NBNS分析

第一，NetBIOS基本概念

   NetBIOS: NetBIOSServices Protocols, RFC-1001，1002，网络基本输入/输出系统协议。

   Provides threedistinct services: 

       (1)Name service for name registration and resolution.

       (2)Session service for connection-oriented communication.

       (3)Datagram distribution service for connectionless communication.

   每个计算机在网络中都有一个NetBIOS名称和一个IP地址。

   Windows系统对IPV6网络不再支持NetBIOS名称解析。

   

第二，什么是WINS服务

   WINS (WindowsInternet Name Service): WINS is Microsoft's implementation of NetBIOS NameService (NBNS), a name server and service for NetBIOS computer names. 

   WINS服务器用于登记记录计算机NetBIOS名称和IP地址的对应关系，供局域网计算机查询。

   WINS数据库是动态更新的。计算机每当初始化TCP/IP后都会将它的NetBIOS名和IP地址的对应关系映射到WINS服务器的数据库中。

第三，Windows系统的名字(NetBIOS名称、域名)解析机制（如图所示）

   Hosts文件(本地文件)

   NetBIOS缓存(本地文件)

   DNS服务器解析(DNS数据包)

   WINS服务器解析(NBNS数据包)

   NetBIOS广播查找(NBNS数据包)

 

第四，为什么在Windows局域网络中存在有大量的NBNS数据包

   如果在局域网络中抓取并观察数据包，会发现有大量的NBNS数据包。

   根据以上Windows系统的名字的解析机制，不难看出：如果计算机需要知道一个NetBIOS名称或者域名对应的IP地址，首先会查找本地Hosts文件和NetBIOS缓存，其次会去联系DNS服务器进行解析。如果这几种方式都无法完成解析，则计算机会发出NBNS数据包。

   在现实网络中，名字解析（不管是NetBIOS名称解析还是域名解析）的需求是非常巨大的，数据包也非常多。由于局域网的安全限制，或者流氓软件对某些域名的大量访问，或者局域网本地计算机之间的大量访问，都会导致非常多的NBNS数据包。

 

 

下面分析一个NBNS包：

	A	B	C	D	E	F	G	H	I	J	K	L	M	N	O	P
1	ff	ff	ff	ff	ff	ff	b0	10	41	b9	a0	b7	08	00	45	00
2	00	4e	12	45	00	00	40	11	55	1b	ac	1e	bb	02	ac	1e
3	ff	ff	00	89	00	89	00	3a	69	97	dc	11	01	10	00	01
4	00	00	00	00	00	00	20	45	4a	45	4f	45	47	45	50	45
5	44	44	43	43	4f	45	45	46	46	45	43	45	42	43	4f	45
6	4f	45	46	46	45	41	41	00	00	20	00	01

 

 

先来分析MAC帧的首部：目的地址：0xff ff ff ff ff ff这个是广播地址(broadcast)

再来分析IP：

         目的地址：0x ac   1e     ff       ff，即：172.30.255.255，因为这是连接的宿舍的wifi查看自己的ip信息，发现此时自己的ip是：172.30.187.2，而子网掩码是：255.255.0.0，说明这个目的地址是本网络内的IP广播地址，现在自己所处的网络号是：172.30.0.0/16

         协议字段：这里是0x11，即17，应该表示的下面的是UDP的数据包

再来分析一下UDP：

         目的端口号和源端口号都是：0x0089，即：137，这个端口号应该是NBNS协议专用的吧？

         长度字段是：0x00 3a，即：58B，正好是3C~6L的数据长度

正式来分析NBNS:

        

dc

11

         TransactionID：0xdc 11，即：56337，不知道什么意思

01

10

         Flags：即，0x00000001 0001 0000，要分开来分析，

其中第一个bit为0表示：Response：message is query

第2到第5的bit为0表示：opcode namequery(0)

第7个bit为0表示：Truncated：message isnot truncated

第8个bit为0表示：recursiondesired：do query recursively

第12个bit为0表示：Broadcast：broadcastpacket

00

01

         Questions：0x00 01，即：1，表示：questions：1，不知道啥意思

 

 

 

00

00

         AnswerRRS：0，不知道啥意思

00

00

         AuthorityRRS：0，不知道啥意思

00

00

         AdditionalRRS：0，不知道啥意思

下面的从4G~6L全部是queries：

         其中从4J~6H共34B是：name，不知道啥意思

         再往下：

00

20

         表示的是type：NB

00

01

         表示的是：Class：in