DNS协议 报文格式

dingwanz

DNS报文格式： 该报文由12字节的首部和4个长度可变的字段组成。 标识字段由客户程序设置并有服务器返回结果。 16bit的标志字段 如下： QR：0表示查询报文，1表示响应报文 Opcode：通常值为0（标准查询），其他值为1（反向查询）和2（服务器状态请求）。 AA：表示授权回答（authoritative answer）. TC：表示可截断的（truncated） RD：表示期望递归 RA：表示可用递归 随后3bit必须为0 Rcode：返回码，通常为0（没有差错）和3（名字差错） 后面4个16bit字段说明最后4个变长字段中包含的条目数。 问题部分： 报文格式： 查询名为要查找的名字，它由一个或者多个标示符序列组成。每个标示符已首字节数的计数值来说明该标示符长度，每个名字以0结束。计数字节数必须是0~63之间。该字段无需填充字节。如：gemini.tuc.noao.edu 每个问题有一个查询类型，通常查询类型为A（由名字获得IP地址）或者PTR（获得IP地址对应的域名） 资源记录部分： 报文格式： DNS最后3个字段，回答字段，授权字段和附加信息字段均采用资源记录RR（Resource Record）的相同格式。 域名是记录中资源数据对应的名字。它的格式和查询名字段格式相同。 类型说明R R的类型码。类通常为1，指I n t e r n e t数据。 生存时间字段是客户程序保留该资源记录的秒数。 资源数据长度说明资源数据的数量。该数据的格式依赖于类型字段的值。对于类型1（A记录）资源数据是4字节的I P地址。 数据包DNS 查询：(DNS query) 0000  00 19 56 6e 19 bf 00 17  a4 1a b2 e0 08 004500   ..Vn.... ......E. 0010  00 3b ed c6 00 00 80 11  e3 c3 ac 15 0f 04 ac 15   .;...... ........ 0020  01 f904 a9 00 35 00 27  2f bd 3e 3a 01 00 00 01   .....5.' /.>:.... 0030  00 00 00 00 00 00 03 77  77 77 06 67 6f 6f 67 6c   .......w ww.googl 0040  65 02 63 6e 00 00 01 00  01                        e.cn.... .       说明： 前面三段分别为以太网包头，ip包头和UDP包头。 从0020行后面开始为DNS数据包. 3e 3a  为标识字段 01 00 为标志字段，该字段设置了TC表示该报文是可截断的。 00 01  查询报文数量为1。 00 00 00 00 00 00 表示回答，授权和额外信息都为0。 03 77  77 77 06 67 6f 6f 67 6c 65 02 63 6e 00 表示查询的名字为www.google.com 00 01 为类型，1表示A查询 00 01 为类，1表示Internet数据。 数据包 DNS response (DNS response) 0000  00 17 a4 1a b2 e0 00 19  56 6e 19 bf 08 004500   ........ Vn....E. 0010  00 78 48 af 00 00 7d 11  8b 9e ac 15 01 f9 ac 15   .xH...}. ........ 0020  0f 0400 35 04 a9 00 64  75 db 3e 3a 81 80 00 01   ...5...d u.>:.... 0030  00 03 00 00 00 00 03 77  77 77 06 67 6f 6f 67 6c   .......w ww.googl 0040  65 02 63 6e 00 00 01 00  01 c0 0c 00 05 00 01 00   e.cn.... ........ 0050  00 05 42 00 11 02 63 6e  01 6c 06 67 6f 6f 67 6c   ..B...cn .l.googl 0060  65 03 63 6f 6d 00 c0 2b  00 01 00 01 00 00 00 5f   e.com..+ ......._ 0070  00 04 cb d0 21 65 c0 2b  00 01 00 01 00 00 00 5f   ....!e.+ ......._ 0080  00 04 cb d0 21 64                                  ....!d            说明： 前面三段分别为以太网包头，ip包头和UDP包头。 3e 3a  为标识字段 81 80  为标志字段,其中设置了QR = 1，RD = 1，RA = 1 00 01  问题数1，00 03  回答数3，其余两个为0。 03 77  77 77 06 67 6f 6f 67 6c 65 02 63 6e 00 表示查询的名字为www.google.com 00 01 为类型，1表示A查询 00 01 为类，1表示Internet数据。 接下来为回答报文, c0 0c 为域名指针 00 05  表示CNAME（规范名称） 00 01  类，表示为Internet数据 00 00 05 42  生存时间 00 11  数据长度 02 63 6e  01 6c 06 67 6f 6f 67 6c 65 03 63 6f 6d 00 为数据 cn.l.google.cn 然后接下来两段为另外两个回答。 最后的数据为IP地址。 本贴转于http://blogold.chinaunix.net/u/19573/showart_2076591.html 因为想了解DNS数据包分析，但是在本论坛找不到，于是在网上找到这个便于学习阅读方便，如果本坛有高手再写个这样更好更详细的教程，更方便大家学习。O(∩_∩)O谢谢

light_smile

谢谢。。。