Wireshark tìm phản hồi DNS "Refused"

Dựa trên https://www.wireshark.org/docs/dfref/d/dns.html bạn cần sử dụng dns.flags.rcode định nghĩa là:

dns.flags.rcode Mã trả lời Số nguyên không dấu, 2 byte 1.0.0 đến 3.4.9

"Mã trả lời" được định nghĩa trong §4.1.1. của RFC 1035 là "mã phản hồi" với "Refused" là giá trị 5:

5 Bị từ chối - Máy chủ định danh từ chối thực hiện các hoạt động được chỉ định cho lý do chính sách. Ví dụ, một tên máy chủ có thể không muốn cung cấp thông tin cho người yêu cầu cụ thể, hoặc một máy chủ định danh có thể không muốn thực hiện một hoạt động cụ thể (ví dụ: vùng chuyển) cho dữ liệu cụ thể.

Vì Wireshark định nghĩa nó là 2 byte, có thể đó là toàn bộ cấu trúc được mô tả trong RFC:

                                    1 1 1 1 1 1
      0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5
    +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
    | ID |
    +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
    |QR| Mã lệnh |AA|TC|RD|RA| Z| RCODE |
    +--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+

Vì vậy để so sánh RCODE đến giá trị 5, bạn có thể phải che dấu các bit khác.