使用tcpdump 观察DNS IP TCP通信过程
使用tcp查看DNS通信过程
(base) root@ubuntu:~# sudo tcpdump -i -X ens33 -nt -s 5000 port domain
tcpdump: -X: No such device exists
(SIOCGIFHWADDR: No such device)
(base) root@ubuntu:~# sudo tcpdump -i ens33 -nt -s 5000 port domain
IP 192.168.0.107.46401 > 192.168.0.1.53: 1876+ [1au] A? www.baidu.com. (42)
IP 192.168.0.1.53 > 192.168.0.107.46401: 1876 3/0/1 CNAME www.a.shifen.com., A 180.101.49.12, A 180.101.49.11 (104)
命令行
使用port domain 来过滤数据包，表示只抓取使用domain服务的数据包
数据内容有两条
第一条是查询报文 源 > 目的
数值1876是DNS报文的标识，也出现在应答中。“+”表示启用递归查询，“A?”表示采用A类型查询方式 www.baidu.com查询中的域名 （42）DNS报文的长度
第二条是反馈DNS报文 3/0/1 表示报文中有三个应答资源记录，0个授权资源记录，1个额外信息记录。CNAME www.a.shifen.com., A 180.101.49.12, A 180.101.49.11 代表三个应答资源记录。CNAME 表示紧随其后的是机器别名，A紧随其后的是IP地址；104应答报文长度。
再开一个终端
(base) root@ubuntu:~# host -t A www.baidu.com
www.baidu.com is an alias for www.a.shifen.com.
www.a.shifen.com has address 180.101.49.11
www.a.shifen.com has address 180.101.49.12
host
参数
-t 告诉DNS协议使用哪种查询类型，A类型 通过机器的域名获得其IP地址
输出
1）www.baidu.com 是 www.a.shifen.com.的别名
2）两个IP地址
IP地址解析
(base) root@ubuntu:~# telnet 127.0.0.1
Trying 127.0.0.1...
Connected to 127.0.0.1.
Escape character is '^]'.
Ubuntu 18.04.6 LTS
ubuntu login:
再开一个终端
(base) root@ubuntu:~# tcpdump -ntx -i lo
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
IP 127.0.0.1.34552 > 127.0.0.1.23: Flags [S], seq 1745940003, win 65495, options [mss 65495,sackOK,TS val 210102712 ecr 0,nop,wscale 7], length 0
0x0000: 4510 003c b6a2 4000 4006 8607 7f00 0001
0x0010: 7f00 0001 86f8 0017 6810 ee23 0000 0000
0x0020: a002 ffd7 fe30 0000 0204 ffd7 0402 080a
0x0030: 0c85 e9b8 0000 0000 0103 0307
telnet使用的端口号是23，而客户端使用的临时端口号34552
分析IP头部信息
| 十六进制 | 十进制 | IP头部信息 |
|---|---|---|
| 0x4 | 4 | IP版本号 |
| 0x5 | 5 | 头部长度为5个32位（20字节） |
| 0x10 | TOS选项中最小延时服务开启 | |
| 0x3c | 60 | 数据总长度 |
| 0xb6a2 | 数据包标识 | |
| 0x4 | 禁止分片标识 | |
| 0x000 | 分片偏移 | |
| 0x40 | 64 | TTL被设置为64 |
| 0x06 | 协议字段为6，表示上层协议是TCP协议 | |
| 0x8607 | IP头部校验和 | |
| 0x7f00 0001 | 源端IP地址 127.0.0.1 | |
| 0x7f00 0001 | 目的端IP地址 127.0.0.1 |
TCP头分析
| 十六进制 | 十进制 | IP头部信息 |
|---|---|---|
| 0x86f8 | 34552 | 源端口号 |
| 0x0017 | 23 | 目的口号 |
| 0x6810ee23 | 34552 | 序号 |
| 0x00000000 | 0 | 确认号 |
| 0xa | 10 | TCP头部长度为10个32位（40字节） |
| 0x002 | 设置SYNC标志 | |
| 0xffd7 | 接收通告窗口大小 | |
| 0xfe30 | 头部校验和 | |
| 0x0000 | 没有设置URG标识 | |
| 0x0204 | 最大报文段长度选项的kind值和length值 | |
| 0xffd7 | 65495 | 最大报文段长度 |
| 0x0402 | 允许SACK选项 | |
| 0x080a | 时间戳的kind值和length值 | |
| 0x0c85e9b8 | 210102712 | 时间戳 |
| 0x0000 0000 | 0 | 回显应答时间戳 |
| 0x01 | 空操作选项 | |
| 0x0303 | 窗口扩大因子的Kind值和length值 | |
| 0x07 | 7 | 窗口扩大因子为7 |
IP分片
以太网的MTU是1500字节，因此携带的数据包最多1480（TP头部占用20）
用IP数据报封装1481长度的ICMP报文，需要分片。
1）除最后一个分片其他分片都将设置MF标识
2）ICMP头部只有一份
电脑1
root@ubuntu:~# ping 192.168.0.107 -s 1473
PING 192.168.0.107 (192.168.0.107) 1473(1501) bytes of data.
1481 bytes from 192.168.0.107: icmp_seq=1 ttl=64 time=0.244 ms
1481 bytes from 192.168.0.107: icmp_seq=2 ttl=64 time=0.170 ms
电脑2
root@ubuntu:~# tcpdump -ntv -i ens33 icmp
IP (tos 0x0, ttl 64, id 23248, offset 0, flags [+], proto ICMP (1), length 1500)
192.168.0.103 > 192.168.0.107: ICMP echo request, id 2708, seq 1048, length 1480
IP (tos 0x0, ttl 64, id 23248, offset 1480, flags [none], proto ICMP (1), length 21)
192.168.0.103 > 192.168.0.107: ip-proto-1
第一个分片 偏移 0 MF被设置1 所以flags[+] 长度1500
第二个分片 偏移1480 没有分片 所以flags[none] 长度21
TCP连接建立数据通信关闭过程
