प्रस्तावना

मैंने एक DNS स्निफ़र लिखने का फैसला किया, इसलिए बोलने के लिए, बस मज़े के लिए। बस यह देखें कि मेरे सिस्टम पर कौन से पते हल हो रहे हैं। प्रोटोकॉल पुराना है, इसमें बहुत सारे दस्तावेज होने चाहिए। बहुत कुछ। लेकिन सभी लेख बहुत ही अधूरे और अंत हैं, सबसे दिलचस्प क्षण में। हां, rfc1035 है, लेकिन मैं रूसी में और स्पष्टीकरण के साथ चाहूंगा। वास्तव में एक पैकेज के अनुभव और विश्लेषण के संचय पर यह लेख पक गया है। यह उन लोगों के लिए डिज़ाइन किया गया है जो समझते हैं कि DNS क्या है और समझता है कि अनुरोध और उत्तर हैं। उन लोगों के लिए जो इस प्रोटोकॉल की संरचना में थोड़ा समझना चाहते हैं।

लेख में सिद्धांत शामिल है, और फिर थोड़ा अभ्यास।

डीएनएस पैकेट संरचना

+---------------------+ | Header |  +---------------------+ | Question |   +---------------------+ | Answer |   +---------------------+ | Authority |      +---------------------+ | Additional |     +---------------------+ 

हैडर - DNS पैकेट का हेडर, जिसमें 12 ऑक्टेट होते हैं।

प्रश्न अनुभाग - इस खंड में, DNS क्लाइंट DNS सर्वर को उस नाम के बारे में सूचित करने के लिए प्रश्नों को प्रेषित करता है जिसके लिए DNS रिकॉर्ड को हल करना आवश्यक है, साथ ही किस प्रकार (NS, A, TXT, आदि)। जवाब देते समय, सर्वर इस जानकारी को कॉपी करता है और क्लाइंट को उसी सेक्शन में वापस देता है।

उत्तर अनुभाग - सर्वर क्लाइंट को अनुरोध के जवाब या कई प्रतिक्रियाएं बताता है, जिसमें यह उपरोक्त डेटा की रिपोर्ट करता है।

आधिकारिक अनुभाग - उस जानकारी को शामिल करता है जिस पर आधिकारिक सर्वर ने DNS प्रतिक्रिया अनुभाग में शामिल जानकारी प्राप्त की।

अतिरिक्त रिकॉर्ड अनुभाग - अतिरिक्त रिकॉर्ड जो अनुरोध से संबंधित हैं, लेकिन सवाल का कड़ाई से जवाब नहीं हैं।

वर्गों में कई या कुछ प्रविष्टियाँ हो सकती हैं। सब कुछ हेडिंग से तय होता है।

डीएनएस हेडर संरचना

  1 1 1 1 1 1 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ | ID | +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ |QR| Opcode |AA|TC|RD|RA| Z | RCODE | +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ | QDCOUNT | +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ | ANCOUNT | +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ | NSCOUNT | +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ | ARCOUNT | +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ 

आईडी (16 बिट्स) - इस क्षेत्र का उपयोग एक अद्वितीय लेनदेन पहचानकर्ता के रूप में किया जाता है। इंगित करता है कि पैकेट एक ही "अनुरोध-प्रतिक्रिया" सत्र से संबंधित है और 16 बिट्स पर कब्जा कर लेता है।

क्यूआर (1 बिट) - इस बिट का उपयोग यह पहचानने के लिए किया जाता है कि पैकेट एक अनुरोध है (क्यूआर = 0) या एक प्रतिक्रिया (क्यूआर = 1)।

ओपकोड (4 बिट्स) - इस कोड का उपयोग करके, ग्राहक अनुरोध के प्रकार को निर्दिष्ट कर सकता है, जहां सामान्य मूल्य है:

• 0 - मानक अनुरोध
• 1 - उलटा अनुरोध,
• 2 - अनुरोध सर्वर स्थिति।
• 3-15 - भविष्य के लिए आरक्षित।

एए (1 बिट) - यह फ़ील्ड केवल सर्वर से DNS प्रतिक्रियाओं में समझ में आता है और रिपोर्ट करता है कि उत्तर आधिकारिक है या नहीं।

टीसी (1 बिट) - यह ध्वज प्रतिक्रिया पैकेट में सेट है यदि सर्वर मौजूदा प्रतिबंधों के कारण पैकेट में सभी आवश्यक जानकारी नहीं डाल सकता है।

आरडी (1 बिट) - यह एक-बिट झंडा अनुरोध में सेट किया गया है और प्रतिक्रिया पर कॉपी किया गया है। यदि ध्वज अनुरोध में सेट किया गया है, तो इसका मतलब है कि क्लाइंट सर्वर से उसे मध्यवर्ती उत्तर न बताने के लिए कहता है, लेकिन केवल आईपी पते को वापस करने के लिए।

आरए (1 बिट) - केवल प्रतिक्रियाओं में भेजा जाता है, और रिपोर्ट करता है कि सर्वर पुनरावृत्ति का समर्थन करता है

जेड (3 बिट्स) - आरक्षित हैं और हमेशा शून्य के बराबर हैं।

RCODE (4 बिट्स) - इस क्षेत्र का उपयोग ग्राहकों को सूचित करने के लिए किया जाता है यदि अनुरोध सफलतापूर्वक या त्रुटि के साथ पूरा हो गया था।

• 0 - का अर्थ है त्रुटियों के बिना पारित अनुरोध;
• 1 - त्रुटि इस तथ्य के कारण है कि सर्वर अनुरोध फॉर्म को समझ नहीं सका;
• 2 - नाम सर्वर के गलत संचालन के साथ यह त्रुटि;
• 3 - वह नाम जो क्लाइंट को इस डोमेन में मौजूद नहीं करता है;
• 4 - सर्वर इस प्रकार के अनुरोध को पूरा नहीं कर सकता है;
• 5 - इस कोड का मतलब है कि सर्वर प्रशासनिक सुरक्षा प्रतिबंधों के कारण ग्राहक के अनुरोध को संतुष्ट नहीं कर सकता है।

QDCOUNT (16 बिट्स) - क्वेरी अनुभाग में रिकॉर्ड की संख्या
ANCOUNT (16 बिट्स) - उत्तर अनुभाग में प्रविष्टियों की संख्या
NSCOUNT (16 बिट्स) - प्राधिकरण अनुभाग में प्रविष्टियों की संख्या
ARCOUNT (16 बिट्स) - अतिरिक्त रिकॉर्ड अनुभाग में रिकॉर्ड की संख्या

खंड संरचना का अनुरोध करें

  1 1 1 1 1 1 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ | | / QNAME / / / +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ | QTYPE | +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ | QCLASS | +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ 

QNAME - प्रत्येक अनुरोध और प्रतिक्रिया रिकॉर्ड NAME से शुरू होती है। यह डोमेन नाम है जिससे यह रिकॉर्ड जुड़ा हुआ है या जिसके पास "संबंधित" है। यह टैग की एक श्रृंखला के रूप में एन्कोडेड है। इस बिंदु पर, हमें और अधिक विस्तार से ध्यान देना चाहिए।

मेरे द्वारा देखे गए लेखों में, वे यह कहना भूल जाते हैं कि मूल DNS प्रोटोकॉल दो प्रकार के लेबल प्रदान करता है, जो पहले दो बिट्स द्वारा निर्धारित किए जाते हैं:

00 (मानक लेबल) - इसका मतलब है कि शेष 6 बिट्स लेबल की लंबाई निर्धारित करते हैं, इसके बाद ओकटेट्स की संख्या दी गई है। तदनुसार, लेबल की लंबाई 63 बाइट्स से अधिक नहीं हो सकती है (उदाहरण के लिए, nslookup संदेश प्रदर्शित करेगा "एक कानूनी नाम नहीं है (लेबल बहुत लंबा है)" जब एक लंबे लेबल के साथ एक मेजबान को शांत करने की कोशिश की जा रही है)। रिकॉर्डिंग कोड 0x00 के साथ समाप्त होती है।
11 (संपीड़ित लेबल) - फिर अगले 14 बिट्स लेबल की श्रृंखला के शुरुआती पते के लिए एक लिंक को परिभाषित करते हैं। जैसा कि अनुभव से पता चला है, इसमें दूसरे पते पर एक संपीड़ित लेबल भी हो सकता है। अनुरोध में, एक नियम के रूप में, ऐसे कोई लेबल नहीं हैं।

इसके अलावा, लेबल में 0x00 (शून्य लंबाई) का मान हो सकता है, जिसका अर्थ है कि यह रूट डोमेन नाम (रूट) है।

NAME की अधिकतम लंबाई <= 255 है। यह कार्यान्वयन में आसानी के लिए है।

क्यूटीपीईई - जिस प्रकार का डीएनएस रिकॉर्ड हम खोज रहे हैं (एनएस, ए, TXT, आदि)।
QCLASS - परिभाषित अनुरोध वर्ग (इंटरनेट के लिए)।

प्रतिक्रिया अनुभाग संरचना

  1 1 1 1 1 1 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ | | / / / NAME / | | +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ | TYPE | +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ | CLASS | +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ | TTL | | | +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ | RDLENGTH | +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--| / RDATA / / / +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ 

NAME - अनुरोध अनुभाग में QNAME के ​​समान प्रारूप।
टाइप - संसाधन रिकॉर्ड का प्रकार। इस संसाधन रिकॉर्ड के प्रारूप और उद्देश्य को परिभाषित करता है।
क्लास - संसाधन रिकॉर्ड क्लास; यह सैद्धांतिक रूप से माना जाता है कि DNS का उपयोग न केवल टीसीपी / आईपी के साथ किया जा सकता है, बल्कि अन्य प्रकार के नेटवर्क के साथ भी, क्लास फ़ील्ड में कोड नेटवर्क के प्रकार को निर्धारित करता है। मूल रूप से इंटरनेट के लिए (कोड 0x0001)
टीटीएल - (टाइम टू लाइव) - इस संसाधन रिकॉर्ड के लिए वैध भंडारण समय गैर-उत्तरदायी डीएनएस सर्वर के कैश में।
RDLENGTH - डेटा फ़ील्ड लंबाई (RDATA)।
RDATA - डेटा फ़ील्ड, जिसका प्रारूप और सामग्री रिकॉर्ड के प्रकार पर निर्भर करती है।

अभ्यास

वास्तविक अनुरोध और प्रतिक्रिया से पैकेज पर विचार करें। अपना पसंदीदा स्निफर लॉन्च करें और habrahabr.ru को हल करें।

जांच



चलो डीएनएस हेडर संरचना का विश्लेषण करते हैं।

लेनदेन आईडी = 0x9bce

आगे झंडे हैं। 01 00 को एक बाइनरी मान के रूप में दर्शाया गया है 0'0000'0'0'1'0'000'0000 (इसके बाद, मैं ध्वज विभाजन के बेहतर दृश्य प्रतिनिधित्व के लिए एपोस्ट्रोफी के साथ बिट्स को अलग करता हूं)
QR = 0 - इसका मतलब है कि यह पैकेट एक अनुरोध है;
ओपोड = 0000 - मानक अनुरोध;
एए = 0 - यह फ़ील्ड केवल DNS उत्तरों में समझ में आता है, इसलिए हमेशा 0;
TC = 0 - यह क्षेत्र केवल DNS उत्तर में ही समझ में आता है, इसलिए हमेशा 0;
RD = 1 - कृपया केवल IP पता लौटाएँ;
आरए = 0 - केवल सर्वर द्वारा भेजा गया;
जेड = 000 - हमेशा शून्य, आरक्षित क्षेत्र;
RCODE = 0000 - सब कुछ त्रुटियों के बिना चला गया

QDCOUNT = 00 01 - क्वेरी अनुभाग में 1 प्रविष्टि
ANCOUNT = 00 00 - उत्तर के लिए अनुरोध हमेशा 0 होता है
NSCOUNT = 00 00 - उत्तर के लिए अनुरोध हमेशा 0 होता है
ARCOUNT = 00 00 - उत्तर के लिए अनुरोध हमेशा 0 होता है
अगला हमारे पास अनुरोध और प्रतिक्रिया अनुभाग हैं। एक प्रविष्टि के साथ।
हमारे पास पहला ऑक्टेट 0x09 है, इसे बाइनरी मान 00'001001 के रूप में कल्पना करें। पहले दो बिट्स 00 जाते हैं, जिसका मतलब है कि यह एक नियमित लेबल है। लेबल की लंबाई 9 बाइट्स (b001001)। "68 61 62 72 61 68 61 62 72"। ये 9 बाइट्स हैं। यह "हेब्राहाब" (हेक्साडेसिमल में) कहता है। आगे बढ़ो। ओकटेट 0x02। पहले दो बिट्स 00 हैं, फिर 2 बाइट्स की लंबाई के साथ फिर से एक नियमित लेबल। यहाँ वे हैं: "72 75." यह "आरयू" लिखा है। आगे बढ़ो। ओकटेट 0x00। इसका मतलब मेजबान प्रविष्टि का अंत है। हमें दो शब्द "हब्बरब्र" और "आरयू" मिले। हम उन्हें एक बिंदु के साथ एकजुट करते हैं, हम "habrahabr.ru" प्राप्त करते हैं, यह वह मेजबान है जिसे हमने अनुरोध किया था।
QTYPE = 0x0001 - टाइप A (होस्ट पता अनुरोध) के अनुरूप
QCLASS = 0x0001 - वर्ग IN के अनुरूप है।

जवाब है



चलो डीएनएस हेडर संरचना का विश्लेषण करते हैं।

लेनदेन आईडी = 0x9bce। यह अनुरोध से बिल्कुल आईडी होना चाहिए।
फिर से झंडे। 81 80 द्विआधारी मूल्य का प्रतिनिधित्व करते हैं 1'0000'0'0'1'1'000'0000
QR = 1 - इसका मतलब है कि यह पैकेट उत्तर है;
ओपोड = 0000 - मानक अनुरोध;
एए = 0 - सर्वर डोमेन के लिए आधिकारिक नहीं है;
टीसी = 0 - एक पैकेज में सभी जानकारी फिट;
RD = 1 - कृपया केवल IP पता लौटाएँ;
आरए = 1 - सर्वर पुनरावृत्ति का समर्थन करता है;
जेड = 000 - हमेशा शून्य, आरक्षित क्षेत्र;
RCODE = 0000 - सब कुछ त्रुटियों के बिना चला गया

QDCOUNT = 00 01 - क्वेरी अनुभाग में 1 प्रविष्टि
ANCOUNT = 00 01 - अब हमारे पास उत्तर में एक प्रविष्टि है
NSCOUNT = 00 00 - उत्तर के लिए अनुरोध हमेशा 0 होता है
ARCOUNT = 00 00 - उत्तर के लिए अनुरोध हमेशा 0 होता है

अगला हमारे पास अनुरोध और प्रतिक्रिया अनुभाग हैं। दो प्रविष्टियों के साथ। अनुरोध का एक रिकॉर्ड, जवाब के साथ एक और रिकॉर्ड। मैं अनुरोध अनुभाग को चित्रित नहीं करूंगा, यह हमेशा 1v1 होगा जैसा कि अनुरोध पैकेज में है। उत्तर अनुभाग के साथ आगे बढ़ें।

पहला ओकटेट 0x09 है, पहले दो बिट 00 हैं, जिसका अर्थ है 9 बाइट्स की लंबाई के साथ एक नियमित लेबल। 9 बाइट्स पढ़ें, "HABRAHABR" प्राप्त करें। अगला 0XC0 (b11000000) आता है। जैसा कि आप देख सकते हैं, पहले दो बिट्स का मूल्य 11 है, जिसका अर्थ है कि हमारे पास एक संपीड़ित लिंक है। हम अगले 8 बिट्स (हमारे पास 0x16 (b00010110)) को देखते हैं और वर्तमान 6 बिट्स के साथ संयोजन करते हैं। हमें b00000000010110 मिलता है। डीएनएस पैकेट के 22 वें बाइट से लिंक (02 72 75 00)। 22 अक्टूबर से शुरू होकर, हम फिर से लेबल प्राप्त करते हैं। उसी नियम से। हम इसे प्राप्त करते हैं। हम जो कुछ भी प्राप्त करते हैं उसे जोड़ते हैं, यह "HABRAHABR.ru" निकला, यह मेजबान है, जिस पर आगे चर्चा की जाएगी।

QTYPE = 0x0001 - टाइप A (होस्ट पता अनुरोध) के अनुरूप
QCLASS = 0x0001 - वर्ग IN के अनुरूप है।
TTL = 0x00000c90 - डेटा अप-टाइम 3216 सेकंड।
RDLENGTH = 0x0004 - डेटा की लंबाई 4 ओकटेट है।
RDATA = "b2 f8 ed 44"।

जैसा कि पहले ही उल्लेख किया गया है, प्रारूप और सामग्री रिकॉर्डिंग के प्रकार पर निर्भर करती है। हमारे पास रिकॉर्ड का प्रकार "ए" है। तो, आईपी प्राप्त करने के लिए, हमें 4 बाइट्स पढ़ना चाहिए। प्रत्येक बाइट IP पते का संबंधित ऑक्टेट है, जिसे हेक्साडेसिमल में लिखा गया है।

हमें IP: b2.f8.ed.44 या "178.248.237.68" मिलता है। जिसे प्राप्त करना आवश्यक था।

उदाहरण के लिए, टाइप NS के लिए, प्रारूप होगा:

  +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ / NSDNAME / / / +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+ 

और हम QNAME के ​​नियमों के अनुसार नाम पढ़ेंगे।