基于scapy实现随机源IP的DNS发包工具

在DNS系统运维工作中，我们通常会希望能测试不同的源IP下DNS解析结果的应答情况，进而评估智能DNS的实现情况或者做DNS数据分析等。

本文介绍在python2.7环境下使用scapy模块实现一个能随机源IP地址的简单易用的DNS发包工具，代码实现如下：

#!/usr/bin/env python
#coding=utf-8
import time
import random
from scapy.all import *

dns_server = '192.168.138.146'

#定义DNS域名查询时请求的记录类型，根据DNS协议
query_type_dic = {'A':1,'AAAA':28,'PTR':12,'CNAME':05,'NS':02}
#发包实现函数
def attack(dns_server,client_ip,domain,query_type):
   a = IP(dst=dns_server,src=client_ip)
   b = UDP(dport=53)
   c = DNS(id=1,qr=0,opcode=0,tc=0,rd=1,qdcount=1,ancount=0,nscount=0,arcount=0)
   c.qd = DNSQR(qname=domain,qtype=query_type,qclass=1)
   p = a/b/c
   send(p)

#打开要拨测的域名文件
f = file('domain.txt','r')
list_domain = f.readlines()
f.close()

while True:
   #指定随机源IP，例如IP地址的前16位固定是10.10
   i = random.randrange(0,255,2)
   j = random.randrange(0,255,2)
   attack_ip = '10.10.%s.%s' % (i,j)
   
   attack_domain = list_domain[random.randrange(0,len(list_domain))].split()
   try:
       attack(dns_server,attack_ip,attack_domain[0],query_type_dic[attack_domain[1]])
   except:
       print 'send failed~',attack_domain
   time.sleep(0.2)

用于拨测的域名清单文件domain.txt内容如下

[root@localhost random_source_ip]# cat domain.txt 
www.baidu.com A
www.taobao.com A
163.com MX
www.youku.com AAAA
www.qq.com AAAA
www.jd.com AAAA
8.8.8.8.in-addr.arpa PTR
114.114.114.114.in-addr.arpa PTR

在DNS侧抓包效果如下

02:03:12.951289 IP 10.10.146.156.domain > 192.168.3.131.domain: 1+ A? www.baidu.com. (31)
02:03:12.951496 IP 192.168.3.131.domain > 10.10.146.156.domain: 1 3/5/5 CNAME www.a.shifen.com., A 182.61.200.6, A 182.61.200.7 (260)
02:03:13.189254 IP 10.10.198.56.domain > 192.168.3.131.domain: 1+ A? www.taobao.com. (32)
02:03:13.189488 IP 192.168.3.131.domain > 10.10.198.56.domain: 1 3/6/8 CNAME www.taobao.com.danuoyi.tbcache.com., A 113.16.206.233, A 113.16.206.234 (387)
02:03:13.414102 IP 10.10.136.114.domain > 192.168.3.131.domain: 1+ PTR? 114.114.114.114.in-addr.arpa. (46)
02:03:13.414329 IP 192.168.3.131.domain > 10.10.136.114.domain: 1 1/2/4 PTR public1.114dns.com. (192)
02:03:13.639826 IP 10.10.8.216.domain > 192.168.3.131.domain: 1+ A? www.baidu.com. (31)
02:03:13.640021 IP 192.168.3.131.domain > 10.10.8.216.domain: 1 3/5/5 CNAME www.a.shifen.com., A 182.61.200.6, A 182.61.200.7 (260)
02:03:13.870699 IP 10.10.168.138.domain > 192.168.3.131.domain: 1+ A? www.taobao.com. (32)
02:03:13.871041 IP 192.168.3.131.domain > 10.10.168.138.domain: 1 3/6/8 CNAME www.taobao.com.danuoyi.tbcache.com., A 113.16.206.234, A 113.16.206.233 (387)

说明

1. 此工具做功能测试及验证比较适合，但不适合性能测试。
2. 分享的目的是DNS运维的工作的经验，不是为了拿工具来攻击DNS系统。强烈反对这样的行为。