Wireshark过滤DNS协议包语法实战

背景

现网DNS服务器发现CPU突增，发现有可能是客户恶意发起的随机子域名扫描，对服务器进行抓包分析，记录下当时的操作。

抓包

执行命令 tcpdump -iany port 53 and host '$ip' -nnv -w $ip.pcap进行抓包导出到本地，使用Wireshark进行打开分析

使用sz ip.pcap命令导出到本地

分析

Wireshark有自带的统计功能，非常好用，这里使用如下：

1、先找出请求量最大的客户端IP：

2、根据客户端IP找出请求量大的域名有哪些
1.模糊匹配域名
使用命令 ip.src == ip && dns.qry.name contains "域名"这个是模糊匹配域名
2.精确匹配域名
ip.src == ip && dns.qry.name == "域名"

处理

找出域名后，可以利用iptables对域名进行限频或者封禁<