《DNS抓包分析详细教程》可供会员共享，在线阅读。 更多相关《DNS抓包分析详细教程(16页珍藏版)》请在人人文库网搜索。
1、DNS域名系统数据包分析目录1、实验目的32、相关原理. 32.1 DNS定义32.2 DNS配置32.3 DNS查询32.4 DNS消息格式43、 结合具体分组实例的分析53.1协议分组窗口53.2协议树窗口53.3物理层节点63.4数据链路层节点73.5 IP节点73.6 UDP节点83.7DNS节点93.7.1DNS请求消息93 四、体会与小结11一、实验目的是通过网络分组实验，深入了解TCP/IP协议群集中二、相关原理2.1 DNS定义DNS为域名系统(Domain Name )。
2、系统)、解析器和域名服务器组成。 域名服务器是具有存储该网络中所有主机的域名和对应IP地址并将域名转换为IP地址的功能的服务器。 域名必须与IP地址相对应，并且IP地址不一定有域名。 域名系统采用了类似目录树的层次结构。 域名服务是客户端/服务模式的服务端，主要有主服务和传输服务两种形式。 将域名映射到IP地址的过程称为域名解析。 在互联网上，域名和IP地址之间是一对一(或多对一)的。 域名方便人记忆，但机器之间只能互相识别IP地址。 它们之间的转换工作称为域名解析。 域名解析需要由专用的域名解析服务器进行，DNS是进行域名解析的服务器。 D。
3、NS命名用于互联网等TCP/IP网络，使用方便的名称查找计算机和服务。 当用户在APP应用程序中键入DNS名称时，DNS服务可以将该名称解析为相关信息，如IP地址。 这是因为，连接到互联网时输入的网址可以通过域名解析系统解析以找到对应的IP地址，然后连接到互联网。 其实，域名的最终指向是IP。 2.2 DNS的结构是，在IPV4中，IP由32位的二进制数构成，将该32位的二进制数分为4组，将8个二进制数的每组转换为10进制数，是我们看到的IP地址，其范围为0255 因为八个二进制数转换为十进制数的最大范围是0255。 现在开始试运行，将来会代替IPv4吧。
4、IPV6中，一个IP地址用128位的二进制表示。 2.3 DNS查询DNS查询有两种解释。 一个解析过程是客户端查询在指定的DNS服务器上查询资源记录(例如a记录)，另一个解析过程是查询FQDN名称。 一.查看DNS服务器上的资源记录。 在Windows平台下，可以使用命令行工具输入nslookup返回域名对应的IP地址(a记录)、别名(CNAME记录)等结果。 除了上述方法以外，还可以在几个DNS上查询网站，例如查询海外国内域名的DNS信息。 二、FQDN名称解析过程查询跟踪FQDN名称解析过程时，在Linux shell下输入dig，返回的结果包括与域的递归或迭代过程，到达权威域。
5、名服务器。 2.4 DNS消息格式DNS消息开头： DNS消息开头后面是可变部分，包含四个小部分。 问题部分由一系列问题记录组成。 DNS消息的其馀三部分是答复部分、批准部分和附加信息部分，其中包含答复部分和批准部分返回的资源所需的附加信息(例如IP地址)。 这三个部分都由一系列资源记录组成，仅出现在响应消息中。 资源记录中描述了域名。 三.从结合具体分组实例分析的3.1协议分组窗口中分组到达的时间、顺序和源IP地址可以看出，这是一对DNS请求和响应消息。 下图是第一个分组和第二个分组中DNS段的消息分析注释，可以证明分组1是DNS请求消息，分组2是分组1的响应消息，以及请求和响应消息的到达间隔时间为0。
6、 000349s，这些标识字段均为0x001，用于相互匹配。 因为DNS请求消息的目的是请求DNS服务器的IP地址，所以分组1的源IP地址是本地IP地址，目的地IP地址是DNS服务器的IP地址，分组2与分组1的IP地址相反。 3.2协议树窗口DNS请求消息： DNS响应消息： DNS请求消息与响应消息链路层的MAC地址相反，请求消息中的源物理地址是其自身的物理地址，这对应于IP地址另外，DNS请求消息和响应消息传输层UDP的源端口与目的地端口相反，其中请求消息UDP的源端口是客户端动态申请的本地端口，目的地端口是DNS固有的53号ddy端口这两点表示DNS的请求信息和响应信息之间的请求-响应关系。 DNS要求报纸。
7、语句和响应消息协议树窗口中显示的协议层次与网络协议层次相同，下表：树节点名称对应的协议层次为、 帧物理层以太网ii数据链路层以太网ii数据链路层以太网协议网络层IP协议用户数据协议传输层UDP协议域名系统APP序列3.3物理层节点DNS请求消息： DNS响应消息：显然，上面的两幅图分别表示DNS请求消息的长度为72字节，而响应消息的长度为123字节，远远长于请求消息。 这是因为DNS响应消息具有专用性。
8、有请求消息中没有的答复部分、批准部分和追加部分。 在以下响应消息分析中具体说明。 3.4数据链路
层节点DNS请求报文：DNS应答报文：由上图可以更明显的看出，DNS请求与应答报文的源与目的MAC地址的相反现象。此外，DNS请求与应答报文以太网协议中的类型均为IP，即在DNS协议层次中网络层协议为IP，这体现了DNS作为TCP/IP协议簇中协议的特点。3.5 IP节点DNS请求报文：DNS应答报文：DNS请求与应答报文IP层相同点：版本号：IPv4首部长度：20字节，没有其他选项服务类型：最低优先级的一般服务片偏移：0，无分片协议标识：UDP(0x11H)DNS请求与应答报文IP层不同点：数据报。9、长度：上文已有分析。标识不同，因为请求与应答为两个不同的报文，信源机给予的用于区分分片的标识不同。生存时间不同，请求报文为64，应答报文为60。校验和不同，DNS请求与应答报文IP层首部不同，故校验和不同。源与目的IP地址不同，原因在前面的分析中已经说明。3.6 UDP节点DNS请求报文：DNS应答报文：DNS请求与应答报文的源与目的端口相反，原因在前面的分析中已经说明。请求报文UDP长度为53字节，应答报文UDP长度为89字节。3.7DNS节点3.7.1DNS请求报文首部：标识字段：0x0001，用于匹配请求与响应标志字段：0x0100HQR：0，为请求报文OpCode：0000(0)，标准。
10、查询(正向解析)AA：0，此字段只在服务器的响应中有效，在上图中不显示TC：0，报文没有被截断RD：1，请求服务器进行递归解析RA：0，此字段只在服务器的响应中有效，在上图中不显示3比特保留位：000rCode：0000，没有错误问题记录数：1回答记录数：0(DNS请求报文此字段为0)授权记录数：0(DNS请求报文此字段为0)附加信息记录数：0(DNS请求报文此字段为0)问题部分：询问类型：PTR，数值为1，反向解析。询问类：IN，数值为1，表示因特网协议。3.7.2DNS应答报文首部：标识字段：0x0001，用于匹配请求与响应，此处与DNS请求报文相匹配。标志字段：0x8180HQR：1，为。
11、应答报文OpCode：0000(0)，标准查询(正向解析)(与请求报文相同)AA：0，回答的服务器是该域的授权服务器TC：0，报文没有被截断RD：1，请求服务器进行递归解析(与请求报文相同)RA：1，服务器支持递归解析(回应RD)3比特保留位：000rCode：0000，没有错误问题记录数：1回答记录数：1授权记录数：1附加信息记录数：0问题部分：与请求报文相同，即作为DNS请求报文的回答，DNS应答报文的问题部分就是请求报文的问题部分的拷贝。回答部分：域名：0xC00CH，为指向问题部分询问名的指针，具体地址为100(二进制地址)类型：PTR，数值为1，指针记录，IP到域名的解析。类：IN，。
12、数值为1，表示因特网协议。生存时间：1day 资源数据长度：10字节资源数据：dnscache(DNS缓存服务器)授权部分：四、体会与小结经过本次对DNS域名系统的抓包实验的分析，我们加深了对DNS域名系统的理解和掌握。首先从DNS的含义上，DNS是由解析器和域名服务器组成的，其中，域名服务器是指保存有该网络中所有主机的域名和对应IP地址，并具有将域名转换为IP地址功能的服务器。它主要有主服务器和转发服务器两种形式。在理解了DNS的含义后，我又对其具体构成进行了深入的掌握和理解。本次实验，也让我对DNS的理解达到了理论与实际相结合的程度。另外，我们也通过实验初步掌握了软件Wireshark的使用，也让我们感受到了亲自动手进行实验的乐趣.16 / 16文档可自由编辑。