DNS message解析

案例吐个槽,命苦啊,要自己动手解包。

另外,这里的内容是半路找来的,如果有冲突,自行翻阅rfc1035。我还没校正过。

 

The Structure

如下图:

所有的DNS message都包含了下面这几个部分:

1、HEADER。基本上HEADER都是些概述啥的。

2、QUESTION。描述你的请求,比如,www.qkdemo.com的IP是多少。

3、Answer。描述你的应答,比如,www.qkdemo.com的IP是1.2.3.4。

4、不知道干吗的。

5、继续不知道。

 

DNS HEADER部分

首先,需要明确一下DNS的message的结构:

如上图所示,不管是DNS的query还是response,DNS message都分为这么几个部分:

1、上图每行表示一个16bit的数,也就是两个byte。

2、ID是这个message的编号,response会把query的id给copy过来,好让请求的program识别response是哪一个。一个16bit的随机数。

3、ID之后的flag是一个组合的双字节,包括了:

  • QA.1:message的类型,0是query,1是response
  • Opcode.4:query的类型。0000表示是一个标准的query。
  • AA.1:没看懂是干嘛的,但是貌似对我没用。设0是没问题的。
  • TC.1:继续设0。
  • RD.1:Recursion Desired,query是否请求递归,1表示请求,0则不需要。继续设0是可以的,bonjour里面是这么干的。
  • RA.1:Recursion Available,递归是否可用。和上面这个是有关系的,但是是response里面带来的。
  • Z.3:保留字段。所有的保留字段都是渣。不过,反正不是标准请求的,你可以自己爱怎么玩怎么玩。
  • RCODE.4:这个是response必须要要带的一部分。0表示没有错误,1表示query格式错了,2表示server自己出问题了,3表示name没找到,4表示query的类型server没法处理,5表示拒绝进行解析。
  • 所以,我的心得是,对于一个标准的query,设0x0000就好了;对于一个标准的response,设0x8000也没问题。

4、我带了几个请求。设成1表示只有一个。恩,我们就设1就好了。

5、我带了几个answer。0表示我带了0个解答。

6、服务器上有几条记录?我没搞懂。但是,可以忽略这个字段的值。

7、有几条额外的记录?继续搞不懂。好吧,继续忽略。

 

Question描述域

Question分为三个部分,如图:


具体讲来:

1、QNAME:这里是要请求的域名的描述。以上面www.qkdemo.com为例,描述为3www6qkdemo3com00;如果是qkdemo.local,则为6qkdemo5local00。

2、QTYPE:请求的类型。A记录是0x0001。Bonjour里面query的类型是0x00ff,wireshark解释是any。

3、QCLASS:请求的类。Bonjour里面用的0x8001,而且wireshark是分成两部分来解读的,大概是1+7,前面是query,后面是class。0x0001表示internet address。

 

Answer域

Answer域稍微复杂一点,有6个域:

1、NAME,和上面QNAME的描述方式是一样的。

2、TYPE,和上面QTYPE含义是一样的。局域网里胡乱收来的一个包把这个域设为0x00,不知道搞飞机。

3、同QCLASS。

4、TTL,这个结果灰白cache多久。

5、下面的RDATA有多长。

6、这个域的描述方法根据class不同。比如,如果class是一个A记录,表示地址,那么它就是一个IP地址;如果是0x000f,表示是一个邮件服务器,那么,它包含了preference和cname两个部分。

 

DNS message的压缩

作为互联网使用最频繁的机制之一,所占我们网络日常开销的比重是相当相当大滴!所以,需要考虑怎么来减小message的大小。这里的压缩主要是减少重复信息。

使用压缩的主要有三种内容:QNAME,NAME,RDATA。

压缩的方式也很简单:保存一个指针,指向这一数据第一次出现的地址。比如,假设我们某query携带三个Question,而有两个Question的QNAME是一样的,那么第二个QNAME的位置,就会放着一个指向第一个QNAME的指针。

该指针占了16bit的空间,而且,前两个bit必须是11。因为域名的每个部分必须在63 Byte以内,所以,域名每个部分长度(label,www.qkdemo.com有三个部分,就有三个label)写作0x0000格式时,它的最高两位不会是11,这样,pointer和label就被区别开来。至于offset,offset为零,代表了header中ID部分的第一个Byte,后面的一次计算。

另外需要注意的是,如果我们在RDATA中使用了压缩,那么,我们在计算RDATA长度时,使用的将是2,即一个Pointer的长度,而不是域名本来的长度。

举例,我们先假设忽略message里面的其它域,假设我们先后使用了F.ISI.ARPA,FOO.F.ISI.ARPA和ARPA三个域名,那么,我们可以将message压缩:

如上,F.ISI.ARPA是从20位置开始,那么FOO.F.ISI.ARPA就可以表示为3F 00 E0(E0是0b1110 0000),而ARPA则可以表示为E6。需要注意的是,一个比较容易忽视的问题,offset是从0开始的,所以清点byte的个数后记得减一。

 

一个response的例子

暂缺,重启后有心情再添加。

 

其它

multiCast DNS的文档是rfc6762,可查阅:http://tools.ietf.org/html/rfc6762

 

posted @ 2014-02-27 15:15  Biiigfish  阅读(5766)  评论(0编辑  收藏