tshark - выцепить секцию из ответа DNS

[Serhio Go]

Всем доброе время суток!

 

Подскажите плз как с помощью tshark выцепить из ответа DNS поле Description секции Answers?

 

К примеру, запрос в DNS - "дай мне A для www.ru"

если запускать

 tshark -R "dns.resp.name"

, в ответ вижу

 
15.838484 ip.ip.ip.ip -> ip.ip.ip.ip DNS Standard query response A 194.87.0.50

А хотелось бы видеть в результате и запрашиваемое имя, и возвращаемый ответ, как это выглядит в поле Description секции Answers:

www.ru: type A, class IN, addr 194.87.0.50

Как?

 

# tshark -v

TShark 1.2.7

 

Edited October 9, 2010 by Serhio Go

[Serhio Go]

Или подскажите плз другой способ решения.

В конце концов нужно получить текстовый файл с ответами DNS-сервера на запросы A? (один запрос - одна строка), в которых фигурировали бы оба компонента А записи - и доменное имя, и IP-адрес.

Edited October 9, 2010 by Serhio Go

[RushOnline]

Или подскажите плз другой способ решения.

В конце концов нужно получить текстовый файл с ответами DNS-сервера на запросы A? (один запрос - одна строка), в которых фигурировали бы оба компонента А записи - и доменное имя, и IP-адрес.

# Запускаем на нашем DNS tcpdump:
ns # tcpdump -nvvi eth0 -s0 port 53 and host myworkstation

# С рабочей станции, которую мы указали в фильтре, формируем запрос (man host, nslookup):
myworkstation $ ping xxx.ru

# Получаем вывод tcpdump на DNS:
18:38:38.989132 IP (tos 0x0, ttl 62, id 4024, offset 0, flags [DF], proto UDP (17), length 52)
   213.148.160.88.57268 > 213.148.161.1.53: [udp sum ok] 40650+ A? xxx.ru. (24)
18:38:39.008111 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto UDP (17), length 68)
   213.148.161.1.53 > 213.148.160.88.57268: [bad udp cksum 7ac8!] 40650 q: A? xxx.ru. 1/0/0 xxx.ru. A 188.127.235.68 (40)

 

Думаю про дальнейший grep и прочую ты знаешь и без меня :)

[Serhio Go]

Или подскажите плз другой способ решения.

В конце концов нужно получить текстовый файл с ответами DNS-сервера на запросы A? (один запрос - одна строка), в которых фигурировали бы оба компонента А записи - и доменное имя, и IP-адрес.

# Запускаем на нашем DNS tcpdump:
ns # tcpdump -nvvi eth0 -s0 port 53 and host myworkstation

# С рабочей станции, которую мы указали в фильтре, формируем запрос (man host, nslookup):
myworkstation $ ping xxx.ru

# Получаем вывод tcpdump на DNS:
18:38:38.989132 IP (tos 0x0, ttl 62, id 4024, offset 0, flags [DF], proto UDP (17), length 52)
   213.148.160.88.57268 > 213.148.161.1.53: [udp sum ok] 40650+ A? xxx.ru. (24)
18:38:39.008111 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto UDP (17), length 68)
   213.148.161.1.53 > 213.148.160.88.57268: [bad udp cksum 7ac8!] 40650 q: A? xxx.ru. 1/0/0 xxx.ru. A 188.127.235.68 (40)

 

Думаю про дальнейший grep и прочую ты знаешь и без меня :)

Главное - вовремя сняться со ступора :)

Спасибо, это подходит.