DNS抓包分析详细教程.docx
《DNS抓包分析详细教程.docx》由会员分享，可在线阅读，更多相关《DNS抓包分析详细教程.docx（12页珍藏版）》请在冰点文库上搜索。
DNS抓包分析详细教程
对DNS域名系统的抓包分析
二、相关原理.....................................................................................................................................3
一、实验目的
通过网络抓包试验，深刻理解TCP/IP协议簇中DNS域名系统的使用方式与报文具体格式与含义，加强对DNS的理解与应用。
二、相关原理
2.1DNS的定义
DNS是域名系统（DomainNameSystem）的缩写，它是由解析器和域名服务器组成的。
域名服务器是指保存有该网络中所有主机的域名和对应IP地址，并具有将域名转换为IP地址功能的服务器。
其中域名必须对应一个IP地址，而IP地址不一定有域名。
域名系统采用类似目录树的等级结构。
域名服务器为客户机/服务器模式中的服务器方，它主要有两种形式：
主服务器和转发服务器。
将域名映射为IP地址的过程就称为“域名解析”。
在Internet上域名与IP地址之间是一对一（或者多对一）的，域名虽然便于人们记忆，但机器之间只能互相认识IP地址，它们之间的转换工作称为域名解析，域名解析需要由专门的域名解析服务器来完成，DNS就是进行域名解析的服务器。
DNS命名用于Internet等TCP/IP网络中，通过用户友好的名称查找计算机和服务。
当用户在应用程序中输入DNS名称时，DNS服务可以将此名称解析为与之相关的其他信息，如IP地址。
因为，你在上网时输入的网址，是通过域名解析系统解析找到了相对应的IP地址，这样才能上网。
其实，域名的最终指向是IP。
2.2DNS的构成
在IPV4中IP是由32位二进制数组成的，将这32位二进制数分成4组每组8个二进制数，将这8个二进制数转化成十进制数，就是我们看到的IP地址，其范围是在0～255之间。
因为，8个二进制数转化为十进制数的最大范围就是0～255。
现在已开始试运行、将来必将代替IPv4的IPV6中，将以128位二进制数表示一个IP地址。
2.3DNS的查询
DNS查询可以有两种解释，一种是指客户端查询指定DNS服务器上的资源记录（如A记录），另一种是指查询FQDN名的解析过程。
一、查询DNS服务器上的资源记录
您可以在Windows平台下，使用命令行工具，输入nslookup，返回的结果包括域名对应的IP地址（A记录）、别名（CNAME记录）等。
除了以上方法外，还可以通过一些DNS查询站点如国外的国内的查询域名的DNS信息。
二、FQDN名的解析过程查询
若想跟踪一个FQDN名的解析过程，在LinuxShell下输入digwww+trace，返回的结果包括从跟域开始的递归或迭代过程，一直到权威域名服务器。
2.4DNS的报文格式
DNS报文的首部：
DNS报文首部的后面是可变部分，包括四个小部分。
问题部分由一组问题记录组成。
DNS报文的其余三个部分是回答部分、授权部分和附加信息部分，附加信息包含回答部分和授权部分返回的资源所要求的附加信息（如IP地址）。
这三部分均由一组资源记录组成，而且仅在应答报文中出现。
一条资源记录描述一个域名。
三、结合具体抓包实例进行的分析
3.1协议数据包窗口
从包到达的时间，顺序以及源和目的IP地址可知，这是一对DNS请求与应答报文。
下图为1号包与2号包中DNS段的报文分析注释，由此可证明，包1为DNS请求报文，包2为包1的应答报文，请求与应答报文的到达间隔时间为0.000349s，它们的标识字段都为0x001，用于相互匹配。
因为DNS请求报文的目的是请求DNSServer的IP地址，故包1的源IP地址为本机IP，目的IP地址为DNS服务器的IP，包2与包1相反。
3.2协议树窗口
DNS请求报文：
DNS应答报文：
可以看出，DNS请求报文与应答报文链路层的MAC地址相反，请求报文中的源物理地址为本机的物理地址，这与IP地址相对应。
此外，DNS请求报文与应答报文传输层中UDP的源端口与目的端口相反，其中请求报文UDP的源端口为客户机动态申请的本地端口，目的端口为DNS所固有的53号周知端口。
这两点都体现了DNS请求报文与应答报文间的请求-应答关系。
DNS请求报文与应答报文协议树窗口显示的协议层次与网络协议的层次对应相同，如下表：
树节点名称
对应的协议层次
说明
Frame
物理层
EthernetII
数据链路层
以太网协议
InternetProtocol
网络层
IP协议
UserDatagramProtocol
传输层
UDP协议
DomainNameSystem
应用层
DNS域名系统
3.3物理层节点
DNS请求报文：
DNS应答报文：
以上两张图分别给出了DNS请求报文与应答报文的时间参数、包号、长度与协议层次，在此不一一细说。
但是，我们可以很清楚的看出，DNS请求报文的长度为72字节，而应答报文的长度为123字节，比请求报文长得多。
这是由于在DNS应答报文中，具有请求报文所没有的回答部分、授权部分与附加部分，在下面的应答报文分析中会具体说明。
3.4数据链路层节点
DNS请求报文：
DNS应答报文：
由上图可以更明显的看出，DNS请求与应答报文的源与目的MAC地址的相反现象。
此外，DNS请求与应答报文以太网协议中的类型均为IP，即在DNS协议层次中网络层协议为IP，这体现了DNS作为TCP/IP协议簇中协议的特点。
3.5IP节点
DNS请求报文：
DNS应答报文：
DNS请求与应答报文IP层相同点：
版本号：
IPv4
首部长度：
20字节，没有其他选项
服务类型：
最低优先级的一般服务
片偏移：
0，无分片
协议标识：
UDP（0x11H）
DNS请求与应答报文IP层不同点：
数据报长度：
上文已有分析。
标识不同，因为请求与应答为两个不同的报文，信源机给予的用于区分分片的标识不同。
生存时间不同，请求报文为64，应答报文为60。
校验和不同，DNS请求与应答报文IP层首部不同，故校验和不同。
源与目的IP地址不同，原因在前面的分析中已经说明。
3.6UDP节点
DNS请求报文：
DNS应答报文：
DNS请求与应答报文的源与目的端口相反，原因在前面的分析中已经说明。
请求报文UDP长度为53字节，应答报文UDP长度为89字节。
3.7DNS节点
3.7.1DNS请求报文
首部：
标识字段：
0x0001，用于匹配请求与响应
标志字段：
0x0100H
QR：
0，为请求报文
OpCode：
0000（0），标准查询（正向解析）
AA：
0，此字段只在服务器的响应中有效，在上图中不显示
TC：
0，报文没有被截断
RD：
1，请求服务器进行递归解析
RA：
0，此字段只在服务器的响应中有效，在上图中不显示
3比特保留位：
000
rCode：
0000，没有错误
问题记录数：
1
回答记录数：
0（DNS请求报文此字段为0）
授权记录数：
0（DNS请求报文此字段为0）
附加信息记录数：
0（DNS请求报文此字段为0）
问题部分：
询问类型：
PTR，数值为1，反向解析。
询问类：
IN，数值为1，表示因特网协议。
3.7.2DNS应答报文
首部：
标识字段：
0x0001，用于匹配请求与响应，此处与DNS请求报文相匹配。
标志字段：
0x8180H
QR：
1，为应答报文
OpCode：
0000（0），标准查询（正向解析）（与请求报文相同）
AA：
0，回答的服务器是该域的授权服务器
TC：
0，报文没有被截断
RD：
1，请求服务器进行递归解析（与请求报文相同）
RA：
1，服务器支持递归解析（回应RD）
3比特保留位：
000
rCode：
0000，没有错误
问题记录数：
1
回答记录数：
1
授权记录数：
1
附加信息记录数：
0
问题部分：
与请求报文相同，即作为DNS请求报文的回答，DNS应答报文的问题部分就是请求报文的问题部分的拷贝。
回答部分：
域名：
0xC00CH，为指向问题部分询问名的指针，具体地址为00000000001100（二进制地址）
类型：
PTR，数值为1，指针记录，IP到域名的解析。
类：
IN，数值为1，表示因特网协议。
生存时间：
1day
资源数据长度：
10字节
资源数据：
dnscache（DNS缓存服务器）
授权部分：
四、体会与小结
经过本次对DNS域名系统的抓包实验的分析，我们加深了对DNS域名系统的理解和掌握。
首先从DNS的含义上，DNS是由解析器和域名服务器组成的，其中，域名服务器是指保存有该网络中所有主机的域名和对应IP地址，并具有将域名转换为IP地址功能的服务器。
它主要有主服务器和转发服务器两种形式。
在理解了DNS的含义后，我又对其具体构成进行了深入的掌握和理解。
本次实验，也让我对DNS的理解达到了理论与实际相结合的程度。
另外，我们也通过实验初步掌握了软件Wireshark的使用，也让我们感受到了亲自动手进行实验的乐趣.
升级会员 