windows解析DNS的核心逻辑

啤酒瓶空了缓

吐槽一下，这个发帖要贴个图片。好贫苦。。。。。。。。。。

WIN10处理逻辑调试技巧。由于DNS可以使用下令清除缓存，然后使用Ping下令，触发DNS解析。因此调试时候遇到不确定的是否是关键调用。可以先用 ipconfig /flushdns 清除缓存。然去反汇编调试器上面步过，确认是否是关键调用1.      首选准备测试程序


测试方法。找一个IP。然后当地使用下令ipconfig  /flushdns 清空DNS查询 使用IDA查看函数




进去


WSALookupServiceNextA具体函数作用未知。但是通过下令，发现不存在的DNS在WSAloolupservice执行之后，有了新增的。使用x64dbg查看这个函数实现


调用Unicode的函数版本 后面就主要进入mssock.dll不停跟进，直到


然后进入DNSapi.dll


上面大抵逻辑就是对于 localhost, localmachine.loopring之类的进行解析。如果不是就去查询注册表是否设置了DNS。如果还不是，就进入RPC调用


所以win10上面。Windows解析DNS的逻辑就是先去判断是不是localhost,localmachine之类的。如果不是就再去查是不是注册表中设置了这个DNS，如果还不是就使用RPC和SVCHOST.exe进行通讯。让服务去查询DNS。处理完成之后，使用WSNoteSuccessfulHostentLookup去查询对应的IP。 Win7处理逻辑开头和win10基本区别不大，也是进入WSALookupServiceNextA


然后统一进入Unicode版本函数


WSALookupServiceNextW的实现


这之后通过几个函数的跳转进入到mssocket.dll,明显这里开始进行网络处理了。通过GetProcAddress找到DnsQueryExW


然后又是判断是不是那些特殊的当地域名


然后又是进入关键地方，进行RPC的调用


RPC核心调用位置：


末了到达这里应该就是RPC正式调用了


吐槽一下：win7的RPC代码，感觉比起WIN10乱了好多。 总结：windows 对于DNS的处理，都是交给一个体系进程（svchost.exe）行止理，其他程序必要DNS时候，windows先去看是否是当地的一些代表当地的特殊DNS。如果不是，则进行进程RPC通讯，交个体系进程行止理DNS。然后RPC取得返回结果，正式因为有单独进程处理，所以才可以使用下令清除DNS来找关键CALL
来源：http://www.12558.net
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！