程序员经验分享-hwhale

抓取特定DNS查询包：tcpdump vs wireshark

2023-05-16

近期，在办公网络中出现网络不稳定问题，经过分析发现是网内大量的终端安装的安全软件，每秒钟都定期进行地址探测，其中需要探测taobao.com之类的域名地址，造成大量的DNS查询，如果终端数上千之后，很快防火墙的并发连接数都超过了300万（类似UDP攻击）。为解决问题，先用抓包工具对DNS协议进行了一点研究。

DNS UDP包基本分析

UDP包
在这里插入图片描述

DNS包
imgDNS协议的详细分析，参考：https://www.jianshu.com/p/43d316f8ed4c

tcpdump 与wireshark抓取查询域名

基本使用参考一下：超详细的网络抓包神器 tcpdump 使用指南，和https://blog.csdn.net/qq_42672770/article/details/107032894

这篇有包头部分析偏移量https://www.cnblogs.com/chenpingzhao/p/9108570.html

tcpdump监控DNS包，没有直接的过滤器可以显示所查询的域名，需要自行构造。

下面网站有一个原始的DNS 位置过滤器在线生成，https://www.time-travellers.org/dnstcpdump/，也可以自行构造

## 119 119 119是www
tcpdump -i enp4s0f1  'port 53 and (udp[21]==119) and (udp[22]==119) and (udp[23]==119）

偏移量计算：udp包头 4个2 [0]-[7]， DNS头部6个2 [8]-[19]，[20]是0x03查询开始，[21-23]正好是查询的前三个字母。

而wireshark在命令行可以直接使用display filter，这个要强大和语义更丰富的多。

tshark -i enp4s0f1 -Y 'dns.qry.name ~ www.taobao.com'

附录1：在线生成tcpdump的DNS域名过滤器

地址：https://www.time-travellers.org/dnstcpdump/

DNS截图

附录2 ,tcpdump过滤器图示

tcpdump是更底层的，依赖过滤器

img

https://blog.csdn.net/weixin_33797791/article/details/92514147

附录3：ASCII码表

点击查看图片来源

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

抓取特定DNS查询包：tcpdump vs wireshark 的相关文章

  • SpringBoot + MyBatisPlus 异常 The SQL execution time is too large, please optimize !

    网上看了很多例子 xff0c 五花八门 xff0c 我是这样解决的 xff0c 配置application yml 把红色那行代码注释掉 xff0c 成功 xff0c 没有出现问题 spring datasource 数据源的基本配置 us

  • ARM-LINUX调试中segmentation fault 的解决参考

    可恶的segmentation fault问题解决探索 xff08 转载 xff09 http oss lzu edu cn blog article php tid 700 html 背景 最近一段时间在linux下用C做一些学习和开发

  • VC 多线程编程

    一 问题的提出 编写一个耗时的单线程程序 xff1a 新建一个基于对话框的应用程序SingleThread xff0c 在主对话框IDD SINGLETHREAD DIALOG添加一个按钮 xff0c ID为IDC SLEEP SIX SE

  • Linux C 函数参考(日期时间)

    1 1 概述 世界标准时间 xff08 Coordinated Universal Time xff0c UTC xff09 xff0c 也就是大家所熟知的格林威治标准时间 xff08 Greenwich Mean Time xff0c G

  • IplImage与char型转换

    对OpenCV稍有了解的同学都知道里边用于存储图像数据的IplImage xff0c 其中有两个属性非常值得关注 xff0c 稍不留神就会导致错误 xff08 后附错例一则 xff09 xff1a 一是width属性 xff1b 二是wid

  • 如何卸载阿里巴巴PC流氓软件

    今天真的是恶心到我了 我有一个移动硬盘插在PC上 xff0c 用了一段时间后本打算简单的退出这个硬盘 xff0c 想安全地拔下 没想到360软件提示有一个进程在占用这个移动硬盘 xff0c 不能安全地弹出 靠 xff0c 我想着什么软件这么

  • wsl1 的Ubuntu20.04升级到wsl2 的Ubuntu20.04失败，报错系统找不到指定的文件

    在wsl下看到Ubuntu 20 0是正常运行的 xff0c 但是升级为wsl2时无法找到对应的文件 PS xff1a 之前将Ubuntu迁移到D盘后删掉了 xff0c 重新下了一个Unbuntu xff0c 可能是导致无法升级wsl2的原

  • 使用U盘重装Windows10系统详细步骤及配图【官方纯净版】

    文章目录 1 制作启动盘1 1准备U盘及一台电脑1 2下载win10安装包 2 安装操作系统2 1插入系统安装盘2 2设置启动盘为第一启动项2 3开始安装操作系统 3 安装成功后进入图形界面3 1启动问题3 2驱动问题3 3调出 34 控制

  • Android实现图片转ascii码字符图的一些尝试

    z2IN png 抖音上炫代码的不少 xff0c 有些真的让人叹为观止 xff0c 作为一个androider xff0c 当我看到下面这段舞蹈的时候 xff0c 终于忍不住了 xff0c 想要通过android实现一样的效果 jileji

  • 浅谈知识追踪（BKT、IRT、DKT）

    提示 xff1a 文章写完后 xff0c 目录可以自动生成 xff0c 如何生成可参考右边的帮助文档 文章目录 前言一 知识追踪是什么 xff1f 二 具体内容1 基于贝叶斯的知识追踪 xff08 BKT xff09 项目反应理论 xff0

  • 走进C++11（十四）变长参数模板

    解释 C 43 43 03只有固定模板参数 C 43 43 11 加入新的表示法 xff0c 允许任意个数 任意类别的模板参数 xff0c 不必在定义时将参数的个数固定 变长模板 变长参数是依靠C 43 43 11新引入的参数包的机制实现的

  • sql server 获取当前日期前12个月的月份sql 语句

    sql server 获取当前日期前12个月的月份sql 语句 select convert varchar 7 dateadd mm number dateadd month 11 getdate 120 as dt from maste

  • wxPython禁用窗口最大化按钮

    本文提供了两种方法禁用窗体最大化按钮 方法一 通过SetWindowStyle函数单独设置窗体式样 代码 xff1a self SetWindowStyle wx DEFAULT FRAME STYLE wx MAXIMIZE BOX 方法

  • C++ std::thread使用

    c 43 43 11 之后有了标准的线程库 xff1a std thread 通过c 43 43 11中的线程库创建线程 xff0c 极为方便 xff0c 且跨平台 xff0c 是语言层面的 之前跨平台的多线程开发中 xff0c 多使用bo

  • iOS 不规则的UIImageView 实现

    那如何去实现 xff1f 通常图片都是矩形的 xff0c 如果想在客户端去实现不规则的头像 xff0c 需要自己去实现 1 使用layer去实现 见http blog csdn net johnzhjfly article details

  • Python-生成式和生成器（通俗易懂）

    在 1 生成式 1 xff09 列表生成式 生成100个随机验证码 xff1a 通过列表生成式简化 xff1a span class token keyword import span random span class token key

  • 2014-09-2 ccf画图 c++

    span class token comment 2014 09 2 span span class token comment 画图 span span class token macro property span class toke

  • C语言爱心代码大全集—会Ctrl+C就可以表白了

    一 C语言爱心代码大全 xff0c 会Ctrl 43 C就可以表白了 xff01 博主整理了一个C语言爱心代码大全 xff0c 里面有C语言爱心代码会动的动态效果和C语言爱心代码大全静态效果 xff0c 只需复制粘贴就可以用啦 xff01

  • 【解决方法】vscode页面出现代码没有颜色，无提示字的情况

    问题描述 xff1a 解决方法 xff1a 安装vetur插件 即可解决问题 xff0c 亲测有效

  • 续订Office365E5订阅

    前言 Microsoft 365 E5 Renew X Microsoft 365 E5 Renew X是一款网页版的E5续订服务 xff0c 其依赖网页浏览器呈现支持用户多端操作 xff0c 完全将E5账户API调用托管在了服务器端因此用

随机推荐

热门标签