DNS协议分析实验模版

1、合 同 模 版注意事项为了维护您的合法权益，确保交易的安全，请在使用本合同范本前仔细阅读下列注意事项：1、本合同为根据相关法律规定制定的通用性示范文本；2、如有必要，请根据具体的交易背景、交易目的等适当修改、调整本合同范本的相关条款；吉 林 农 业 大 学 实 验 报 告姓名：李洪爽 学号：12145211 专业：物联网工程 第 六次 2016年 5月 16 日实验七 dns协议分析一、 实验目的1.学会客户端使用nslookup命令进行域名解析。2.通过协议分析软件掌握dns协议的报文格式。二、 实验原理dns是域名系统(domain name system)的缩写，该系统用于命名组织到域层

2、次结构中的计算机和网络服务。域名是由圆点分开一串单词或缩写组成的，每一个域名都对应一个惟一的ip地址，在internet上域名与ip地址之间是一一对应的，dns就是进行域名解析的服务器dns命名用于internet等tcp/ip网络中，通过用户友好的名称查找计算机和服务。dns是因特网的一项核心服务，它作为可以将域名和ip地址相互映射的一个分布式数据库而存在。 dns 是一个分层级的分散式名称对应系统，有点像电脑的目录树结构：在最顶端的是一个“root”，然后其下分为好几个基本类别名称，如：comorgedu 等；再下面是组织名称，如：ibmmicrosoftintel 等；继而是主机名称，如

3、：wwwmailftp 等。 一个具体的 dns运作过程如下： 1. 当被询问到有关本域名之内的主机名称的时候，dns 服务器会直接做出回答；2. 客户端向服务器提出查询项目； 3. 如果所查询的主机名称属于其它域名的话，会检查缓存(cache)，看看有没有相关资料； 4. 如果没有发现，则会转向 root 服务器查询； 5. 然后 root 服务器会将该域名之下一层授权(authoritative)服务器的位置告知(可能会超过一台) ； 6. 本地服务器然后会向其中的一台服务器查询，并将这些服务器名单存到缓存中，以备将来之需(省却再向 root 查询的步骤) ； 7. 远方服务器回应查询；8

4、.若该回应并非最后一层的答案，则继续往下一层查询，直到获得客户端所需的结果为止； 9. 将查询结果回应给客户端，并同时将结果储存一个备份在自己的缓存里面； 10. 如果在存放时间尚未过时之前再接到相同的查询，则以存放于缓存里的资料来做回应。 从这个过程我们可以看出，没有任何一台 dns 主机会包含所有域名的 dns 资料，资料都是分散在全部的 dns 服务器中。dns协议报文结构 通过研究发现，dns协议分成包头和数据两部分。如图1所示，该报文由12字节的首部和4个长度可变的字段组成。 以下会详细介绍个字段： 1. 标识 标识字段由客户程序设置并有服务器返回结果，16位，在对应的query和r

5、esponse报文中有着相同的id，可以在抓到的包中配对请求和应答报文，提取相关信息，同时也可以根据他们的时间戳大致估计dns的相应时间。 2. 标志 标志字段长16bit，结构如图2所示：qr 1 opcodeaa 1 tc 1 rd 1 ra 1 zero 3 rcode 4 qr：1bits字段，0表示查询报文，1表示响应报文opcode：4bits字段，通常值为0（标准查询），其他值为1（反向查询）和2（服务器状态请求）aa：1bits标志表示授权回答（authoritive answer）,该名字服务器是授权于该领域的tc：1bits字段，表示可截（truncated），使用udp时

6、，它表示当应答的总长度超过512字节时，只返回前512个字节rd：1bits字段，表示期望递归，该比特能在一个查询中设置，并在一个响应中返回，这个标志告诉名字服务器必须处理这个查询，也称为一个递归查询，如果该位为0，且被请求的名字服务器没有一个授权回答，它就返回一个能解答该查询的其他名字服务器列表，这称为迭代查询（期望递归）ra：1bits字段，表示可用递归，如果名字服务器支持递归查询，则在响应中将该bit置为1（可用递归）zero：必须为0rcode：是一个4bit的返回码字段，通常值为0（没有差错）和3（名字差错），名字差错只有从一个授权名字服务器上返回，它表示在查询中指定的域名不存在随后

7、的4个bit字段说明最后4个变长字段中包含的条目数，对于查询报文，问题数通常是1，其他三项为0，类似的，对于应答报文，回答数至少是1，剩余两项可以使0或非05. dns查询报文中每个查询问题的格式0 16 31查询名 查询类型 查询类 查询名：要查找的名字查询类：通常值为1，表示是互联网的地址，也就是ip协议族的地址查询类型：有很多种查询类型，一般最常用的查询类型是a类型（表示查找域名对应的ip地址）和ptr类型（表示查找ip地址对应的域名）查询名为要查找的名字，它由一个或者多个标示符序列组成，每个标示符已首字符字节数的计数值来说明该表示符长度，每个名字以0结束，计数字节数必须是063之间，该

8、字段无需填充字节，如：6. dns响应报文中的资源记录格式：域名：记录中资源数据对应的名字，它的格式和查询名字段格式相同类型：类型说明rr的类型码，类通常为1，指internet数据生存时间：客户程序保存该资源记录的秒数资源数据长度：说明后面资源数据的数量，该数据的格式依赖于类型字段的值，对于类1（a记录）记录数据室4字节的ip地址资源数据：服务器端返回给客户端的记录数据nslookup是一个监测网络中dns服务器是否能够正确实现域名解析的命令行工具。它在windows nt/2000/xp中均可使用。本实验通过nslookup检测服务器的配置，并利用协议

9、分析wireshark捕获分析nslookup命令产生的dns数据包。nslookup查询命令格式为nslookup域名，主要做两个操作，一个是根据本地dns服务器的ip地址获得本地dns服务器的名字，二是根据输入查询的域名查找该域名的ip地址。三、实验步骤1. 打开wireshark，选择工具栏上的“capture”-“interfaces选择网关”，截图替换：2、然后在wireshark，选择工具栏上的“capture”-“optoins”选择过滤器，并在capture filter中输入 udp port 53(表示要抓dns的包)，截图替换3.打开命令提示符，键入cmd后，输入nslo

10、okup . 截图替换分析：1） 由此可知，本地域名服务器是：cc-cache1-ibm2） ip地址是：63） 别名：.dhcp4） 的ip地址有 1 个分析抓到的dns的包，截图：第一帧是 08 发送给本地dns服务器 6 的反向查询取得报文，用于获得本地dns服务器的名字。截图并分析：分析：问题的个数： 1回答rr个数：0 权威域名rr数：0 附加rr数： 0type 为 ：a第二帧，截图存活时间是：58告诉查询结果是：第三帧