DNS抓包分析详细教程

对DNS域名系统的抓包分析目录TOC\o"1-3"\h\u27864一、实验目的3二、相关原理3254922.1DNS的定义372592.2DNS的构成3275842.3DNS的查询3241462.4DNS的报文格式414989三、结合具体抓包实例进行的分析5182973.1协议数据包窗口5172923.2协议树窗口540333.3物理层节点6120343.4数据链路层节点7138353.5IP节点7248933.6UDP节点847873.7DNS节点9187843.7.1DNS请求报文9224313.7.2DNS应答报文107103四、体会与小结11一、实验目的通过网络抓包试验，深刻理解TCP/IP协议簇中DNS域名系统的使用方式与报文具体格式与含义，加强对DNS的理解与应用。二、相关原理2.1DNS的定义DNS是域名系统(DomainNameSystem)的缩写，它是由解析器和域名效劳器组成的。域名效劳器是指保存有该网络中所有主机的域名和对应IP地址，并具有将域名转换为IP地址功能的效劳器。其中域名必须对应一个IP地址，而IP地址不一定有域名。域名系统采用类似目录树的等级结构。域名效劳器为客户机/效劳器模式中的效劳器方，它主要有两种形式：主效劳器和转发效劳器。将域名映射为IP地址的过程就称为“域名解析〞。在Internet上域名与IP地址之间是一对一〔或者多对一〕的，域名虽然便于人们记忆，但机器之间只能互相认识IP地址，它们之间的转换工作称为域名解析，域名解析需要由专门的域名解析效劳器来完成，DNS就是进行域名解析的效劳器。DNS命名用于Internet等TCP/IP网络中，通过用户友好的名称查找计算机和效劳。当用户在应用程序中输入DNS名称时，DNS效劳可以将此名称解析为与之相关的其他信息，如IP地址。因为，你在上网时输入的网址，是通过域名解析系统解析找到了相对应的IP地址，这样才能上网。其实，域名的最终指向是IP。2.2DNS的构成在IPV4中IP是由32位二进制数组成的，将这32位二进制数分成4组每组8个二进制数，将这8个二进制数转化成十进制数，就是我们看到的IP地址，其范围是在0～255之间。因为，8个二进制数转化为十进制数的最大范围就是0～255。现在已开始试运行、将来必将代替IPv4的IPV6中，将以128位二进制数表示一个IP地址。2.3DNS的查询DNS查询可以有两种解释，一种是指客户端查询指定DNS效劳器上的资源记录〔如A记录〕，另一种是指查询FQDN名的解析过程。一、查询DNS效劳器上的资源记录您可以在Windows平台下，使用命令行工具，输入nslookup，返回的结果包括域名对应的IP地址〔A记录〕、别名〔CNAME记录〕等。除了以上方法外，还可以通过一些DNS查询站点如国外的国内的查询域名的DNS信息。二、FQDN名的解析过程查询假设想跟踪一个FQDN名的解析过程，在LinuxShell下输入digwww+trace，返回的结果包括从跟域开始的递归或迭代过程，一直到权威域名效劳器。2.4DNS的报文格式DNS报文的首部：DNS报文首部的后面是可变局部，包括四个小局部。问题局部由一组问题记录组成。DNS报文的其余三个局部是答复局部、授权局部和附加信息局部，附加信息包含答复局部和授权局部返回的资源所要求的附加信息〔如IP地址〕。这三局部均由一组资源记录组成，而且仅在应答报文中出现。一条资源记录描述一个域名。三、结合具体抓包实例进行的分析3.1协议数据包窗口从包到达的时间，顺序以及源和目的IP地址可知，这是一对DNS请求与应答报文。下列图为1号包与2号包中DNS段的报文分析注释，由此可证明，包1为DNS请求报文，包2为包1的应答报文，请求与应答报文的到达间隔时间为0.000349s，它们的标识字段都为0x001，用于相互匹配。因为DNS请求报文的目的是请求DNSServer的IP地址，故包1的源IP地址为本机IP，目的IP地址为DNS效劳器的IP，包2与包1相反。3.2协议树窗口DNS请求报文：DNS应答报文：可以看出，DNS请求报文与应答报文链路层的MAC地址相反，请求报文中的源物理地址为本机的物理地址，这与IP地址相对应。此外，DNS请求报文与应答报文传输层中UDP的源端口与目的端口相反，其中请求报文UDP的源端口为客户机动态申请的本地端口，目的端口为DNS所固有的53号周知端口。这两点都表达了DNS请求报文与应答报文间的请求-应答关系。DNS请求报文与应答报文协议树窗口显示的协议层次与网络协议的层次对应相同，如下表：树节点名称对应的协议层次说明Frame物理层EthernetII数据链路层以太网协议InternetProtocol网络层IP协议UserDatagramProtocol传输层UDP协议DomainNameSystem应用层DNS域名系统3.3物理层节点DNS请求报文：DNS应答报文：以上两张图分别给出了DNS请求报文与应答报文的时间参数、包号、长度与协议层次，在此不一一细说。但是，我们可以很清楚的看出，DNS请求报文的长度为72字节，而应答报文的长度为123字节，比请求报文长得多。这是由于在DNS应答报文中，具有请求报文所没有的答复局部、授权局部与附加局部，在下面的应答报文分析中会具体说明。3.4数据链路层节点DNS请求报文：DNS应答报文：由上图可以更明显的看出，DNS请求与应答报文的源与目的MAC地址的相反现象。此外，DNS请求与应答报文以太网协议中的类型均为IP，即在DNS协议层次中网络层协议为IP，这表达了DNS作为TCP/IP协议簇中协议的特点。3.5IP节点DNS请求报文：DNS应答报文：DNS请求与应答报文IP层相同点：版本号：IPv4首部长度：20字节，没有其他选项效劳类型：最低优先级的一般效劳片偏移：0，无分片协议标识：UDP〔0x11H〕DNS请求与应答报文IP层不同点：数据报长度：上文已有分析。标识不同，因为请求与应答为两个不同的报文，信源机给予的用于区分分片的标识不同。生存时间不同，请求报文为64，应答报文为60。校验和不同，DNS请求与应答报文IP层首部不同，故校验和不同。源与目的IP地址不同，原因在前面的分析中已经说明。3.6UDP节点DNS请求报文：DNS应答报文：DNS请求与应答报文的源与目的端口相反，原因在前面的分析中已经说明。请求报文UDP长度为53字节，应答报文UDP长度为89字节。3.7DNS节点DNS请求报文首部：标识字段：0x0001，用于匹配请求与响应标志字段：0x0100HQR：0，为请求报文OpCode：0000〔0〕，标准查询〔正向解析〕AA：0，此字段只在效劳器的响应中有效，在上图中不显示TC：0，报文没有被截断RD：1，请求效劳器进行递归解析RA：0，此字段只在效劳器的响应中有效，在上图中不显示3比特保存位：000rCode：0000，没有错误问题记录数：1答复记录数：0〔DNS请求报文此字段为0〕授权记录数：0〔DNS请求报文此字段为0〕附加信息记录数：0〔DNS请求报文此字段为0〕问题局部：询问类型：PTR，数值为1，反向解析。询问类：IN，数值为1，表示因特网协议。DNS应答报文首部：标识字段：0x0001，用于匹配请求与响应，此处与DNS请求报文相匹配。标志字段：0x8180HQR：1，为应答报文OpCode：0000〔0〕，标准查询〔正向解析〕〔与请求报文相同〕AA：0，答复的效劳器是该域的授权效劳器TC：0，报文没有被截断RD：1，请求效劳器进行递归解析〔与请求报文相同〕RA：1，效劳器支持递归解析〔回应RD〕3比特保存位：000rCode：0000，没有错误问题记录数：1答复记录数：1授权记录数：1附加信息记录数：0问题局部：与请求报文相同，即作为DNS请求报文的答复，DNS应答报文的问题局部就是请求报文的问题局部的拷贝。答复局部：域名：0xC00CH，为指向问题局部询问名的指针，具体地址为00000000001100〔二进制地址〕类型：PTR，数值为1，指针记录，IP到域名的解析。类：IN，数值为1，表示因特网协议。生存时间：1day资源数据长度：10字节资源数据：dnscache〔DNS缓存效劳器〕授权局部：四、体会与小结经过本次对DNS域名系统的抓包实验的分析，我们加深了对DNS域名系统的理解和掌握。首先从DNS的含义上，DNS是由解析器和域名效