DNS抓包分析详细教程

1、.对 DNS 域名系统的抓包分析;.目录一、实验目的3二、相关原理32.1 DNS 的定义32.2 DNS 的构成32.3 DNS 的查询32.4 DNS 的报文格式4三、结合具体抓包实例进行的分析53.1 协议数据包窗口53.2 协议树窗口53.3 物理层节点63.4 数据链路层节点73.5 IP节点73.6 UDP 节点83.7DNS节点93.7.1DNS 请求报文93.7.2DNS 应答报文10四、体会与小结11;.一、实验目的通过网络抓包试验，深刻理解 TCP/IP 协议簇中 DNS域名系统的使用方式与报文具体格式与含义，加强对 DNS的理解与应用。二、相关原理2.1 DNS 的定义D

2、NS 是域名系统 (Domain NameSystem) 的缩写，它是由解析器和域名服务器组成的。域名服务器是指保存有该网络中所有主机的域名和对应IP 地址，并具有将域名转换为IP 地址功能的服务器。其中域名必须对应一个IP 地址，而IP 地址不一定有域名。域名系统采用类似目录树的等级结构。域名服务器为客户机 / 服务器模式中的服务器方，它主要有两种形式：主服务器和转发服务器。将域名映射为 IP 地址的过程就称为 “域名解析”。在 Internet 上域名与 IP 地址之间是一对一（或者多对一）的，域名虽然便于人们记忆，但机器之间只能互相认识 IP 地址，它们之间的转换工作称为域名解析，域名解

3、析需要由专门的域名解析服务器来完成， DNS就是进行域名解析的服务器。 DNS 命名用于 Internet等 TCP/IP 网络中，通过用户友好的名称查找计算机和服务。 当用户在应用程序中输入 DNS 名称时，DNS 服务可以将此名称解析为与之相关的其他信息， 如 IP 地址。因为，你在上网时输入的网址， 是通过域名解析系统解析找到了相对应的IP 地址，这样才能上网。其实，域名的最终指向是IP 。2.2 DNS 的构成在 IPV4 中 IP 是由 32 位二进制数组成的，将这32 位二进制数分成4 组每组 8个二进制数 ，将这 8 个二进制数转化成 十进制数 ，就是我们看到的IP 地址，其范围

4、是在 0255 之间。因为，8 个二进制数转化为十进制数的最大范围就是0255。现在已开始试运行、将来必将代替 IPv4 的 IPV6 中，将以 128 位二进制数表示一个 IP 地址。2.3 DNS 的查询DNS查询可以有两种解释， 一种是指客户端查询指定 DNS服务器上的资源记录（如 A 记录），另一种是指查询 FQDN名的解析过程。一、查询 DNS服务器上的资源记录您可以在 Windows 平台下，使用命令行工具，输入 nslookup ，返回的结果包括域名对应的 IP 地址（ A 记录）、别名（ CNAME记录）等。除了以上方法外，;.还可以通过一些DNS查询站点如国外的国内的查询域名

5、的 DNS信息。二、 FQDN名的解析过程查询若想跟踪一个 FQDN名的解析过程，在 Linux Shell 下输入 dig www+trace ，返回的结果包括从跟域开始的递归或迭代过程，一直到权威域名服务器。2.4 DNS 的报文格式DNS 报文的首部：01631标识标志问题记录数回答记录数首部授权记录数附加信息记录数问题部分回答部分授权部分附加信息图 2-2 DNS 报文格式1411111114QROpCodeAATCRDRA000rCode图 2-3DNS 报文标志字段的格式DNS 报文首部的后面是可变部分，包括四个小部分。问题部分由一组问题记录组成。01631询问名询问类型询问类图

6、2-4DNS 报文问题记录格式DNS报文的其余三个部分是回答部分、授权部分和附加信息部分，附加信息包含回答部分和授权部分返回的资源所要求的附加信息 （如 IP 地址）。这三部分均由一组资源记录组成，而且仅在应答报文中出现。一条资源记录描述一个域名。;.01631域名类型类生存时间资源数据长度资源数据图 2-5 DNS 资源记录格式三、结合具体抓包实例进行的分析3.1 协议数据包窗口从包到达的时间，顺序以及源和目的 IP 地址可知，这是一对 DNS请求与应答报文。下图为 1 号包与 2 号包中 DNS段的报文分析注释，由此可证明，包 1 为 DNS 请求报文，包 2 为包 1 的应答报文，请求与

7、应答报文的到达间隔时间为 0.000349s ，它们的标识字段都为 0x001，用于相互匹配。因为 DNS请求报文的目的是请求 DNSServer的 IP 地址，故包 1 的源 IP 地址为本机 IP ，目的 IP 地址为 DNS服务器的 IP ，包 2 与包 1 相反。3.2 协议树窗口DNS请求报文：;.DNS应答报文：可以看出， DNS请求报文与应答报文链路层的 MAC地址相反，请求报文中的源物理地址为本机的物理地址，这与 IP 地址相对应。此外， DNS请求报文与应答报文传输层中 UDP的源端口与目的端口相反， 其中请求报文 UDP的源端口为客户机动态申请的本地端口，目的端口为 DNS

8、所固有的 53 号周知端口。这两点都体现了 DNS请求报文与应答报文间的请求 - 应答关系。DNS请求报文与应答报文协议树窗口显示的协议层次与网络协议的层次对应相同，如下表：树节点名称对应的协议层次说明Frame物理层Ethernet II数据链路层以太网协议Internet Protocol网络层IP 协议User Datagram Protocol传输层UDP 协议Domain Name System应用层DNS 域名系统3.3 物理层节点DNS请求报文：DNS应答报文：以上两张图分别给出了 DNS请求报文与应答报文的时间参数、 包号、长度与协议层次，在此不一一细说。但是，我们可以很清楚的

9、看出， DNS请求报文的长度为 72 字节，而应答报文的长度为 123 字节，比请求报文长得多。 这是由于在 DNS;.应答报文中， 具有请求报文所没有的回答部分、 授权部分与附加部分， 在下面的应答报文分析中会具体说明。3.4 数据链路层节点DNS请求报文：DNS应答报文：由上图可以更明显的看出， DNS请求与应答报文的源与目的 MAC地址的相反现象。此外，DNS请求与应答报文以太网协议中的类型均为 IP ，即在 DNS协议层次中网络层协议为 IP ，这体现了 DNS作为 TCP/IP 协议簇中协议的特点。3.5 IP节点DNS请求报文：DNS应答报文：;.DNS请求与应答报文IP 层相同点

10、：版本号： IPv4首部长度： 20 字节，没有其他选项服务类型：最低优先级的一般服务片偏移： 0，无分片协议标识： UDP（0x11H）DNS请求与应答报文IP 层不同点：数据报长度：上文已有分析。标识不同，因为请求与应答为两个不同的报文， 信源机给予的用于区分分片的标识不同。生存时间不同，请求报文为64，应答报文为 60。校验和不同， DNS请求与应答报文IP 层首部不同，故校验和不同。源与目的 IP 地址不同，原因在前面的分析中已经说明。3.6 UDP 节点DNS请求报文：DNS应答报文：DNS请求与应答报文的源与目的端口相反，原因在前面的分析中已经说明。;.请求报文 UDP长度为 53

11、 字节，应答报文UDP长度为 89 字节。3.7DNS节点3.7.1DNS 请求报文首部：标识字段： 0x0001，用于匹配请求与响应标志字段： 0x0100HQR： 0，为请求报文OpCode：0000（0），标准查询（正向解析）AA： 0，此字段只在服务器的响应中有效，在上图中不显示TC： 0，报文没有被截断RD： 1，请求服务器进行递归解析RA： 0，此字段只在服务器的响应中有效，在上图中不显示3 比特保留位： 000rCode： 0000，没有错误问题记录数： 1回答记录数： 0（DNS请求报文此字段为0）授权记录数： 0（DNS请求报文此字段为0）附加信息记录数： 0（ DNS请求报

12、文此字段为0）问题部分：询问类型： PTR，数值为 1，反向解析。询问类： IN，数值为 1，表示因特网协议。;.3.7.2DNS 应答报文首部：标识字段： 0x0001，用于匹配请求与响应，此处与DNS请求报文相匹配。标志字段： 0x8180HQR： 1，为应答报文OpCode：0000（0），标准查询（正向解析） （与请求报文相同）AA： 0，回答的服务器是该域的授权服务器TC： 0，报文没有被截断RD： 1，请求服务器进行递归解析（与请求报文相同）RA： 1，服务器支持递归解析（回应RD）3 比特保留位： 000rCode： 0000，没有错误问题记录数： 1回答记录数： 1授权记录数：

13、 1附加信息记录数： 0问题部分：与请求报文相同，即作为DNS请求报文的回答， DNS应答报文的问题部分就是请求报文的问题部分的拷贝。回答部分：;.域名：0xC00CH，为指向问题部分询问名的指针， 具体地址为 00000000001100（二进制地址）类型： PTR，数值为 1，指针记录， IP 到域名的解析。类： IN，数值为 1，表示因特网协议。生存时间： 1day资源数据长度： 10 字节资源数据： dnscache（DNS缓存服务器）授权部分：四、体会与小结经过本次对 DNS 域名系统的抓包实验的分析， 我们加深了对 DNS 域名系统的理解和掌握。首先从 DNS 的含义上， DNS 是由解析器和域