DNS抓包分析详细教程

1、对DNS域名系统的抓包分析目录、实验目的4、相关原理32.1 DNS的定义2.2 DNS的构成52.3 DNS的查询52.4 DNS的报文格式5三、结合具体抓包实例进行的分析 73.1协议数据包窗口 7.3.2协议树窗口 83.3物理层节点9.3.4数据链路层节点 93.5 IP节点103.6 UDP 节点1.13.7DNS 节点123.7.1DNS请求报文123.7.2DNS应答报文13四、体会与小结16、实验目的通过网络抓包试验，深刻理解TCP/IP协议簇中DNS域名系统的使用方式与报文 具体格式与含义，加强对DNS的理解与应用。二、相关原理2.1 DNS的定义DNS是域名系统(Domai

2、n Name System)的缩写，它是由解析器和域名服务器组成的。域名服务器是指保存有该网络中所有主机的域名和对应IP地址，并具有将域名转换为IP地址功能的服务器。其中域名必须对应一个IP地 址，而IP地址不一定有域名。域名系统采用类似目录树的等级结构。域名服务 器为客户机/服务器模式中的服务器方，它主要有两种形式：主服务器和转发服 务器。将域名映射为IP地址的过程就称为 域名解析”。在In ternet上域名与IP 地址之间是一对一(或者多对一)的，域名虽然便于人们记忆，但机器之间只 能互相认识IP地址，它们之间的转换工作称为域名解析，域名解析需要由专门 的域名解析服务器来完成，DNS就是

3、进行域名解析的服务器。DNS命名用于 In ternet等TCP/IP网络中，通过用户友好的名称查找计算机和服务。当用户在应用程序中输入 DNS名称时，DNS服务可以将此名称解析为与之相关的其 他信息，如IP地址。因为，你在上网时输入的网址，是通过域名解析系统解 析找到了相对应的IP地址，这样才能上网。其实，域名的最终指向是IP。2.2 DNS的构成在IPV4中IP是由32位二进制数组成的，将这32位二进制数分成4组每组8 个二进制数，将这8个二进制数转化成十进制数，就是我们看到的IP地址，其 范围是在0255之间。因为，8个二进制数转化为十进制数的最大范围就是 0255。现在已开始试运行、将

4、来必将代替IPv4的IPV6中，将以128位二进 制数表示一个IP地址。2.3 DNS的查询DNS查询可以有两种解释，一种是指客户端查询指定DNS服务器上的资源 记录（如A记录），另一种是指查询FQDN名的解析过程。一、查询DNS服务器上的资源记录您可以在 Windows平台下，使用命令行工具，输入nslookup，返回的结 果包括域名对应的IP地址（A记录）、别名（CNAME记录）等。除了以上方法 外，还可以通过一些DNS查询站点如国外的国内的 查询域名的DNS信息。二、FQDN名的解析过程查询若想跟踪一个 FQDN名的解析过程，在Linux Shell下输入dig www+trace，返回

5、的结果包括从跟域开始的递归或迭代过程，一直到权威域名服务器。2.4 DNS的报文格式DNS报文的首部：QROpCodeAATCRDRA000rCode111111 1图2-3 DNS报文标志字段的格式144DNS报文首部的后面是可变部分，包括四个小部分问题部分由一组问题记录组成。01631询问名询问类型询问类图2-4 DNS报文问题记录格式DNS报文的其余三个部分是回答部分、授权部分和附加信息部分，附加信息包 含回答部分和授权部分返回的资源所要求的附加信息（如IP地址）。这三部分均由一组资源记录组成，而且仅在应答报文中出现。一条资源记录描述一个域 名。01631域名类型类生存时间资源数据长度资

6、源数据图2-5 DNS资源记录格式三、结合具体抓包实例进行的分析3.1协议数据包窗口No., TimeSUIK8DwtistionPrcclrh1Q.WD1O.112JJ5310.100,250.200讯5standard query ptr 200.2lOOJOJl2 0.0091j.100,250.20010.112,7,15JStandard query response m dnsihe从包到达的时间，顺序以及源和目的IP地址可知，这是一对DNS请求与应答报文。下图为1号包与2号包中DNS段的报文分析注释，由此可证明，包1为DNS请求报文，包2为包1的应答报文，请

7、求与应答报文的到达间隔时间为0.000349s，它们的标识字段都为0x001，用于相互匹配。a Domai n Name system (query)Transaction id: 0x0001 Domai n Name System (response)Hecjli电吕T： Hn:time: 0.000349000 secondsTransaction id: 0x0001因为DNS请求报文的目的是请求 DNSServer的IP地址，故包1的源IP地址为本机IP,目的IP地址为DNS服务器的IP,包2与包1相反。3.2协议树窗口DNS请求报文：J. （57 byte吕 m wP 厂电& bg

8、电生 匚mpi切丁皀臼j*i Ethernet II t Src:4bzel: ca 39idS (9S:4btel:cas39:dB).1 C.DDMDO 1Q.112.7.153 10.1D0.250.2M DNS Standard query PTR 200.250.1 DO. 10.创 iniLernec Protocol. Src: 10.112u7-153 (LQ.112. 7,153) t Dsr ! 10.10D.250. 200 (10uIDO. 250- 2K)Dsr : F u j i -ari5i:_l 9 z 50: a3 (00: La: a

9、9: 5D z a3 )创 user Datagran protocol. src porr: 62055 (62055)fe osr Farr s domain (53) Eti Domain Na/ne sysieii (quer/)DNS应答报文:冒 Fanre 2123； tytEis tan 怦i足】123 bytmis 匚aptuEdT)2 5.0W349 00 1Q.1127.15S DNS Standard query re?poDie PTR dnscache卢 Internet PratocoL 5rc: 10.100-250.200 (ID. 10

10、0. 2 50. 200)., Dst: 53 10.112 7.153回Ehrni： n9 grc：刊j舁g Jl?； *50；狗（OQ：1初曲兀:；对.PSX ?瀬：4心坤1上：却：血（5油忙您1 :饰：卅：曲Q user MCgrm prcoL arc portdgA斤(5J)a c Pflrzi e?O55 (6205&) 世i Dofiain Name System tresponse)可以看出，DNS请求报文与应答报文链路层的 MAC地址相反，请求报文中的源物理地址为本机的物理地址，这与IP地址相对应。此外，DNS请求报文与应 答报文传输层中UDP的源端口与目的

11、端口相反，其中请求报文UDP的源端口为客户机动态申请的本地端口 ，目的端口为DNS所固有的53号周知端口。这两 点都体现了 DNS请求报文与应答报文间的请求-应答关系DNS请求报文与应答报文协议树窗口显示的协议层次与网络协议的层次对应相 同，如下表：树节点名称对应的协议层次说明Frame物理层Ethernet II数据链路层以太网协议Internet Protocol网络层IP协议User Datagram Protocol传输层UDP协议Domai n Name System应用层DNS域名系统3.3物理层节点DNS请求报文：Frane 1 (-fl-7 bytes on wirefc 87

12、 byt-es capturedArriv-al Time: Apr 乳 2011 15:10: G2. S6102000Time delta fron previdus captured fraire: 0.ODOOOOOOO secandsTfme delta fron previous displayed frane: 0.DDOOOOOOO secondsTfme since reference or first frame: aODDDDDDO SBCondsFrame Nuniber: 1尸恥1色 Length: S7 tryimsCprure length: 87 hyieFrj

13、me 1$ nirkd肄1$科PT0IK51S 1h frine：机h：邛冲W：由isColling Rule N4H- check-syffi Errorscclorlftg ru1 siring: cdp= chksymJ34d1 | edpachKlcsuOadl | Yp,h电曲孔mJ血d1 | a: M女：日8:4b:1:ca:dS) p DstFujianst_l$:50:a3 (00:la:a9:19: S0:a3)E Destination: FujianstJ.9:50:a3 (00:la:a9:19:5O:a3)Addr电w$： Fujianst_19-50：a? (00：

14、la：a9：19：5O：a3). 0亠亠.a * TG bit: individual add屯 (uni cast).殆. * -LG bit: Global ly unique address (factory default)E source： 9S：4b：el：ca:39:d8 (9S：4b：el:ca: 39：d8)Address: 98：4b:el:ca(98：4bel:ca：39idB)0 bi t: Individual address (uni cast)-0、， =LE bit: Global ly unique* address (factory default)Type

15、: ip Cqkoboo)DNS应答报文：E Ethernet 11 Src: Fu jianSUS: 5O:a3 (CH3: la:a9:19: 50:a3) dsi t(9S:4b:el：:ca: 39：dB)l- oestinariDm 9B：4biel:ca:3$:ds (98：4b:el:ca: 39：d8)Address: 98:4b:el:ca:39:dB (98:4b:el:ca:39:da)0- IG bit: individual address (unicast). 0=LG bit: G1 obally unique address (factory default)B

16、 Source: FujianstJ.9:5O:a3 (00:la:a9:19: 50:a3)Addre$: Fuj1ansc_19：旦了 (005O：a3)“.xO .*- =IG bit: individual address (unicasr) .0 口 亠 m - LG bit: G1 obally unique addEiss (factory default)Type: I? (0x0800)由上图可以更明显的看出，DNS请求与应答报文的源与目的 MAC地址的相反现象。此外，DNS请求与应答报文以太网协议中的类型均为 IP,即在DNS协议层次中网络层协议为IP,这体现了 DNS作为

17、TCP/IP协议簇中协议的特点3.5 IP节点DNS请求报文：-internet Protocol p src : 10.112, 7.1S3 (10,112. 7,153) p Mt: 10.100. 250. 200 (10.100,2 50. 200) Version; 4Header length：: 20 byt电edfferentiated Services Field: 0x00 (DSCP 0x00: Default; ECN: 0x&0)0000 如=Differentiated services codepolnt: Default COxOO). = CN-capable

18、 Transport (ect) : o- * k0 = ECN-CE: 0Tor al Length: 73Iderrtif i catdcrr: OxOell C601)B Flags : 0x00(k Reserved bit: Nat set,0. = Dont fragment: Mot set.0. - Mflre fragments: Not setFragment offset: QTime to live: 64protocol: ucp (Oxll)u Header checksum: OxOflOO incorrectr should be Ox555eGood: Fal

19、seBad : TrueSource: 53 (53JDestination: 10. LOO. 25C, 200 (00)DNS应答报文：0 Internet Protocol , 5rc: 10.100.250. 200 CIO. 100. 250.2Q0K Ost: 10.112. 7.153 (IQ. 112.7.15 3) Version: 4Header 1ength: 20 bytes-t1 fterentiaced Services Field: oxoo (dscp 0x00： default; ecn: oxo

20、a)0000 00. . - Differertiated Services Codepointi Default C0x00J.-= ecn-capable Transport (ect) : 00 = ECN-CE : 0tot.al Lengthi 109Iderrtdf i cation: 0x0000 (0)ra Flags: 0x04 (Dont Pragnent)0.二 Reserved bit： not set.1. - Dont fragmert: Set.-Oh = More fragments; Net setFragiment offset: 0Time to live

21、；; 62Protocol: udp (Oxll)日 Header 匚hecksunn： 0x2correctGood: TrueBad : FalseSource: 1(Jl1Q0,25O.200 (IQ. 100, 250. 200)Destination: 51 (53)DNS请求与应答报文IP层相同点：版本号：IPv4首部长度：20字节，没有其他选项服务类型：最低优先级的一般服务片偏移：0，无分片协议标识：UDP( 0x11H)DNS请求与应答报文IP层不同点：数据报长度：上文已有分析。标识不同，因为请求与应答为两个不同的报文，信源机给予的用于区

22、分分片的标识不同。生存时间不同，请求报文为64，应答报文为60。校验和不同，DNS请求与应答报文IP层首部不同，故校验和不同源与目的IP地址不同，原因在前面的分析中已经说明。3.6 UDP节点DNS请求报文: 二 user Datagram Protocola src Port: 62055 (62055)5 Dst Port: domain (52) source port: 62055 oma1in Ndme system (query)比Ezuonse： 5：2Tran5action ID: 0x0001B Flags: 0x0100 (standard query)0 aa Respo

23、nse: Mess且g唱 is a query*000 0 opcode: standardl query (0)申申.0 mm - Truncated: MesSiige is not truncated+ +爭甲.I =Recursion irgd： Do query recursively 4 =Z： reserved (0)+.0= Non-aut hent i cared data OK： won -aut he nt i c at edl data is unacceptableQuestions: 1Answer RRs: 0Authority RR.s: 0Addirional

24、 rrs: 标识字段：0x0001，用于匹配请求与响应标志字段：0X0100HQR: 0，为请求报文OpCode : 0000 （ 0），标准查询（正向解析）AA: 0，此字段只在服务器的响应中有效，在上图中不显示TC: 0,报文没有被截断RD： 1，请求服务器进行递归解析RA： 0,此字段只在服务器的响应中有效,在上图中不显示3比特保留位：000rCode : 0000 ,没有错误问题记录数：1回答记录数：0 （DNS请求报文此字段为0）授权记录数：0 （DNS请求报文此字段为0）附加信息记录数：0 （ DNS请求报文此字段为0）问题部分：s QueriesT 0.

25、: type PTR, cl ass IN Name: 0.Type: PTR (Domain name pannter) class: IN (0x0001)000000 la 日9a.3 98 4b0010002000300040005000fa0049c800Def2000 35 0040 1100 35JOS 3230 30 02 31 30 07 6970 61 00 00 Oc 00 Ol0 4 1 0605 a o4 0 00 9 0 0900 7 1 o o o8 0 1 d 7 o9 a o moo a

26、o c c o 710 7 eol3 1 o 6 o- 43 _o5 23 7 43 63 4 o 6 o 13 6 od3 2询问类型：PTR,数值为1,反向解析。询问类：IN ,数值为1 ,表示因特网协议3.7.2DNS应答报文首部：E Domain Name system (response) 口电du电I门：LlTime: 0.000349000 seconds Transaction ID: 0x0001a Flags: 0x8560 (standarda000。丄Q1，.000000query response. No error)Response: Message is a re

27、spomieopcodes standard query (0)Authorirat1 we： server is an authority for domainTruncated: Message is nor truncaxedRecursion desired: Do query recursivelyRecursion aval1ab1e: servecan do recursive queriesz： reserved (0)Answer authenticated: Answer/authoHty portion was not authenticated by the serve

28、r 且 Reply code: No error (0)Questions: 1Answer1Authority rrs 1Additional rrs： 0标识字段：0x0001 ,用于匹配请求与响应,此处与DNS请求报文相匹配标志字段:0X8180HQR: 1 ,为应答报文OpCode : 0000（ 0），标准查询（正向解析）（与请求报文相同）AA: 0，回答的服务器是该域的授权服务器TC: 0,报文没有被截断RD： 1，请求服务器进行递归解析（与请求报文相同）RA: 1，服务器支持递归解析（回应RD）3比特保留位：000rCode : 0000，没有错误问题记录数：1回答记录数：1授权

29、记录数：1附加信息记录数：0 问题部分：a queries曰 0.: type PTR, class INName: 200* 250*100.10.1n-addr* arpaType: PTR (DomaTn name pointer)Class: IN COxOOOl)0000 0010 0020 00 JO 00400050 00600070o7-61elooooooGOoa01319 0 2 03 4f ooc6401al g1159 5a a 2 Tod3 20C61029 b 514fOC6Ssof 63 1o 6ooco0110*

30、 IG 9*P*. *-m.驚K-dp-5.g. V :. . 十-*12 00,250.1 n -addr. ar-1 2 宁7 clnsc Q -9与请求报文相同，即作为DNS请求报文的回答，DNS应答报文的冋题部分就是请求报文的问题部分的拷贝 回答部分:Answers0 200. 250-100*10.in-addr-arpa: type ptr, class IN, dnscache Name; 200* 2 50*100.10Type: ptr CDomain name pointer)cl ass: IN COxOOOl)time vq live; 1 dayData length: 10Domain name: dnscacheoaoo oaio OO2O 0030 0040 0050 0060 00708 0 7 0 0 0 也29 0 0 0 3 7LIObd 9 1 o 14 6 9 0 3 6eloooog02ooE01018 0 7 0