Socket.gethostbyaddr与Scapy PTR请求获取主机名的差异解析

一、底层机制差异 #

• 系统DNS栈依赖：socket.gethostbyaddr(ip) 直接调用操作系统的DNS解析服务，会自动使用系统配置的DNS服务器（如/etc/resolv.conf或Windows网卡DNS设置），同时优先读取本地hosts文件、系统DNS缓存，还内置了重试、超时处理逻辑。而你的Scapy代码是手动构造并发送UDP DNS包，完全绕过系统DNS栈，所有参数（目标DNS服务器、请求格式、超时等）都需要自行控制。
• 请求细节处理：系统DNS客户端发送PTR请求时，会自动适配DNS服务器的EDNS0扩展要求、调整包大小、处理分片等边缘情况；Scapy默认的DNS包是极简结构，不会自动处理这些细节。

二、你的Scapy代码可能存在的问题 #

1. 目标DNS服务器不匹配 #

你手动指定的dst=dns可能和系统正在使用的DNS服务器不一致。内部DNS环境中，不同服务器的PTR记录可能同步不及时，或部分服务器未存储对应IP的PTR记录，导致Scapy请求返回错误结果。

2. 请求格式或参数遗漏 #

• 反向域名校验：虽然用了ipaddress.ip_address(ip).reverse_pointer生成反向域名，建议打印该字符串确认格式是否正确（比如192.168.1.1应生成1.1.168.192.in-addr.arpa），避免IP格式转换出错。
• 缺少EDNS0扩展：部分现代DNS服务器要求请求携带EDNS0扩展才能正常响应，Scapy默认DNS包无此扩展，需手动添加：

  res = scapy.sr1(
      scapy.IP(dst=dns)/scapy.UDP()/scapy.DNS(
          rd=1,
          qd=scapy.DNSQR(qname=str(ipaddress.ip_address(ip).reverse_pointer), qtype='PTR'),
          ar=scapy.DNSRR(rrname='.', type='OPT', rclass=4096)  # 添加EDNS0扩展
      ), 
      verbose=0,
      timeout=5  # 延长超时时间
  )
  

• 超时时间过短：Scapy的sr1默认超时为2秒，若内部DNS服务器响应较慢，会导致未收到正确响应，建议延长超时时间（如timeout=5）。

3. 网络层面拦截 #

Scapy发送的UDP包可能被防火墙或DNS服务器的安全策略拦截：

• 源端口问题：系统DNS客户端使用随机高位端口（1024-65535），而Scapy默认UDP源端口可能为固定值，部分服务器会拦截非高位端口的请求，可手动指定源端口：

  import random
  scapy.UDP(sport=random.randint(1024, 65535))
  

• 包特征识别：部分设备会识别Scapy构造包的特征（如TTL值、校验和）并拦截，可通过tcpdump port 53抓包，对比系统DNS请求和Scapy请求的包结构，调整Scapy包参数（如设置ttl=64）。

三、排查建议 #

1. 确认系统使用的DNS服务器：查看/etc/resolv.conf（Linux）或网卡DNS设置（Windows），将Scapy的dst=dns改为相同服务器后测试。
2. 开启Scapy的verbose=1，查看发送的请求包和接收的响应包，确认请求格式是否正确、是否收到有效响应。
3. 用tcpdump或Wireshark同时抓取系统gethostbyaddr和Scapy的请求，对比两者的DNS包结构，定位差异点。

内容的提问来源于stack exchange，提问作者CoDeC__