DNS报文研究 通过抓包分析dig +trace跟踪全过程.docx

《DNS报文研究 通过抓包分析dig +trace跟踪全过程.docx》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、从digwww.jszhdc.cn+trace@221.131.143.69　抓包分析dig的报文作者wujunfengDNS报文大小分析在UDP数据报中的用户数据长度显示为37字节：12字节为固定长度的报文首部，21字节为查询名字，以及用于查询类型和查询类的4个字节。在DNS报文中无需填充数据。查询结果中的UDP数据长度：69字节。为说明这些字节需要知道以下两点：1)在返回的结果中包含查询问题。2)在返回的结果中会有许多重复的域名，因此使用压缩方式。在这个例子中，域名gemini.tuc.noao.edu出现了三次。压缩方法

2、：当一个域名中的标识符是压缩的，它的单计数字节（范围由0～63）中的最高两位将被设置为11。这表示它是一个16bit指针而不再是8bit的计数字节。指针中的剩下14bit说明在该DNS报文中标识符所在的位置（起始位置由标识字段的第一字节起算）。只要一个标识符是压缩的，就可以使用这种指针，而不一定非要一个完整的域名压缩时才能使用。因为一个指针可能指向一个完整的域名，也可能只指向域名的结尾部分（这是因为给定域名的结尾标识符是相同的）。显示了在问题部分的域名中各标识符的计数字节。在这个例子中，每个回答中的指针值为12，表示从DNS首

3、部开始的偏移量。====================================================C:Userswjf>digwww.jszhdc.cn+trace@221.131.143.69;<<>>DiG9.3.2<<>>www.jszhdc.cn+trace@221.131.143.69;(1serverfound);;globaloptions:printcmd.498578INNSb.root-servers.net..498578INNSm.root-servers.net..49857

4、8INNSf.root-servers.net..498578INNSl.root-servers.net..498578INNSd.root-servers.net..498578INNSk.root-servers.net..498578INNSe.root-servers.net..498578INNSh.root-servers.net..498578INNSc.root-servers.net..498578INNSg.root-servers.net..498578INNSi.root-servers.net..4

5、98578INNSa.root-servers.net..498578INNSj.root-servers.net..514216INRRSIGNS8051840020140713000000201407052300008230.jgMKRM9a9AWVdIMwO7RR0qmXT++dGgvIv9lDt0bFEAMsM6tzSyHpwv80QyQO5141EwQxPSjsuQ+P6e3XcozCLxx/kZP2M4iQ9LsaZlWKoYfAqQshVmdorU8ZRANfOS9167vgW8K7eCkKaF82SC0LAwM

6、0vpVmuE0yzPvj715rzqU=;;Received913bytesfrom221.131.143.69#53(221.131.143.69)in70mscn.172800INNSe.dns.cn.cn.172800INNSa.dns.cn.cn.172800INNSc.dns.cn.cn.172800INNSd.dns.cn.cn.172800INNSb.dns.cn.cn.172800INNSns.cernet.net.;;Received294bytesfrom192.228.79.201#53(b.root-

7、servers.net)in230msjszhdc.cn.86400INNSdns2.jiangsumobile.com.jszhdc.cn.86400INNSdns1.jiangsumobile.com.;;Received86bytesfrom203.119.29.1#53(e.dns.cn)in240mswww.jszhdc.cn.43200INA221.178.251.141jszhdc.cn.43200INNSdns1.jiangsumobile.com.jszhdc.cn.43200INNSdns2.jiangsu

8、mobile.com.;;Received134bytesfrom211.103.13.101#53(dns2.jiangsumobile.com)in130ms经过分析发现，dig+trace，是客户端直接与各个DNS进行报文交互的（并不是通过221.131.143.69与