轻松使用Java语言解析DNS报文

前言

最近在做网络包分析的一个功能,其中有一点就是要判断抓包期间应用是否有存在异常的DNS 解析行为,并且要写在一个使用Java 语言的后端服务中,由于之前使用Go 语言做过类似的事情,所以我第一反应就是这个应该实现起来比较简单,但是实际上手后,发现在Java 中要拿到DNS 报文还没那么容易,当然也有可能是我没有找到正确的工具,如果有方便的工具,欢迎在评论区留言。那么本文就结合我如何从网络包中拿到DNS报文,进行一个简单介绍。

正文

一. DNS报文格式简析

DNS 报文本质是UDP 报文,UDP报文的格式如下所示。

DNS 相关内容,就体现在UDP 报文载荷中。DNS 报文分为DNS 请求报文和DNS 响应报文,两种报文结构一样,只是内容稍有差别,如下是DNS报文的格式。

DNS报文内容包含如下三个部分。

第一部分是基础结构部分,解释如下。

  • Transaction IDDNS 报文的事务ID 标识,DNS 请求报文和DNS 响应报文的Transaction ID 是一样的,故可以通过这个ID 关联DNS请求和响应报文;
  • FlagsDNS 报文的标志,标志由若干个含义不同的字段组成,较为常用的是第0位可以表示当前是请求DNS 报文还是响应DNS 报文,第12-15位可以表示响应DNS 报文的Reply Code
  • Questions 。问题数,表示后面Queries的数量;
  • Answer RRs 。回答资源记录数,表示后面Answers的数量;
  • Authority RRs 。授权资源记录数,表示后面Authoritative nameservers的数量;
  • Additional RRs 。附加资源记录数,表示后面Additional records的数量。

第二部分是问题部分,对应Queries ,该部分表示DNS 查询请求的问题信息,包含查询的域名Name ,查询的类型Type 和查询的类Class,解释如下。

  • Name 。就是请求DNS 解析的域名地址,这里的Name是一个不定长的字段,格式示意如下。
  • Type 。表示DNS 查询的资源类型,Name 字段结束后的两个字节就是Type ,通常关注较多的有0x0001 ,助记符是A ,表示通过域名查询IPv4 地址,以及0x001C ,助记符是AAAA ,表示通过域名查询IPv6地址;
  • Class 。表示地址类型,通常为0x0001,表示互联网地址。

第三部分是资源记录部分,解释如下。

  • Answers。记录域名解析出来的地址信息;
  • Authoritative nameservers。记录解析该域名对应的权威名称服务器信息;
  • Additional records。记录解析该域名对应的一些附加信息。

二. DNS报文解析实现

先回顾一下需求,就是需要得到应用是否存在异常的DNS 解析,那么结合上面的DNS报文格式,我们的判断逻辑可以像下面这样。

  1. 先找到只有请求DNS 报文但没有响应DNS 报文的DNS 解析,这是一种异常的DNS 解析情况,即DNS服务器没有响应解析请求;
  2. 拿到响应DNS 报文的Reply Code ,然后根据Reply Code 得到异常的DNS 解析情况,Reply Code的枚举如下所示。
Reply Code 说明
0 正常
1 报文格式错误
2 域名服务器异常
3 域名不存在
4 解析类型Type不支持
5 域名服务器拒绝请求
  1. 计算DNS解析的请求和响应报文的时间差,得到解析耗时过长的异常情况。

那么其实我们需要的DNS报文的内容就很明确了,如下所示。

  1. Transaction ID ,事务ID

  2. Reply Code ,响应码;

  3. Name ,域名;

  4. Type,解析类型。

现在就开始本文的正题,如何使用Java 语言来解析网络包并得到DNS 报文。在Go 语言中,可以使用google/gopacket 来方便的拿到DNS 报文,但是在Java 中,要一步拿到DNS报文尚有点困难,但是可以基于如下步骤来操作。

  1. 基于io.pkts 的工具包来解析网络包并拿到UDP报文;
  2. 过滤出源或目标端口号为53的UDP 报文,这是因为通常DNS服务器会工作在53号端口上;
  3. 拿到过滤后的UDP 报文的载荷,按照DNS 报文的格式解析得到Transaction IDReply CodeNameType

现在进行实操。先引入io.pkts的依赖,如下所示。

xml 复制代码
<dependency>  
    <groupId>io.pkts</groupId>  
    <artifactId>pkts-streams</artifactId>  
    <version>3.0.10</version>  
</dependency>  
<dependency>  
    <groupId>io.pkts</groupId>  
    <artifactId>pkts-core</artifactId>  
    <version>3.0.10</version>  
</dependency>  

然后基于SpringMultipartFile 来上传网络包并使用io.pkts 工具解析出UDP报文,实现如下所示。

java 复制代码
@RestController
public class FileUpload {

    @PostMapping("/upload/udp")
    public void uploadUdp(MultipartFile uploadFile) throws IOException {
        try (InputStream inputStream = uploadFile.getInputStream()) {
            GZIPInputStream gzipInputStream = new GZIPInputStream(inputStream);
            Pcap pcap = Pcap.openStream(gzipInputStream);
            pcap.loop(packet -> {
                if (packet.hasProtocol(Protocol.UDP)) {
                    UDPPacket udpPacket = (UDPPacket) packet.getPacket(Protocol.UDP);
                    if (udpPacket.getSourcePort() == 53
                            || udpPacket.getDestinationPort() == 53) {
                        final byte[] payloadByteArray = udpPacket.getPayload().getArray();
                        // 在这里根据DNS报文格式解析数据
                        ......
                    }
                }
                return true;
            });
        }
    }

}

解析Transaction ID的逻辑如下所示。

java 复制代码
private String parseTransactionId(byte[] array) {
    // 前两字节是Transaction ID,表示会话标识
    // DNS请求报文和响应报文通过Transaction ID进行匹配
    return HexUtils.toHexString(Arrays.copyOfRange(array, 0, 2));
}

解析请求或响应报文类型的逻辑如下所示。

java 复制代码
private int parseDnsPackageType(byte[] array) {
    // 第3和第4字节是Flags,表示标志
    // Flags的第0位代表请求或响应的类型
    // 0表示DNS请求报文,1表示DNS响应报文
    String binaryString = String.format("%08d", Integer.parseInt(Integer.toBinaryString(array[2] & 0xFF)));
    return Integer.parseInt(binaryString.substring(0, 1), 2);
}

解析Reply Code的逻辑如下所示。

java 复制代码
private int parseDnsRcode(byte[] array) {
    // 第3和第4字节是Flags,表示标志
    // Flags的最后四位表示Reply Code
    String binaryString = String.format("%08d", Integer.parseInt(Integer.toBinaryString(array[3] & 0xFF)));
    return Integer.parseInt(binaryString.substring(4, 8), 2);
}

解析Type的逻辑如下所示。

java 复制代码
private int parseDnsQueryType(byte[] array) {
    // 第13字节开始,是域名,域名以0x00结尾
    // 域名结束后的两个字节就代表DNS查询类型
    int domainEndIndex = -1;
    for (int i = 12; i < array.length; i++) {
        if ((array[i] & 0xFF) == 0) {
            domainEndIndex = i;
            break;
        }
    }
    String s = HexUtils.toHexString(Arrays.copyOfRange(array, domainEndIndex + 1, domainEndIndex + 3));
    return Integer.parseInt(s, 16);
}

解析Name的逻辑如下所示。

java 复制代码
private String parseDnsQueryDomain(byte[] array) {
    // 从第13字节开始,遵循[域名长度][域名][域名长度][域名]...0x00的规律
    // 故按照上述规律,从第13字节开始,将域名的所有组成部分获取出来并拼接
    List<String> domainParts = new ArrayList<>();
    int lengthIndex = 12;
    do {
        int partLength = array[lengthIndex] & 0xFF;
        String s = new String(Arrays.copyOfRange(array, lengthIndex + 1, lengthIndex + partLength + 2)).trim();
        domainParts.add(s);
        lengthIndex = lengthIndex + partLength + 1;
    } while ((array[lengthIndex] & 0xFF) != 0);
    return String.join(".", domainParts);
}

那么至此我们期望得到的DNS 报文的数据,我们就拿到了,后续就是将这些数据组装为一个Entity来方便我们在程序中使用和处理,这里就不再演示了。

总结

我使用Java 语言从网络包中解析出DNS报文的步骤总结如下。

  1. 使用io.pkts 解开网络包并过滤得到UDP报文;
  2. 过滤出源或目标端口号为53的UDP报文;
  3. 拿到过滤后的UDP 报文的载荷,按照DNS 报文的格式解析得到想要的DNS数据。
相关推荐
萧曵 丶7 分钟前
Rust 所有权系统:深入浅出指南
开发语言·后端·rust
老任与码32 分钟前
Spring AI Alibaba(1)——基本使用
java·人工智能·后端·springaialibaba
华子w9089258591 小时前
基于 SpringBoot+VueJS 的农产品研究报告管理系统设计与实现
vue.js·spring boot·后端
星辰离彬2 小时前
Java 与 MySQL 性能优化:Java应用中MySQL慢SQL诊断与优化实战
java·后端·sql·mysql·性能优化
GetcharZp3 小时前
彻底告别数据焦虑!这款开源神器 RustDesk,让你自建一个比向日葵、ToDesk 更安全的远程桌面
后端·rust
jack_yin4 小时前
Telegram DeepSeek Bot 管理平台 发布啦!
后端
小码编匠4 小时前
C# 上位机开发怎么学?给自动化工程师的建议
后端·c#·.net
库森学长4 小时前
面试官:发生OOM后,JVM还能运行吗?
jvm·后端·面试
转转技术团队4 小时前
二奢仓店的静默打印代理实现
java·后端
蓝易云4 小时前
CentOS 7上安装X virtual framebuffer (Xvfb) 的步骤以及如何解决无X服务器的问题
前端·后端·centos