Wireshark分析DNS 协议

    本文简单介绍了DNS协议理论知识，给出URL解析步骤，详细讲述了DNS报文各个字段含义，并从Wireshark俘获分组中选取DNS相关报文进行分析。

一、概述

1.1 DNS

    识别主机有两种方式：主机名、IP地址。前者便于记忆(如www.yahoo.com)，但路由器很难处理(主机名长度不定)；后者定长、有层次结构，便于路由器处理，但难以记忆。折中的办法就是建立IP地址与主机名间的映射，这就是域名系统DNS做的工作。DNS通常由其他应用层协议使用(如HTTP、SMTP、FTP)，将主机名解析为IP地址，其运行在UDP之上，使用53号端口。

    注：DNS除了提供主机名到IP地址转换外，还提供如下服务：主机别名、邮件服务器别名、负载分配。

1.2 HTTP使用DNS情形

    考虑这样的操作，在浏览器输入http://www.baidu.com/index.html并回车，首先需要将URL(存放对象的服务器主机名和对象的路径名)解析成IP地址，具体步骤为：

(1)同一台用户主机上运行着DNS应用的客户机端(如浏览器)

(2)从上述URL抽取主机名www.baidu.com，传给DNS应用的客户机端(浏览器)

(3)该DNS客户机向DNS服务器发送一个包含主机名的请求(DNS查询报文)

(4)该DNS客户机收到一份回答报文(即DNS回答报文)，该报文包含该主机名对应的IP地址119.75.218.70

(5)浏览器由该IP地址定位的HTTP服务器发送一个TCP链接

用Wireshark捕获的DNS报文如下图，显然第一行是DNS查询报文，第二行是DNS回答报文。

图1 Wireshark捕获的DNS报文

二、DNS报文

2.1 DNS报文格式

DNS只有两种报文：查询报文、回答报文，两者有着相同格式，如下：

图2 DNS报文格式

2.1.1 首部区域

标识数

    对该查询进行标识，该标识会被复制到对应的回答报文中，客户机用它来匹配发送的请求与接收到的回答。

标志[1]

图3 DNS报文首部区域的标志

QR(1比特)：查询/响应的标志位，1为响应，0为查询。

opcode(4比特)：定义查询或响应的类型(若为0则表示是标准的，若为1则是反向的，若为2则是服务器状态请求)。

AA(1比特)：授权回答的标志位。该位在响应报文中有效，1表示名字服务器是权限服务器(关于权限服务器以后再讨论)

TC(1比特)：截断标志位。1表示响应已超过512字节并已被截断(依稀好像记得哪里提过这个截断和UDP有关，先记着)

RD(1比特)：该位为1表示客户端希望得到递归回答(递归以后再讨论)

RA(1比特)：只能在响应报文中置为1，表示可以得到递归响应。

zero(3比特)：不说也知道都是0了，保留字段。

rcode(4比特)：返回码，表示响应的差错状态，通常为0和3，各取值含义如下：

0 无差错

1 格式差错

2 问题在域名服务器上

3 域参照问题

4 查询类型不支持

5 在管理上被禁止

6 — 15 保留

问题数、回答RR数、权威RR数、附加RR数

    这四个字段都是两字节，分别对应下面的查询问题、回答、授权和附加信息部分的数量。一般问题数都为1，DNS查询报文中，资源记录数、授权资源记录数和附加资源记录数都为0[1]。

2.1.2 区域

(1)问题区域

    包含正在进行的查询信息。包含查询名(被查询主机名字的名字字段)、查询类型、查询类。

图4 DNS报文的问题区域

查询名

    查询名部分长度不定，一般为要查询的域名(也会有IP的时候，即反向查询)。此部分由一个或者多个标示符序列组成，每个标示符以首字节数的计数值来说明该标示符长度，每个名字以0结束。计数字节数必须是0~63之间。该字段无需填充字节。还是借个例子来说明更直观些，查询名为gemini.tuc.noao.edu的话，查询名字段如下[1]：

图5 DNS报文问题区别的查询名

查询类型

    通常查询类型为A(由名字获得IP地址)或者PTR(获得IP地址对应的域名)，类型列表如下：

表1 DNS报文查询类型

    NS记录指定了名字服务器。一般情况，每个DNS数据库中，针对每个顶级域都会有一条NS记录，这样一来，电子邮件就可以被发送到域名树中远处的部分。

查询类

    通常为1，指Internet数据。

(2)回答、权威、附加区域

    回答区域包含了最初请求名字的资源记录，一个回答报文的回答区域可以包含多条资料记录RR(因为一个主机名可以对应多个IP地址，冗余Web服务器)。权威区域包含了其他权威DNS服务器的记录。附加区域包含其他一些”有帮助”的记录，例如，对于一个MX(邮件交换)请求的回答报文中，回答区域包含一条资料记录(该记录提供邮件服务器的规范主机名)，附加区域可以包含一条类型A记录(该记录提供了该邮件服务器的规范主机名的IP地址)。

    每条资料记录是一个五元组，如下：

(域名，生存期，类别，类型，值)

直接表示如下[1]：

图6 DNS报文的资源记录

域名(2字节或不定长)

    记录中资源数据对应的名字，它的格式和查询名字段格式相同。当报文中域名重复出现时，就需要使用2字节的偏移指针来替换。例如，在资源记录中，域名通常是查询问题部分的域名的重复，就需要用指针指向查询问题部分的域名。关于指针怎么用，TCP/IP详解里面有，即2字节的指针，最前面的两个高位是11，用于识别指针。其他14位从报文开始处计数(从0开始)，指出该报文中的相应字节数。注意，DNS报文的第一个字节是字节0，第二个报文是字节1。一般响应报文中，资源部分的域名都是指针C00C(1100000000001100，12正好是首部区域的长度)，刚好指向请求部分的域名[1]。

类型(记录的类型，见表1)

    A记录，Name是主机名，Value是该主机名的IP地址，因此，一条类型为A的资源记录提供了标准的主机名到IP地址的映射。

    NS记录，Name是域(如foo.com)，Value是知道如何获得该域中主机IP地址的权威DNS服务器的主机名(如dns.foo.com)，这个记录常用于沿着查询链进一步路由DNS查询。

    CNAME记录，Name是主机别名，Value是主机别名对应的规范主机名，该记录能够向请求主机提供一个主机名对应的规范主机名。

    MX记录，Name是邮件服务器别名，Value是邮件服务器别名的规范主机名。通过MX记录，一个公司的邮件服务器和其他服务器可以使用相同的别名。

    注：有着复杂主机名的主机能拥有多个别名，前者称为规范主机名，后者称为主机别名(便于记忆)。

类

    对于Internet信息，它总是IN。

生存时间

    用于指示该记录的稳定程度，极为稳定的信息会被分配一个很大的值(如86400，一天的秒数)。该字段表示资源记录的生命周期(以秒为单位)，一般用于当地址解析程序取出资源记录后决定保存及使用缓存数据的时间[1]。

资源数据长度(2字节)

    表示资源数据的长度(以字节为单位，如果资源数据为IP则为0004)。

资源数据

    该字段是可变长字段，表示按查询段要求返回的相关资源记录的数据。

2.2 DNS查询报文实例

以www.baidu.com为例，用Wireshark俘获分组，结合2.1的理论内容，很容易看明白的，DNS请求报文如下：

图7 DNS请求报文示例

2.3 DNS回答报文实例

图8 DNS回答报文示例