Frage TCPDUMP

[schnuppiS]

Hallo Leute,

ich bräuchte mal dringend eure Hilfe.

Ich soll nen DNS Filter schreiben im Tcpdump.

Ich hab auch die Lösung dazu nur versteh ich die nicht ganze wie sich das ganze zusammensetzt.

Frage ist: Write a tcpdump filter to select DNS packets whose opcode value > is 5

Die lösung ist

tcpdump dns [4] & 0x78 > 0x28

Ok bis [4] versteh ich das ganze das ist einfach das 5 Byte vom DNS Header (opcode) richtig?.....Aber danach beisst es bei mir auch....ok 0x28 = 5 ...nur wie setzt sich das ganze zusammen lässt sich das iwie ablesen aus dem DNS Header?? Und was hat es mit der 0x78 auf sich. Kann man das ganze iwie berechnen oder ablesen?

Ich hoffe ihr könnte mir helfen..und versteht meine Frage

Danke

[shujinko]

Hi,

tcpdump 'udp[0xa] & 0x78 > 0x28'

Erstmal der aufbau eines UDP (DNS) Packet

Byte 0-7 = UDP-Header

Byte 8-9 = DNS Transaktions-ID

Byte 10 (0xA) = Beginn der DNS-Flags

Der DNS-Opcode ist Bit 3-6 (daher die Maske 01111000 = 0x78) von Byte 10

Also die 0x78 ist nur die stelle wo sich der DNS Opcode befindet.

Die 0x28 steht für den Wert 5

(5 = 2^5 + 2^3 = 40 = 0x28)

Aber viel wirst du nicht sehen da alles >5 nicht belegt ist:

DNS Opcode Tabelle

0 -> QUERY, Standard query.

1 -> QUERY, Inverse query.

2 -> STATUS, Server status request.

3

4 -> Notify.

5 -> Update.

6 -15 -> reserved.

MfG