Wireshark pcap文件-确定外部dns

Question

我刚接触安全，正在解决一个问题，我需要找出用于将名称解析为IP的外部DNS。我可以过滤如何查找dns流量，但如何找出用于解析地址的外部DNS？

Answer 1

可以使用多个DNS解析器。如果您知道它们都监听标准端口UDP/53，您可以简单地检索目标IP地址：

$ tshark -r tmp.pcap -T fields -e ip.dst "udp.dstport eq 53" | sort | uniq -c
31 127.0.0.1
3 192.168.1.3

上面将为您提供UDP/53数据包的目的IP地址列表。在我的例子中，我有一个本地解析器(127.0.0.1)，它只为未缓存的记录调用上面的解析器(192.168.1.13)。因此，大多数请求只会转到本地解析器(34个请求中有31个)。

DNS解析器监听TCP/53也是很常见的。您也可以使用以下命令来选择这些请求：

tshark -r capture.pcap -T fields -e ip.dst "udp.dstport eq 53 or tcp.dstport eq 53" | sort | uniq -c

您也可以在捕获的同时使用应用过滤数据包，以避免保存不必要的数据包：

tshark -i any -T fields -e ip.dst "dst port 53" > capture.txt
cat capture.txt | sort | uniq -c