Wiresharkのpcapファイル - 外部DNSの把握

Question

私はセキュリティが新しく、名前をIPに解決するために使用される外部DNSを把握する必要があるという問題に取り組んでいました。私はDNSトラフィックを探す方法をフィルタリングできますが、アドレスを解決するために使用される外部DNSをどのように把握するのですか？

Answer 1

複数のDNSリゾルバを使用できます。あなたがそれらはすべて標準ポートUDP/53に聞き知っている場合、あなたは単に、宛先IPアドレスを取得できます。

$ tshark -r tmp.pcap -T fields -e ip.dst "udp.dstport eq 53" | sort | uniq -c 
31 127.0.0.1 
3 192.168.1.3 

上記のあなたのUDP/53パケットの宛先IPアドレスのリストを提供します。私の場合、キャッシュされていないレコードに対して上記リゾルバ（192.168.1.13）のみを呼び出すローカルリゾルバ（127.0.0.1）があります。したがって、ほとんどのリクエストはローカルリゾルバ（34のうち31）にのみ送られます。

---

DNSリゾルバは、TCP/53上でリッスンすることもかなり一般的です。あなたにも、これらの要求を選択するには、次のコマンドを使用することができます。

tshark -r capture.pcap -T fields -e ip.dst "udp.dstport eq 53 or tcp.dstport eq 53" | sort | uniq -c 

をキャプチャしながら、あなたはまた、不要なパケットを保存避けるために、フィルタパケットを適用することができます。

tshark -i any -T fields -e ip.dst "dst port 53" > capture.txt 
cat capture.txt | sort | uniq -c