Як дізнатися, звідки вийшла електронна пошта?
Тільки тому, що електронна пошта з'являється у папці "Вхідні" з позначкою [email protected], це не означає, що Білл дійсно має щось пов'язане з нею. Прочитайте далі, як ми досліджуємо, як копатися і бачити, звідки підозріла електронна пошта.
Сьогоднішня сесія запитань та відповідей приходить до нас люб'язно від SuperUser - підрозділу Stack Exchange, групування спільноти веб-сайтів з запитань та відповідей.
Питання
Читач SuperUser Sirwan хоче знати, як з'ясувати, звідки насправді посилаються електронні листи:
Як я можу знати, звідки дійсно з'явилася електронна пошта?
Чи є спосіб знайти це?
Я чув про заголовки електронної пошти, але не знаю, де можна побачити заголовки електронної пошти, наприклад, у Gmail.
Давайте поглянемо на ці заголовки електронної пошти.
Відповіді
Співробітник SuperUser Tomas пропонує дуже детальний та глибокий відгук:
Подивіться приклад афери, який був надісланий мені, роблячи вигляд, що він від мого друга, стверджуючи, що вона була пограбована і просить мене про фінансову допомогу. Я змінив імена - припустимо, що я - Білль, шахрайство надіслав електронний лист
[email protected], роблячи вигляд, що він є[email protected]. Зверніть увагу, що Білл має намір[email protected].По-перше, у Gmail використовуйте
показати оригінал:
Потім відкриється повна адреса електронної пошти та її заголовки:
Доставлено-To: [email protected] Отримано: 10.64.21.33 з ідентифікатором SMTP s1csp177937iee; Пн, 8 липня 2013 04:11:00 -0700 (PDT) X-Received: на 10.14.47.73 з ідентифікатором SMTP s49mr24756966eeb.71.1373281860071; Пн, 08 Липня 2013 04:11:00 -0700 (PDT) Повернення: Отримано: від maxipes.logix.cz (maxipes.logix.cz. [2a01: 348: 0: 6: 5d59: 50c3: 0: b0b1 ]) на mx.google.com з ідентифікатором ESMTPS j47si6975462eeg.108.2013.07.08.04.10.59 для (версія = TLSv1 cipher = RC4-SHA біт = 128/128); Пн, 08 Липня 2013 04:11:00 -0700 (PDT) Отриманий-SPF: нейтральний (google.com: 2a01: 348: 0: 6: 5d59: 50c3: 0: b0b1 не дозволений, ні не заперечений записом найкращих припущень для домен [email protected]) client-ip = 2a01: 348: 0: 6: 5d59: 50c3: 0: b0b1; Результати аутентифікації: mx.google.com; spf = neutral (google.com: 2a01: 348: 0: 6: 5d59: 50c3: 0: b0b1 не дозволено, ані не заперечується записом доменів для [email protected]) ) [email protected] Отримано: maxipes.logix.cz (Postfix, з userid 604) id C923E5D3A45; Mon, 8 Jul 2013 23:10:50 +1200 (NZST) X-Original-To: [email protected] X-Greylist: відкладено 00:06:34 від SQLgrey-1.8.0-rc1 Отримано: від elasmtp-curtail .atl.sa.earthlink.net (elasmtp-curtail.atl.sa.earthlink.net [209.86.89.64]) на maxipes.logix.cz (Postfix) з ідентифікатором ESMTP B43175D3A44 для; Mon, 8 Jul 2013 23:10:48 +1200 (NZST) Отримано: від [168.62.170.129] (helo = laurence39) на elasmtp-curtail.atl.sa.earthlink.net з esmtpa (Exim 4.67) (конверт-з ) id 1Uw98w-0006KI-6y для [email protected]; Mon, 08 Jul 2013 06:58:06 -0400 From: "Аліса" Тема: Страшна подорож… Прохання відповісти як можна швидше: [email protected] Content-Type: multipart / alternative; межа = "jtkoS2PA6LIOS7nZ3bDeIHwhuXF = _9jxn70" MIME-Version: 1.0 Reply-To: [email protected] Дата: Понеділок, 8 липня 2013 10:58:06 +0000 Message-ID: X-ELNK-Trace: 52111ec6c5e88d9189cb21dbd10cbf767e972de0d01da940e632614284761929eac30959a519613a350badd9bab72f9c350badd9bab72f9c350badd9bab72f9c X-Originating- IP: 168.62.170.129 [... Я вирізав тіло листа ...]Заголовки читаються хронологічно знизу вгору - найстаріші знаходяться внизу. Кожен новий сервер на шляху додасть своє повідомлення - починаючи з
Отримано. Наприклад:Отримано: від maxipes.logix.cz (maxipes.logix.cz. [2a01: 348: 0: 6: 5d59: 50c3: 0: b0b1]) на mx.google.com з ESMTPS id j47si6975462eeg.108.2013.07.08.04.10. 59 для (версія = TLSv1 шифр = біти RC4-SHA = 128/128); Пн, 08 липня 2013 р. 04:11:00 -0700 (PDT)Це говорить про це
mx.google.comотримав пошту відmaxipes.logix.czвПн, 08 липня 2013 р. 04:11:00 -0700 (PDT).Тепер, щоб знайти реальний відправнику вашої електронної пошти, ваша мета - знайти останній надійний шлюз - останній при читанні заголовків зверху, тобто спочатку в хронологічному порядку. Почнемо з пошуку поштового сервера Білла. Для цього ви запитуєте запис MX для домену. Ви можете скористатися деякими онлайн-інструментами, або на Linux ви можете запитувати його в командному рядку (зверніть увагу, що реальне доменне ім'я було змінено на
domain.com):~ $ host -t MX домен.com домен.com MX 10 broucek.logix.cz domain.com MX 5 maxipes.logix.czТаким чином, ви бачите поштовий сервер для domain.com
maxipes.logix.czабоbroucek.logix.cz. Таким чином, останній (перший хронологічно) довірений "хоп" - або останній довірений "отриманий запис", або як ви його називаєте - це:Отримано: від elasmtp-curtail.atl.sa.earthlink.net (elasmtp-curtail.atl.sa.earthlink.net [209.86.89.64]) на maxipes.logix.cz (Postfix) з ідентифікатором ESMTP B43175D3A44 для; Пн, 8 липня 2013 р. 23:10:48 +1200 (NZST)Ви можете довіряти цьому, оскільки це було записано поштовим сервером Білла для
domain.com. Цей сервер отримав його від209.86.89.64. Це може бути, і дуже часто, справжній відправник електронної пошти - в даному випадку це шахрай! Ви можете перевірити цей IP-адрес у чорному списку. - Дивись, він перерахований в 3 чорних списку! Під ним є ще один запис:Отримано: від [168.62.170.129] (helo = laurence39) elasmtp-curtail.atl.sa.earthlink.net з esmtpa (Exim 4.67) (конверт-з) id 1Uw98w-0006KI-6y для [email protected]; Пн, 08 липня 2013 в 06:58:06 -0400але ви не можете насправді довіряти цьому, тому що це може бути просто додано шахраєм, щоб стерти його сліди та / або закласти помилковий слід. Звичайно ще є можливість, що сервер
209.86.89.64невинний і виступав лише як естафета реального зловмисника168.62.170.129, але тоді естафету часто вважають винною і дуже часто в чорному списку. В цьому випадку,168.62.170.129чистий, тому ми можемо бути майже впевнені, що атака зроблена209.86.89.64.І, звичайно, як відомо, Аліса використовує Yahoo! і
elasmtp-curtail.atl.sa.earthlink.netне на сайті Yahoo! мережі (ви можете повторно перевірити інформацію про IP Whois), ми можемо з упевненістю зробити висновок, що це повідомлення не було від Аліси, і що ми не повинні надсилати їй жодних грошей на її заявлену відпустку на Філіппінах.
Два інших учасника, Ex Umbris і Vijay, рекомендували, відповідно, наступні послуги для надання допомоги в розшифровці заголовків електронної пошти: SpamCop і інструмент Google Header Analysis.
Маєте щось додати до пояснення? Звучить в коментарях. Хочете прочитати більше відповідей від інших технологічних користувачів Stack Exchange? Перегляньте повний потік обговорення тут.
