DNS协议分析实验.doc

DNS协议分析实验 实验目的 1.学会客户端使用nslookup命令进行域名解析。 通过协议分析软件掌握DNS协议的报文格式。 以下会详细介绍个字段： 1. 标识 标识字段由客户程序设置并有服务器返回结果，16位，在对应的query和response报文中有着相同的ID，可以在抓到的包中配对请求和应答报文，提取相关信息，同时也可以根据他们的时间戳大致估计DNS的相应时间。 2. 标志 标志字段长16bit，结构如图2所示： QR 1 Opcode AA 1 TC 1 RD 1 RA 1 Zero 3 Rcode 4 QR：1bits字段，0表示查询报文，1表示响应报文 Opcode：4bits字段，通常值为0（标准查询），其他值为1（反向查询）和2（服务器状态请求） AA：1bits标志表示授权回答（authoritive answer）,该名字服务器是授权于该领域的 TC：1bits字段，表示可截（truncated），使用UDP时，它表示当应答的总长度超过512字节时，只返回前512个字节 RD：1bits字段，表示期望递归，该比特能在一个查询中设置，并在一个响应中返回，这个标志告诉名字服务器必须处理这个查询，也称为一个递归查询，如果该位为0，且被请求的名字服务器没有一个授权回答，它就返回一个能解答该查询的其他名字服务器列表，这称为迭代查询（期望递归） RA：1bits字段，表示可用递归，如果名字服务器支持递归查询，则在响应中将该bit置为1（可用递归） zero：必须为0 rcode：是一个4bit的返回码字段，通常值为0（没有差错）和3（名字差错），名字差错只有从一个授权名字服务器上返回，它表示在查询中指定的域名不存在 随后的4个bit字段说明最后4个变长字段中包含的条目数，对于查询报文，问题数通常是1，其他三项为0，类似的，对于应答报文，回答数至少是1，剩余两项可以使0或非0 5. DNS查询报文中每个查询问题的格式 0 16 31查询名 查询类型 查询类 查询名：要查找的名字 查询类：通常值为1，表示是互联网的地址，也就是IP协议族的地址 查询类型：有很多种查询类型，一般最常用的查询类型是A类型（表示查找域名对应的IP地址）和PTR类型（表示查找IP地址对应的域名） 查询名为要查找的名字，它由一个或者多个标示符序列组成，每个标示符已首字符字节数的计数值来说明该表示符长度，每个名字以0结束，计数字节数必须是0~63之间，该字段无需填充字节，如： 6. DNS响应报文中的资源记录格式： 域名：记录中资源数据对应的名字，它的格式和查询名字段格式相同 类型：类型说明RR的类型码，类通常为1，指Internet数据 生存时间：客户程序保存该资源记录的秒数 资源数据长度：说明后面资源数据的数量，该数据的格式依赖于类型字段的值，对于类1（A记录）记录数据室4字节的IP地址 资源数据：服务器端返回给客户端的记录数据 Nslookup是一个监测网络中DNS服务器是否能够正确实现域名解析的命令行工具。它在Windows NT/2000/XP中均可使用。本实验通过nslookup检测服务器的配置，并利用协议分析Wireshark捕获分析nslookup命令产生的DNS数据包。 Nslookup查询命令格式为nslookup域名，主要做两个操作，一个是根据本地DNS服务器的IP地址获得本地DNS服务器的名字，二是根据输入查询的域名查找该域名的IP 打开Wireshark，选择工具栏上的“Capture”-“”，如图： 2、然后在Wireshark，选择工具栏上的“Capture”-“”选择过滤器，并在capture filter中输入 udp port 53(表示要抓dns的包)，如图 3.打开命令提示符，键入CMD后，输入nslookup . 分析： 由此可知，本地域名服务器是 Ip地址是9 无别名 的ip地址有6个 分析抓到的DNS的包 第一帧 是发送给本地DNS服务器2的反向查询取得报文，用于获得本地DNS服务器的名字。具体协议说明如下：问题的个数：1 回答RR个数：0 权威域名RR数：0 附加RR数：0Type 为ptr表示是正向查询 第二帧 存活时间是16小时22分41秒 告诉查询结果是 第三帧 分析 00（客户端）发给的请求报文：问域名为的ipv4地址 第四帧 告诉00（客户端）无权威域名服务器 她对应的ipv4地址有六个