DNS协议 报文格式

tuyer

DNS报文格式：

该报文由12字节的首部和4个长度可变的字段组成。
标识字段由客户程序设置并有服务器返回结果。
16bit的标志字段 如下：

QR：0表示查询报文，1表示响应报文
Opcode：通常值为0（标准查询），其他值为1（反向查询）和2（服务器状态请求）。
AA：表示授权回答（authoritative answer）.
TC：表示可截断的（truncated）
RD：表示期望递归
RA：表示可用递归
随后3bit必须为0
Rcode：返回码，通常为0（没有差错）和3（名字差错）
后面4个16bit字段说明最后4个变长字段中包含的条目数。

问题部分：
报文格式：

查询名为要查找的名字，它由一个或者多个标示符序列组成。每个标示符已首字节数的计数值来说明该标示符长度，每个名字以0结束。计数字节数必须是0~63之间。该字段无需填充字节。如：gemini.tuc.noao.edu

每个问题有一个查询类型，通常查询类型为A（由名字获得IP地址）或者PTR（获得IP地址对应的域名）
资源记录部分：
报文格式：
DNS最后3个字段，回答字段，授权字段和附加信息字段均采用资源记录RR（Resource Record）的相同格式。

域名是记录中资源数据对应的名字。它的格式和查询名字段格式相同。
类型说明R R的类型码。类通常为1，指I n t e r n e t数据。
生存时间字段是客户程序保留该资源记录的秒数。
资源数据长度说明资源数据的数量。该数据的格式依赖于类型字段的值。对于类型1（A记录）资源数据是4字节的I P地址。

数据包DNS 查询：(DNS query)
0000  00 19 56 6e 19 bf 00 17  a4 1a b2 e0 08 00 45 00   ..Vn.... ......E.
0010  00 3b ed c6 00 00 80 11  e3 c3 ac 15 0f 04 ac 15   .;...... ........
0020  01 f9 04 a9 00 35 00 27  2f bd 3e 3a 01 00 00 01   .....5.' /.>:....
0030  00 00 00 00 00 00 03 77  77 77 06 67 6f 6f 67 6c   .......w ww.googl
0040  65 02 63 6e 00 00 01 00  01                        e.cn.... .      
说明：
前面三段分别为以太网包头，ip包头和UDP包头。
从0020行后面开始为DNS数据包.
3e 3a  为标识字段
01 00 为标志字段，该字段设置了TC表示该报文是可截断的。
00 01  查询报文数量为1。
00 00 00 00 00 00 表示回答，授权和额外信息都为0。
03 77  77 77 06 67 6f 6f 67 6c 65 02 63 6e 00 表示查询的名字为
www.google.com
00 01 为类型，1表示A查询
00 01 为类，1表示Internet数据。

数据包 DNS response (DNS response)
0000  00 17 a4 1a b2 e0 00 19  56 6e 19 bf 08 00 45 00   ........ Vn....E.
0010  00 78 48 af 00 00 7d 11  8b 9e ac 15 01 f9 ac 15   .xH...}. ........
0020  0f 04 00 35 04 a9 00 64  75 db 3e 3a 81 80 00 01   ...5...d u.>:....
0030  00 03 00 00 00 00 03 77  77 77 06 67 6f 6f 67 6c   .......w ww.googl
0040  65 02 63 6e 00 00 01 00  01 c0 0c 00 05 00 01 00   e.cn.... ........
0050  00 05 42 00 11 02 63 6e  01 6c 06 67 6f 6f 67 6c   ..B...cn .l.googl
0060  65 03 63 6f 6d 00 c0 2b  00 01 00 01 00 00 00 5f   e.com..+ ......._
0070  00 04 cb d0 21 65 c0 2b  00 01 00 01 00 00 00 5f   ....!e.+ ......._
0080  00 04 cb d0 21 64                                  ....!d           
说明：
前面三段分别为以太网包头，ip包头和UDP包头。
3e 3a  为标识字段
81 80  为标志字段,其中设置了QR = 1，RD = 1，RA = 1
00 01  问题数1，00 03  回答数3，其余两个为0。
03 77  77 77 06 67 6f 6f 67 6c 65 02 63 6e 00 表示查询的名字为
www.google.com
00 01 为类型，1表示A查询
00 01 为类，1表示Internet数据。
接下来为回答报文,
c0 0c 为域名指针
00 05  表示CNAME（规范名称）
00 01  类，表示为Internet数据
00 00 05 42  生存时间
00 11  数据长度
02 63 6e  01 6c 06 67 6f 6f 67 6c 65 03 63 6f 6d 00 为数据 cn.l.google.cn
然后接下来两段为另外两个回答。
最后的数据为IP地址。
               
               
               

本文来自ChinaUnix博客，如果查看原文请点：http://blog.chinaunix.net/u/19573/showart_2076591.html