 | 中文钓鱼的高频模式，与短信话术联动 |
| 过期域名再利用 | 抢注到期的有一定历史的域名，继承其搜索权重与邮件信誉 | 中文SEO pollution与钓鱼落地页结合 |
02 · 滥用背后的黑产经济模型
域名滥用的可持续性来自极低的边际成本与较高的变现效率。其经济模型可拆解为四个环节：
- 供给端——低成本注册：部分新gTLD与个别ccTLD提供1—2美元首年注册价甚至免费注册（历史上托克劳.tk免费注册服务曾被钓鱼生态大量利用，这在APWG等机构的报告中被反复引用）；批量API注册与注册商代理体系进一步摊薄成本。
- 工具端——工业化工具包：钓鱼工具包（Phishing Kit）以几十至几百美元的价格在地下市场交易，内含仿冒页面模板、批量域名管理面板、反检测配置，使无技术门槛的黑产也能批量建站。
- 变现端——多元变现：直接诈骗（转账、盗刷）、凭证倒卖（账号密码按批出售）、流量转卖（跳转赌博/色情推广页）、SEO投毒（污染搜索引擎与AI搜索引用的信息源）。
- 风险端——低追责概率：注册数据在GDPR后普遍脱敏、注册商跨境分布、变现使用加密货币，使溯源与司法追责成本远高于单次作案收益。
治理启示：经济模型决定了治理的杠杆点——在"供给端"抬高注册门槛（严格实名、风险审核、批量注册监控）与"工具端"打击分发渠道（钓鱼工具包溯源、托管商快速下架）的投入产出比，远高于在"变现端"事后追赃；同时也解释了为什么单纯拦截单个域名是"打地鼠"，必须配套批量聚类与源头处置（见第5、7页）。
03 · 滥用域名的生命周期
一个典型的新gTLD滥用域名从注册到消亡通常只有数天到数周，呈"快进快出"特征：
时间窗的压缩对治理体系提出硬性要求：监测发现的时延必须以小时计而非以天计，否则在发现时域名已完成主要变现并进入逃逸阶段。这是第5页数据工程"分钟级候选生成"设计目标的根本原因。
04 · 滥用度量与公开数据
治理需要可量化的度量。目前业界有三类权威度量体系，各有口径与适用边界：
| 度量体系 | 发布方 | 口径与价值 | 使用注意 |
|---|---|---|---|
| Phishing Landscape | Interisle Consulting（年度） | 基于全球钓鱼域名清单的结构分析：按TLD、注册商、来源（恶意注册/被攻陷）拆解，揭示价格带与滥用率的强相关 | 年度快照，采样以钓鱼域名为主，不代表全部滥用类型 |
| Phishing Activity Trends | APWG（季度） | 全球钓鱼攻击总量与趋势，含中文、电商等垂直维度 | 攻击数口径，非域名口径 |
| Spamhaus TLD滥用榜单 | The Spamhaus Project（持续更新） | 按在跑垃圾/恶意域名数量排列"最受滥用TLD"，对免费注册ccTLD与低价gTLD高度敏感 | 以实时在跑恶意域名为准，受处置速度影响大 |
| ICANN注册数据报告 | ICANN（月度） | 各gTLD注册量、删除量、净增长等注册事务统计 | 事务口径，不含滥用信息 |
| DNS滥用合同报告 | ICANN合同合规体系（注册局/注册商按合同提交） | 按ICANN界定的DNS滥用五类（恶意软件、僵尸网络、钓鱼、网址嫁接、垃圾邮件）统计处置量 | 依赖各注册机构自报，颗粒度与质量不一 |
Interisle《Phishing Landscape 2025》的核心发现（据公开转述，原文为准）值得完整引用：①新gTLD以约12%的市场份额贡献了约51%的恶意注册型钓鱼域名；②滥用比例最高的27个TLD注册价均不高于2美元；③新gTLD空间中约90%的钓鱼域名属恶意注册，显著高于传统空间。这三条共同指向一个治理命题：价格与审核门槛是滥用率的第一解释变量。
05 · 中文互联网中的新gTLD滥用特征
中文互联网的新gTLD滥用具有与全球既共性又独特的结构。据CNNIC第56次报告（2025年6月数据），中国新gTLD注册量达3,175,089个，占域名总数约9.7%。其滥用特征可归纳为四点：
- 低价后缀集中：全球滥用率最高的低价后缀（公开榜单中长期居前）在中国市场同样活跃，黑产利用其首年低价批量注册；
- 境内治理抓手独特：我国实行域名注册实名制（《互联网域名管理办法》要求提交真实身份信息并由注册服务机构核验）与ICP备案制度，境内注册商侧具备前置治理抓手；相应地，黑产倾向转向境外注册商与境外后缀以规避实名与快速处置；
- 与通信管道深度耦合：中文钓鱼以短信（含iMessage）、即时通讯（微信/QQ生态外部链接）、搜索引擎广告为主要投递通道，与全球以邮件为主的模式不同，域名监测必须与通信内容侧情报联动；
- 中文语义关键词滥用：直接注册含"客服、中心、补贴、退税、中奖、验证"等中文诈骗关键词的域名，识别不依赖品牌变体算法，而依赖中文语义黑名单与组合模式。
口径提醒：国内公开渠道缺乏像Interisle那样的系统性"按TLD滥用率"官方统计，本课题涉及的国内滥用结构判断基于监管通报、行业报告与处置经验归纳；凡引用具体数字处均以标注出处为限，不做无出处的精确断言。
06 · 威胁建模：攻击者画像与防御面
| 攻击者类型 | 能力特征 | 典型目标 | 对应防御重心 |
|---|---|---|---|
| 批量注册黑产 | 低技术、工具化，依赖钓鱼工具包与廉价注册渠道 | 金融/电商/政务品牌仿冒，诈骗变现 | 注册环节拦截、批量聚类、注册商协同 |
| 钓鱼工具包分发者 | 中等技术，维护工具包更新与反检测 | 向黑产售卖工具，赚取分成 | 工具包指纹检测、托管生态治理 |
| 定向攻击组织 | 高技术水平，注册前做侦察与变体规划 | 特定企业凭证窃取、供应链攻击前置 | 品牌全后缀覆盖监测、同形异义检测、威胁情报联动 |
| SEO投毒/流量黑产 | 熟悉搜索与AI搜索生态 | 污染搜索结果与AI引用源，诱导访问仿冒站 | 内容侧监测、搜索引擎投诉通道联动 |
防御面（Defense Surface）可归纳为四层，与本课题后续章节一一对应：注册层（注册商审核、批量注册监控、LGR规则——第3、7页）；解析层（DNS监测、Sinkhole、劫持检测——第5页）；内容层（网页视觉仿冒检测——课题一承接）；投递层（邮件/短信/搜索管道拦截——学院演练业务承接）。
07 · 投递链路演进对域名滥用的放大效应
域名层的混淆效果能否兑现，取决于投递链路以何种形态把域名呈现给用户。三类演进正在弱化"用户看清域名"这最后一道人工防线：
- 二维码钓鱼（Quishing）：钓鱼URL经二维码封装后对受害者完全不可见，扫码前无从核对域名；中文场景常见于"快递理赔""社保补贴""会议资料"等短信话术。治理含义：域名监测需与二维码内容解析联动，用户教育话术应从"看清网址"转向"不扫来源不明二维码"。
- 短链与跳转链：短网址、多跳重定向与CDN包装使地址栏中的域名成为链条末端才被揭示的变量；黑产借此把低价新gTLD域名隐藏在中继链接之后，单点封禁跳转域后可在数分钟内更换。
- App内嵌浏览器（WebView/Custom Tab）：超级App内打开的页面默认隐藏地址栏，域名仅在异常提示时短暂出现；这与第3页§05"移动端浏览器"风险叠加，构成中文场景最普遍的"域名不可见"环境，也是"仔细核对地址栏"类建议失效的主场景。
对检测体系的含义：当用户侧"人工核对域名"越来越不可行时，"系统在注册/解析/内容层提前拦截"就成为唯一可依赖的防线——这从需求侧论证了本课题四层检测模型与第5页"分钟级候选生成"时延指标的必要性，也提示投递层IOC（第5页§06）应与域名告警同优先级下发。
§ · 本节参考来源（第2页）
Interisle Consulting《Phishing Landscape》系列报告（年度钓鱼域名结构分析）——interisle.net；本页引用数据为公开转述，以原文为准
APWG Phishing Activity Trends Report（季度钓鱼趋势）——apwg.org/trendsreports
The Spamhaus Project最受滥用TLD榜单——spamhaus.org/statistics/tlds
ICANN新gTLD项目统计（月度注册事务数据）——newgtlds.icann.org
CNNIC第56次《中国互联网络发展状况统计报告》（2025年7月，数据截至2025年6月）——CNNIC官网PDF
工业和信息化部《互联网域名管理办法》（令第43号，2017年11月1日施行）——工信部官网