奇怪的DNS请求包

lsstarboy

tcpdump抓包，抓到不少这种报文，这是什么情况？

16:17:35.844604 IP 192.168.1.105.1173 > 119.188.65.128.53: 7690+ [b2&3=0x102] [8654q] [736n] [45849au] Type2732 (Class 43059)? &%M-^O1M-cF^?^M}wM-S^Oe:^@^@^EM-}M-"m]M-o^RapM-"<M-5^OM-(M-^GM-~M-+M-e+dB@M-f^ZM-C^KM-`u[$LI@F$M-PM-#M-GD^WRM-BM-$M-^_.[|domain]
16:17:42.579484 IP 192.168.1.138.3335 > 119.188.65.123.53: 7690+ [b2&3=0x102] [8638q] [288n] [38372au] Type40552 (Class 28397)? i^FM-;D+aM-cM-AM-]^]*9M-^B^I^@^@^EM-^KZ+GM-^ZM-.M-<M-l^[^UM-!^FM-^]yM-_M-^RpQ^^^k^EpM-^OR'KMM-^X^ZaA^HgsM-)M-^LOM-^\M-,M-^BM-)M-:M-PM-xzM-pM-^LM-/M-LGM-EM-..M-NM-^U}wM-^WM-&M-M/M-(%M-a(M-^DM-8M-e)FjA*M-q^NM-DM-^G-M-ly-M-^IM-Y`M-^NeM-z^FM-^A`4M-^?M-vM-^^V^TM-r-A^A_M-^SM-^HM-x^_M-5M-^C3M-f8M-^KM-WM->MM-^VfM-^I^LM-^SM-6M-,M-^F^B.[|domain]

mirnshi

回复 1# lsstarboy

如果tcpdump能抓到异常包，最好做个截屏之类的，您这样相当于乱码，是无法分析数据包的。
   

lsstarboy

回复 2# 蛮多肉


FreeBSD不属于激功近利型的，在国内不受欢迎。   

lsstarboy

回复 3# mirnshi

没有乱码，就是这个样子的，截屏跟这个复制效果一样。   

mirnshi

回复 5# lsstarboy


    tcpdump -X -s 1500

lsstarboy

回复 6# mirnshi

非常感谢！

   

14:00:37.708059 IP 192.168.1.23.60257 > 119.188.65.127.53: 7690+ [b2&3=0x102] [8730q] [464n] [37735au] Type44837 (Class 58674)? M-W-M-PM-nM-^EG`^S^Kd^TM-NM-^F^D^@^@^EM-LOM-^_M-=M-JM-^Q=<M-^BiM-;5WM-,M-^IM-X+M-2M-1ZNM-5M-RM-8M-_-^V{\//M-m.<ELT 0>[|domain]
        0x0000:  4500 020a 364f 0000 3d11 48c2 dd02 6694  E...6O..=.H...f.
        0x0010:  77bc 417f eb61 0035 01f6 7d8c 1e0a 0102  w.A..a.5..}.....
        0x0020:  221a 0000 01d0 9367 31d7 2dd0 ee85 4760  "......g1.-...G`
        0x0030:  130b 6414 ce86 0400 0005 cc4f 9fbd ca91  ..d........O....
        0x0040:  3d3c 8269 bb35 57ac 89d8 2bb2 b15a 4eb5  =<.i.5W...+..ZN.
        0x0050:  d2b8 df2d 167b 5c2f 2fed c13f af25 e532  ...-.{\//..?.%.2
        0x0060:  cad2 f429 28d8 f3e3 d63a 3311 4b2b 87e6  ...)(....:3.K+..
        0x0070:  62e5 3a4e 7341 acc6 c120 11bb ed6a aa3b  b.:NsA.......j.;
        0x0080:  50d0 9940 c1ed 39f8 f1ae ca66 924e 4dcb  P..@..9....f.NM.
        0x0090:  6514 2a4d e9c5 1d33 8bf3 437c 1889 afae  e.*M...3..C|....
        0x00a0:  8f18 4404 ec67 1246 9ec4 abce 4a2e 34a3  ..D..g.F....J.4.
        0x00b0:  a086 bd51 84ab 7584 3d67 b25a 9ca1 f2f7  ...Q..u.=g.Z....
        0x00c0:  6a18 8b7a 51ee 40b5 7e52 e05a b955 7a25  j..zQ.@.~R.Z.Uz%
        0x00d0:  5046 6ba4 85b6 1d59 10eb a10a 678f 0810  PFk....Y....g...
        0x00e0:  6909 150d 8dcd 34f4 1fea f023 16e8 6ada  i.....4....#..j.
        0x00f0:  2788 8ca6 a2bd 2323 d3a3 e4f7 7056 a9c6  '.....##....pV..
        0x0100:  e362 0e5f 483f e845 d083 1b20 a4cc 34d8  .b._H?.E......4.
        0x0110:  c9c4 785f c988 83a5 7ed0 468c 31af 7e27  ..x_....~.F.1.~'
        0x0120:  ae3f 9b61 2171 1990 982a 084b 7a42 db0e  .?.a!q...*.KzB..
        0x0130:  b909 c6c8 0e42 b3ba 8ab6 acd3 2dfc a7d9  .....B......-...
        0x0140:  a1ac 70b6 ba8b 2bf5 31f2 a32a 0b39 8162  ..p...+.1..*.9.b
        0x0150:  0eb7 714d 9f4f dcfa 79aa c740 fce7 21a1  ..qM.O..y..@..!.
        0x0160:  9542 267a f695 eebb 1299 d8d8 1c40 592f  .B&z.........@Y/
        0x0170:  a89e 8e21 d068 aafc 3251 243d a7c0 8caa  ...!.h..2Q$=....
        0x0180:  0118 995d 0215 2d0d cb18 ab98 fc18 be3d  ...]..-........=
        0x0190:  d783 fcf0 38e9 bbf1 9c4c 079f 6ecd 6ec5  ....8....L..n.n.
        0x01a0:  5028 798d 037e 0b92 c573 b416 6812 4958  P(y..~...s..h.IX
        0x01b0:  0078 2536 584a 2f11 ef4e 4007 6c36 4908  .x%6XJ/..N@.l6I.
        0x01c0:  a25f f2ab 1012 04f1 6993 1b6b 4986 c3da  ._......i..kI...
        0x01d0:  5b41 ec1c c04c cf4c 529e 44df 66e8 caec  [A...L.LR.D.f...
        0x01e0:  b10c 11e9 a27f 070c e65a b9a2 47a6 e4b5  .........Z..G...
        0x01f0:  68ce 5577 805e 1fdf 5a66 6b62 9141 3ea2  h.Uw.^..Zfkb.A>.
        0x0200:  0d75 24a1 d2e6 37eb ee1a                 .u$...7...
14:00:37.749657 IP 119.188.65.127.53 > 192.168.1.23.60257: 7690+ [b2&3=0x102] [8730q] [584n] [52873au] Type54475 (Class 62605)? [|domain]
        0x0000:  4500 0282 0000 4000 3811 4399 77bc 417f  E.....@.8.C.w.A.
        0x0010:  dd02 6694 0035 eb61 026e 6cf7 1e0a 0102  ..f..5.a.nl.....
        0x0020:  221a 0000 0248 ce89 c7e5 d4cb f48d e75d  "....H.........]
        0x0030:  b299 7749 950e 0400 0005 d5b8 6915 d162  ..wI........i..b
        0x0040:  beb5 3fa0 8456 3412 7b4d f276 91bd 6f15  ..?..V4.{M.v..o.
        0x0050:  5f47 f1e2 41a3 fa5c cb7e 3ffb 8059 b3ee  _G..A..\.~?..Y..
        0x0060:  6886 5f68 37c0 dd3c cb4a a9bd d088 077c  h._h7..<.J.....|
        0x0070:  23ea 3561 b313 2fbc a092 3acf 28ff 44c4  #.5a../...:.(.D.
        0x0080:  cc8f 6eec e383 1b38 27f1 40d5 9038 c644  ..n....8'.@..8.D
        0x0090:  e845 a69f 6631 2a67 7f07 07d2 4aca 7b1b  .E..f1*g....J.{.
        0x00a0:  a572 7435 4171 c970 c1e5 28de 5066 07da  .rt5Aq.p..(.Pf..
        0x00b0:  3206 689a b97c 7af6 b4ab 004a 0799 1918  2.h..|z....J....
        0x00c0:  5ce5 cd50 1c02 ec1a 5da7 8100 649b f4e7  \..P....]...d...
        0x00d0:  eca1 3bf0 99bb 6882 8fcd 754f 8bdc 79d6  ..;...h...uO..y.
        0x00e0:  7fc8 8d5c 7ce1 d65e 37d5 1239 da9f 54b1  ...\|..^7..9..T.
        0x00f0:  880b 4bdb 21a3 6bfd 46d2 ed8c bb48 b051  ..K.!.k.F....H.Q
        0x0100:  20ce d299 c8d9 1378 bdfc dfa5 86d5 cb5b  .......x.......[
        0x0110:  1c20 38c8 9e52 d440 1be8 ce9d b5f7 9586  ..8..R.@........
        0x0120:  cd84 55b5 7e07 2fcf a82d 6690 26b5 d454  ..U.~./..-f.&..T
        0x0130:  cd0f 0a8d ca7d 7434 a378 0ce3 8cdb 67b5  .....}t4.x....g.
        0x0140:  99a9 7238 e5c2 467c 7a97 3ce3 950c 53ee  ..r8..F|z.<...S.
        0x0150:  7786 28d7 04c1 14ec 4e82 957c ab1d c214  w.(.....N..|....
        0x0160:  4544 ddd5 2134 cb3f c9cd 5b3e db72 d6df  ED..!4.?..[>.r..
        0x0170:  b704 0467 4ca8 849c 71a8 df0e 757a 6746  ...gL...q...uzgF
        0x0180:  9b2a 46b2 304c 94ec 1d5b 9269 d9f1 634d  .*F.0L...[.i..cM
        0x0190:  e875 fd52 517f 2601 b61f 8e67 115e 7d18  .u.RQ.&....g.^}.
        0x01a0:  0c9b 094b 2687 e995 510b 6d28 07d5 3a14  ...K&...Q.m(..:.
        0x01b0:  a3c0 f2e7 9cd5 59ef 7aa0 f194 b56d 9720  ......Y.z....m..
        0x01c0:  6e92 66cb 2bfd 25e1 92a0 e1a0 85c0 1821  n.f.+.%........!
        0x01d0:  8a80 7cdd 995a 4a30 4564 b693 c99c 4380  ..|..ZJ0Ed....C.
        0x01e0:  226d 2ea7 9936 c69a 2355 475a 250a bd6b  "m...6..#UGZ%..k
        0x01f0:  0f1f 15ec 26b8 fa9f fa7c 799d e255 be4c  ....&....|y..U.L
        0x0200:  141f 0dab 5b5e d287 befd 9d2f 433f bbff  ....[^...../C?..
        0x0210:  656f 6ac9 036f 212a 3da9 3242 01c5 6d93  eoj..o!*=.2B..m.
        0x0220:  2e67 8843 ee83 bffd b0d8 5de0 b8ea b785  .g.C......].....
        0x0230:  d785 99c2 7f9b 6940 d89e d28a d0dc 445a  ......i@......DZ
        0x0240:  01f0 df9a 565c 6c9b b280 6116 c051 ea91  ....V\l...a..Q..
        0x0250:  4280 07f7 d4e7 a256 e27b edbb a7a8 9e28  B......V.{.....(
        0x0260:  aafb c1a8 44a0 4f65 98b8 c1fa 7d0f 7837  ....D.Oe....}.x7
        0x0270:  e644 49ad adc8 6886 5f70 82ce ebc9 223d  .DI...h._p...."=
        0x0280:  e9d5                                     ..

14:00:34.785813 IP 192.168.1.23.64332 > 119.188.65.126.53: 7690+ [b2&3=0x102] [8745q] [880n] [37553au] Type55204 (Class 49236)? dM-'M-,x,ZM-d^RFO`M-qM-t^G^@^@^E^@M-[M-9^cBM-G$M-bM-~M-^[M-SkM-cr{ZM-^BAM-(M-^\QM-\/iE^GM-]QM-(.M-rM-^UM-^CM-^FM-^JRE<^JH:%M-s^LM-^CM-^E^_kM-^^)#M-0M-_M-bnezyM-6^IZ^]M-7M-6M-}M-^LM-rPM-@^C/M-^GM-IM-M4_.^EM-^VM- 3M-.iM-^NM-#^WM- M-3M-AONM-tZM-^SFM-R^W^Ts^M$)^JM-^ZM- M--D"LM-_%M-^@GM- Ww^]M-8M-/0(B^PM-;M-E^OTM-xM-}M-DlizoM-^YM-^By^WM-&d^_M-k7M-RM-z^GM-JM-"^IuM-^JM-hM-MM-oIZ^MM-ZM-^MM-$^^VM-^TnM-.^M;M-n.OM-^]^[oM-LM-u^IM-^TG1M-iM-jM-'iM-^BM-RM-VqM-^X^PM-d^ZM-X^WM-*M-&!M-nM-3M-^SM-j=M-+bM-^?M-^GM-eT^]^La^M^CM-WM-nM-^IM-y.M-&M^VM-^[=M-^\kM-2M-vM-^F."M-^XM-iM-KM-lM-q.c^EM-BM-@M- dM-|LM-fM-^Z.M-TEhM-iM-FptEM-RM-f^YM-^FM-~kM-vM-^M^LM-6M-;M-^MM-^ZM-o#UZdM-(Gr^O.[|domain]
        0x0000:  4500 03aa 5812 0000 3e11 2460 dd02 6694  E...X...>.$`..f.
        0x0010:  77bc 417e fb4c 0035 0396 2a58 1e0a 0102  w.A~.L.5..*X....
        0x0020:  2229 0000 0370 92b1 ba64 a7ac 782c 5ae4  ")...p...d..x,Z.
        0x0030:  1246 4f60 f1f4 0700 0005 00db b95e 6342  .FO`.........^cB
        0x0040:  c724 e2fe 9bd3 6be3 727b 5a82 41a8 9c51  .$....k.r{Z.A..Q
        0x0050:  dc2f 6945 07dd 51a8 2ef2 9583 868a 5245  ./iE..Q.......RE
        0x0060:  3c0a 483a 25f3 0c83 851f 6b9e 2923 b0df  <.H:%.....k.)#..
        0x0070:  e26e 657a 79b6 095a 1db7 b6fd 8cf2 50c0  .nezy..Z......P.
        0x0080:  032f 87c9 cd34 5f2e 0596 a033 ae69 8ea3  ./...4_....3.i..
        0x0090:  17a0 b3c1 4f4e f45a 9346 d217 1473 0d24  ....ON.Z.F...s.$
        0x00a0:  290a 9aa0 ad44 224c df25 8047 a057 771d  )....D"L.%.G.Ww.
        0x00b0:  b8af 3028 4210 bbc5 0f54 f8fd c46c 697a  ..0(B....T...liz
        0x00c0:  6f99 8279 17a6 641f eb37 d2fa 07ca a209  o..y..d..7......
        0x00d0:  758a e8cd ef49 5a0d da8d a41e 5694 6eae  u....IZ.....V.n.
        0x00e0:  0d3b ee2f 4f9d 1b6f ccf5 0994 4731 e9ea  .;./O..o....G1..
        0x00f0:  a769 82d2 d671 9810 e41a d817 aaa6 21ee  .i...q........!.
        0x0100:  b393 ea3d ab62 ff87 e554 1d0c 610d 03d7  ...=.b...T..a...
        0x0110:  ee89 f911 a64d 169b 3d9c 6bb2 f686 2e22  .....M..=.k...."
        0x0120:  98e9 cbec f129 6305 c2c0 a064 fc4c e69a  .....)c....d.L..
        0x0130:  2ed4 4568 e9c6 7074 45d2 e619 86fe 6bf6  ..Eh..ptE.....k.
        0x0140:  8d0c b6bb 8d9a ef23 555a 64a8 4772 0fef  .......#UZd.Gr..
        0x0150:  b8d7 a4c0 5409 8ef2 19a9 5732 3237 1917  ....T.....W227..
        0x0160:  582a 7d6d 4f73 6593 6821 96b0 af92 0ad9  X*}mOse.h!......
        0x0170:  1722 36ea 3314 d071 e8b4 abaf 00b0 3086  ."6.3..q......0.
        0x0180:  e223 1b4d 7452 6cd3 eedb ecf4 5498 ef1d  .#.MtRl.....T...
        0x0190:  9c17 0ddb 596e 5683 0d39 cf27 e1a4 0835  ....YnV..9.'...5
        0x01a0:  084a d48a e081 8813 a3eb 29b9 e163 e325  .J........)..c.%
        0x01b0:  a932 f83e d0e4 d3f2 2dc9 d396 5440 8fc3  .2.>....-...T@..
        0x01c0:  42ea de37 4943 9c26 a89a 327f 5ae0 f44d  B..7IC.&..2.Z..M
        0x01d0:  5734 61ea 4f29 ef65 ac5a 67d6 a14f a3d1  W4a.O).e.Zg..O..
        0x01e0:  d74c 1497 2024 1d12 ace9 08c9 39fa 4a8c  .L...$......9.J.
        0x01f0:  7904 6df2 4b5c 0abe 9dfc 620b db60 d4a0  y.m.K\....b..`..
        0x0200:  6eae 1108 e64b e992 b109 0444 0b79 5e66  n....K.....D.y^f
        0x0210:  bd38 6ae2 d09c bfee a48c 49c2 63f2 680c  .8j.......I.c.h.
        0x0220:  35d3 faa3 c412 25df da5f ee2d d3a0 2c0a  5.....%.._.-..,.
        0x0230:  7869 d174 97ac 9cf3 8183 74a7 0924 ef0b  xi.t......t..$..
        0x0240:  f221 1d21 a74f f5c3 1745 c39b f1ce 4fa7  .!.!.O...E....O.
        0x0250:  848b 195e 477d 9a34 e025 edc1 f02c 4bdb  ...^G}.4.%...,K.
        0x0260:  6ceb 9980 2b2e 5752 83c2 a301 e825 64af  l...+.WR.....%d.
        0x0270:  9be9 0522 a63a c1a3 1154 c66d 7a16 de57  ...".:...T.mz..W
        0x0280:  4994 37d1 b3b6 00cc 0487 aab4 907c a9ed  I.7..........|..
        0x0290:  83d8 5a49 2830 8fa1 7155 24c4 6942 c80d  ..ZI(0..qU$.iB..
        0x02a0:  09fe a61d 7404 23b1 e476 cb62 72ab 9b95  ....t.#..v.br...
        0x02b0:  6f5e 3fa8 423c df5a 7bf7 76e8 ae07 1805  o^?.B<.Z{.v.....
        0x02c0:  dc45 01d4 ccf2 ce03 4302 e521 0bc5 710b  .E......C..!..q.
        0x02d0:  f0db 3f6e e308 bd14 f1de 8892 8cf2 6e4a  ..?n..........nJ
        0x02e0:  d6e0 7665 473f 6581 c06d e997 ef74 be8d  ..veG?e..m...t..
        0x02f0:  947c 2e4d 9849 4aeb 0e3b 07e0 5977 f766  .|.M.IJ..;..Yw.f
        0x0300:  f221 21c6 9948 3d82 5eb3 e8da 2279 4b0e  .!!..H=.^..."yK.
        0x0310:  a45b ef68 c9ca 8eaf a9c0 e886 c294 fcdf  .[.h............
        0x0320:  80cf 5ff9 3d29 1e59 bd85 67f1 3865 4447  .._.=).Y..g.8eDG
        0x0330:  a8a8 538d 1128 7b0b 49b3 0a71 de62 15c2  ..S..({.I..q.b..
        0x0340:  cbfb 186a f597 c0b6 5416 377c e6aa 9a3d  ...j....T.7|...=
        0x0350:  4b9c 2dbc 8ac9 389e 7c3c ebf2 4a22 bfea  K.-...8.|<..J"..
        0x0360:  363f d0cc 5156 5973 585e e074 fab2 d61c  6?..QVYsX^.t....
        0x0370:  499e f1cf 43e9 0f62 4033 8369 f986 987b  I...C..b@3.i...{
        0x0380:  a367 d9f6 af49 34a0 3abd cf77 4797 f3d6  .g...I4.:..wG...
        0x0390:  86e2 b991 8421 9e86 7b25 ab84 6333 18f8  .....!..{%..c3..
        0x03a0:  c91e e6ce 538d af70 7998                 ....S..py.
14:00:34.813661 IP 119.188.65.126.53 > 192.168.1.23.64332: 7690+ [b2&3=0x102] [8745q] [224n] [47779au][|domain]
        0x0000:  4500 011a 0000 4000 3811 4502 77bc 417e  E.....@.8.E.w.A~
        0x0010:  dd02 6694 0035 fb4c 0106 0a7b 1e0a 0102  ..f..5.L...{....
        0x0020:  2229 0000 00e0 baa3 7d87 c9e1 9536 0ac7  ")......}....6..
        0x0030:  8cff b7fe ebbb 0700 0005 13c5 b425 9434  .............%.4
        0x0040:  3fc8 c9ce 9637 78a8 6bd0 062e 6218 94d8  ?....7x.k...b...
        0x0050:  4196 1a89 4b67 f9d4 4100 e0dd 1e03 724d  A...Kg..A.....rM
        0x0060:  8c59 3e37 4cb7 8e7c 9719 4375 ae50 999b  .Y>7L..|..Cu.P..
        0x0070:  3e22 1650 3f57 6e9d ec87 7b0f 1307 03ab  >".P?Wn...{.....
        0x0080:  0ef2 8104 e776 426d 3e74 50dc 5700 2ab5  .....vBm>tP.W.*.
        0x0090:  7d77 063d 0ea2 28f5 17f1 d7fd 5753 179b  }w.=..(.....WS..
        0x00a0:  ee55 84d6 95b2 4de0 b316 b9b1 4736 c28e  .U....M.....G6..
        0x00b0:  05c7 a69b 8cfc b4c8 72a8 be3c c719 77d7  ........r..<..w.
        0x00c0:  b861 1735 1cde 8640 3b1a b946 c5f2 cc7a  .a.5...@;..F...z
        0x00d0:  2c2b 0a9c 5715 0236 6029 688f 4f5c e27b  ,+..W..6`)h.O\.{
        0x00e0:  1aed 7f86 7711 b0e6 8490 6acb a8c9 1bcc  ....w.....j.....
        0x00f0:  ee72 d3d3 3630 8de6 52cc 3c8c d45e b5ec  .r..60..R.<..^..
        0x0100:  ca05 8b15 3ff6 eb25 c123 ed3b bc96 c151  ....?..%.#.;...Q
        0x0110:  9613 aaec ecf0 d21c 0dcb                 ..........

mirnshi

回复 7# lsstarboy


这不是DNS协议，只是借用了53端口而已。

lsstarboy

我的bind也经常显示不正确的请求，看来就是这些东西了，研究一下格式，看看怎么用封掉它。

muwanqing_cu

dns包没这么大

lsstarboy

回复 10# muwanqing_cu

想从协议方面入手，但是没找到合适的DNS包特征，长度也不一定，因为有时会在一个包中查询好几个域名，或者返回多个IP等。