使用Wireshark等工具，过滤DNS协议，捕获查询/响应，分析域名解析过程及IP/TTL等关键信息
DNS域名解析抓包详解
DNS域名解析基础
1 域名系统
DNS（Domain Name System）是互联网的核心协议之一，负责将人类可读的域名（如www.example.com）转换为机器可识别的IP地址（如0.2.1），其采用分层架构，包含根DNS、顶级域（TLD）服务器和权威DNS服务器。
2 DNS查询流程
完整解析流程分为以下步骤：
- 客户端缓存：优先查询本地操作系统缓存
- 递归查询：向本地DNS服务器发起查询请求
- 迭代查询：DNS服务器逐级向上查询
- 权威解析：最终由目标域名的权威服务器返回结果
3 DNS记录类型
| 记录类型 | 功能描述 |
|---|---|
| A | 主机名→IPv4地址 |
| AAAA | 主机名→IPv6地址 |
| CNAME | 别名指向 |
| MX | 邮件交换记录 |
| NS | 命名服务器 |
| TXT | 文本记录（常用于验证） |
抓包工具选择与安装
1 常用抓包工具对比
| 工具名称 | 平台支持 | 协议解析能力 | 特色功能 |
|---|---|---|---|
| Wireshark | Win/Mac/Linux | 全协议深度解析 | 图形化界面，强大过滤器 |
| tcpdump | Linux为主 | 命令行高效抓包 | 轻量级，适合服务器 |
| Fiddler | Windows | HTTP/HTTPS聚焦 | Web调试专用 |
| Microsoft Network Monitor | Windows | 微软系协议优化 | 域环境集成好 |
2 推荐工具安装
Wireshark安装步骤：
- 访问官网下载对应系统版本
- 运行安装程序（Windows需管理员权限）
- 安装Npcap驱动（替代WinPcap）
- 可选安装USBPcap支持移动设备抓取
实战抓包操作指南
1 环境准备
- 网络要求：确保设备处于目标网络路径中（如PC连接路由器）
- 权限要求：管理员权限或root权限（部分系统需禁用防火墙）
- 测试准备：打开浏览器访问目标域名（如
www.baidu.com）
2 抓包配置参数
Wireshark核心设置：
- 选择网络接口（如WiFi或以太网）
- 设置显示过滤器：
dns或dns.qry.name == "www.baidu.com" - 启用TCP流跟踪（分析DNS over TCP/DoH）
- 调整捕获缓冲区大小（防止丢包）
3 数据保存与导出
- 保存格式：建议使用
.pcap通用格式 - 导出选项：
- CSV导出查询日志
- XML导出原始报文
- PNG导出统计图表
DNS报文深度解析
1 标准DNS报文结构
| 字段名称 | 长度(字节) | 说明 |
|---|---|---|
| Header | 12 | 标识、标志、问题计数等 |
| Query Section | 变长 | 查询域名+查询类型+类 |
| Answer Section | 变长 | 资源记录（RR） |
| Authority Section | 变长 | 权威服务器记录 |
| Additional Section | 变长 | 附加记录（如DNSSEC签名） |
2 常见查询类型特征
递归查询示例：
客户端 → DNS服务器：查询www.example.com（ID=0x1a2b）
DNS服务器 → 根服务器：查询.com（ID=0x1a2b）
根服务器 → DNS服务器：返回.com服务器IP（ID=0x1a2b）
DNS服务器 → 客户端：返回example.com的A记录（ID=0x1a2b）异常检测与安全分析
1 DNS劫持识别特征
| 异常现象 | 可能原因 |
|---|---|
| 响应IP与历史记录不符 | 本地DNS被篡改/中间人攻击 |
| 出现未请求的额外记录 | 恶意软件注入 |
| 超长响应时间（>500ms） | 递归服务器遭受DDoS攻击 |
| TCP而非UDP传输 | 规避防火墙的DNS隧道攻击 |
2 性能优化建议
- 启用DNS缓存：合理设置TTL值（建议>600秒）
- 使用CDN服务：通过智能DNS提升解析速度
- 部署本地DNS：减少递归查询层级
- 支持DNS over HTTPS：防止中间人篡改
问题与解答
Q1：如何区分正常DNS解析与中间人攻击？
A：关键观察点包括：
- 响应路径连续性：正常解析各环节IP应属于合法运营商
- 记录完整性：攻击者可能添加非法TXT记录或伪造NS记录
- 证书验证：对DoH/DoT流量需检查SSL证书合法性
- 时间异常：突然延长的解析时间可能暗示流量劫持
Q2：为什么有时抓不到DNS over HTTPS流量？
A：主要原因及解决方案： | 原因类型 | 具体表现 | 解决方法 | |||| | 协议加密 | DoH/DoT使用HTTPS传输 | 需配置SSL解密（需合法授权） | | 端口混淆 | 非标准端口（如853） | 添加端口过滤规则 | | 客户端策略 | Firefox/Chrome内置DoH | 修改浏览器DNS设置 | | 企业安全策略 | 代理服务器阻断加密DNS | 联系网络管理员获取密钥文件 |
注：本文所述抓包操作需遵守《网络安全法》相关规定，未经授权不得在生产环境进行敏感数据抓取，建议在个人设备或实验