怎么使用wireshark抓取dns包

准备工作

安装与启动

• 访问Wireshark官网下载对应系统的安装包并完成安装。
• 打开软件后,会显示所有可用的网络接口列表，选择当前正在使用的网络连接（如WiFi或有线以太网），双击即可激活该接口开始捕获数据包。

理解DNS协议基础

• DNS（域名系统）负责将易记的域名转换为IP地址，默认工作在UDP 53端口或TCP 53端口，其核心功能包括A记录（正向解析）、AAAA记录（IPv6解析）、MX邮件交换记录等。
• 每个DNS交互包含两个阶段：客户端发起查询请求，服务器返回响应答案，通过Wireshark可以完整观测这一过程。

配置捕获过滤器

为了高效聚焦目标流量,建议设置以下两种过滤方式：
| 类型 | 语法示例 | 作用说明 |
||||
| 显示过滤器 | dns | 仅展示与DNS相关的数据包 |
| 捕获过滤器 | port 53 | 限定只抓取UDP/TCP的53端口流量 |

✅ 推荐组合：同时使用dns作为显示过滤器，可进一步减少干扰项，若需针对特定域名（如example.com），可将过滤器改为dns && host == example.com。

触发DNS请求并观察数据流

主动生成流量

• 方法一：在浏览器地址栏输入任意网址（例如www.baidu.com），按下回车键触发DNS解析流程。
• 方法二：通过命令行工具执行nslookup domainname或ping domainname，强制设备发起DNS查询。
• Wireshark界面会实时刷新出对应的DNS请求和响应包,此时可暂停捕获以便逐条分析。

识别关键字段含义

展开单个DNS数据包查看详情页面,重点关注以下部分：

• 📌 Transaction ID：唯一标识一对请求响应消息，确保匹配准确性。
• 🚩 Flags标志位：包含递归查询标记（RD）、权威应答指示（AA）等状态信息。
• ⏳ TTL值：表明该记录在缓存中的有效时长，影响后续解析速度。
• 🔍 Query/Response区域：分别对应客户端的问题和服务器的回答内容，在响应包中能直接看到目标域名对应的IP地址。

深度分析应用场景

故障排查案例

• 如果发现某个网站的访问延迟过高,可通过比较多次DNS响应的时间戳定位慢速服务器节点。
• 当遇到“网页无法打开”错误时，检查响应代码是否为NXDOMAIN（域名不存在），从而判断是否存在拼写错误或未注册问题。

安全审计实践

• 对比不同层级DNS服务器返回的结果差异,检测中间人攻击导致的DNS劫持现象，若本地运营商篡改了某站点的IP指向恶意广告页面，则权威DNS与本地缓存的答案会出现不一致。
• 监控异常的CNAME重定向记录,这可能是钓鱼网站常用的跳转手段。

进阶技巧扩展

跟踪完整解析链路

启用追踪流重构功能（Follow Stream），可视化呈现从根提示开始逐级向下查询直至获得最终结果的过程，这有助于理解迭代解析机制如何工作。

解密DoH/DoT加密流量

对于采用HTTPS封装的DNSoverHTTPS（DoH）或TLS加密的DNSoverTLS（DoT），需导入相应的预共享密钥才能解密载荷内容，普通明文DNS无需此步骤即可直接查看明细。

注意事项与合规性提醒

⚠️ 法律风险警示：未经授权擅自抓包他人设备可能违反隐私保护法规，请确保只在自己拥有管理权限的网络环境中操作，企业环境下建议先获取IT部门批准。
⚠️ 性能影响控制：长时间高强度抓包可能导致系统资源占用上升，完成任务后应及时停止捕获并保存pcap文件供后续离线研究。

相关问题与解答

Q1: 如果我只想看某个特定类型的DNS记录怎么办？

答：在原有过滤器基础上追加条件即可，要筛选AAAA记录可修改为dns && type == AAAA；查找MX邮件服务器则使用dns && type == MX，Wireshark支持多种标准DNS报文类型的过滤组合。

Q2: 为什么有时候看不到预期的DNS响应包？

答：常见原因包括：①防火墙阻止了53端口通信；②启用了本地Hosts文件绕过正常DNS流程；③使用了非标准端口号进行自定义配置，此时可通过增加超时等待时间或检查替代传输通道来解决。

通过以上步骤,您不仅能熟练运用Wireshark抓取DNS包，还能深入解析网络行为背后的逻辑，为故障诊断、性能优化