Kuinka saan selville, mistä sähköposti todella tulee?

SÄHKÖISETTÖTÖN SISÄLTÖ

Se, että postilaatikossasi näkyy sähköposti nimeltä [email protected], ei tarkoita, että Billillä olisi itse asiassa mitään tekemistä sen kanssa. Lue, kun tutkimme kuinka kaivautua sisään ja nähdä mistä epäilyttävä sähköposti todella tuli.

Tämän päivän Kysymys- ja vastausistunto tulee meille SuperUser-lisenssillä - joka on Stack Exchangen alaryhmä.

Kysymys

SuperUser-lukija Sirwan haluaa tietää, kuinka selvittää, mistä sähköpostit todella ovat peräisin:

Mistä tiedän, mistä sähköposti todella tuli?
Onko mitään keinoa selvittää se?
Olen kuullut sähköpostiotsikoista, mutta en tiedä, mistä voin nähdä sähköpostin otsikot esimerkiksi Gmailissa.

Katsotaanpa näitä sähköpostiotsikoita.

Vastaukset

SuperUser-kirjoittaja Tomas tarjoaa erittäin yksityiskohtaisen ja oivaltavan vastauksen:

Katso esimerkki huijauksesta, joka on lähetetty minulle, teeskentelemällä, että se on ystäväni, väittäen, että hänet on ryöstetty, ja pyytämällä minulta taloudellista tukea. Olen muuttanut nimiä - oletetaan, että olen Bill, huijari on lähettänyt sähköpostia osoitteeseen [email protected] teeskentellen olevansa [email protected] . Huomaa, että Bill on välittänyt [email protected] .

Ensinnäkin, käytä Gmailissa näytä alkuperäinen :

Sitten koko sähköposti ja sen otsikot avautuvat:

Toimitettu-osoitteeseen: [email protected]
Vastaanotettu: mennessä 10.64.21.33 SMTP-tunnuksella s1csp177937iee;
        Ma 8. heinäkuuta 2013 04:11:00 -0700 (PDT)
X-vastaanotettu: mennessä 10.14.47.73 SMTP-tunnuksella s49mr24756966eeb.71.1373281860071;
        Ma 8. heinäkuuta 2013 04:11:00 -0700 (PDT)
Paluupolku: <[email protected]>
Vastaanotettu: osoitteesta maxipes.logix.cz (maxipes.logix.cz. [2a01:348:0:6:5d59:50c3:0:b0b1])
        kirjoittanut mx.google.com ESMTPS-tunnuksella j47si6975462eeg.108.2013.07.08.04.10.59
        osoitteelle <[email protected]>
        (versio = TLSv1-salaus = RC4-SHA-bitit = 128/128);
        Ma 8. heinäkuuta 2013 04:11:00 -0700 (PDT)
Vastaanotettu SPF: neutraali (google.com: 2a01: 348: 0: 6: 5d59: 50c3: 0: b0b1 ei ole sallittu eikä estetty SRS0=Znlt=QW=yahoo.com=alice@domain -verkkotunnuksen parhaan arvosanan tietueella. .com) client-ip = 2a01: 348: 0: 6: 5d59: 50c3: 0: b0b1;
Todennus-tulokset: mx.google.com;
       spf = neutraali (google.com: 2a01: 348: 0: 6: 5d59: 50c3: 0: b0b1 ei ole sallittua eikä estetty [email protected] -verkkotunnuksen parhaan arvauksen tietueella. ) [email protected]
Vastaanotettu: maxipes.logix.cz (Postfix, käyttäjätunnuksesta 604)
    tunnus C923E5D3A45; Ma 8. heinäkuuta 2013 23:10:50 +1200 (NZST)
X-Original-Vastaanottaja: [email protected]
X-Greylist: SQLgrey-1.8.0-rc1 viivästyi 00:06:34
Vastaanotettu: osoitteesta elasmtp-curtail.atl.sa.earthlink.net (elasmtp-curtail.atl.sa.earthlink.net [209.86.89.64])
    kirjoittanut maxipes.logix.cz (Postfix) ESMTP-tunnuksella B43175D3A44
    osoitteelle <[email protected]>; Ma 8. heinäkuuta 2013 23:10:48 +1200 (NZST)
Vastaanotettu: alkaen [168.62.170.129] (helo = laurence39)
    kirjoittanut elasmtp-curtail.atl.sa.earthlink.net esmtpan kanssa (Exim 4.67)
    (kirjekuori osoitteesta <[email protected]>)
    tunnus 1Uw98w-0006KI-6v
    osoitteelle [email protected]; Ma 8. heinäkuuta 2013 06:58:06 -0400
Lähettäjä: "Alice" <[email protected]>
Aihe: Kauhea matkakysymys ..... Vastaa ystävällisesti ASAP
Vastaanottaja: [email protected]
Sisältötyyppi: moniosainen / vaihtoehtoinen; raja = "jtkoS2PA6LIOS7nZ3bDeIHwhuXF = _9jxn70"
MIME-versio: 1.0
Vastaus-osoitteeseen: [email protected]
Päivämäärä: ma, 8. heinäkuuta 2013 10:58:06 +0000
Viestin tunnus: <[email protected]>
X-ELNK-Trace: 52111ec6c5e88d9189cb21dbd10cbf767e972de0d01da940e632614284761929eac30959a519613a350badd9bab72f9c350badd9bab72f9c350badd9b
X-Alkuperäinen-IP: 168.62.170.129

[... I have cut the email body ...]

Otsikot on luettava kronologisesti alhaalta ylös - vanhimmat ovat alareunassa. Jokainen matkalla oleva uusi palvelin lisää oman viestin - alkaen Otettu vastaan . Esimerkiksi:

Vastaanotettu: osoitteesta maxipes.logix.cz (maxipes.logix.cz. [2a01:348:0:6:5d59:50c3:0:b0b1])
        kirjoittanut mx.google.com ESMTPS-tunnuksella j47si6975462eeg.108.2013.07.08.04.10.59
        osoitteelle <[email protected]>
        (versio = TLSv1-salaus = RC4-SHA-bitit = 128/128);
        Ma 8. heinäkuuta 2013 04:11:00 -0700 (PDT)

Tämä sanoo sen mx.google.com on saanut postin osoitteesta maxipes.logix.cz klo Ma 8. heinäkuuta 2013 04:11:00 -0700 (PDT) .

Nyt löytää todellinen sähköpostisi lähettäjä, tavoitteesi on löytää viimeinen luotettu yhdyskäytävä - viimeinen, kun luet otsikot ylhäältä, eli ensin kronologisessa järjestyksessä. Aloitetaan etsimällä Billin sähköpostipalvelin. Tätä varten kysyt verkkotunnuksen MX-tietuetta. Voit käyttää joitain online-työkalut , tai Linuxissa voit kysyä sitä komentoriviltä (huomaa, että todellisen verkkotunnuksen nimeksi vaihdettiin domain.com ):

~ $ isäntä -t MX domain.com
domain.com MX 10 broucek.logix.cz
domain.com MX 5 maxipes.logix.cz

Joten näet verkkotunnuksen.com sähköpostipalvelimen olevan maxipes.logix.cz tai broucek.logix.cz . Siksi viimeinen (ensimmäinen kronologisesti) luotettu "hop" - tai viimeinen luotettu "vastaanotettu ennätys" tai mitä kutsut sinäkin - on tämä:

Vastaanotettu: osoitteesta elasmtp-curtail.atl.sa.earthlink.net (elasmtp-curtail.atl.sa.earthlink.net [209.86.89.64])
    kirjoittanut maxipes.logix.cz (Postfix) ESMTP-tunnuksella B43175D3A44
    osoitteelle <[email protected]>; Ma 8. heinäkuuta 2013 23:10:48 +1200 (NZST)

Voit luottaa tähän, koska Billin sähköpostipalvelin on tallentanut tämän verkkotunnukselle domain.com . Tämä palvelin sai sen 209.86.89.64 . Tämä voi olla ja on usein todellinen sähköpostin lähettäjä - tässä tapauksessa huijari! Sinä pystyt tarkista tämä IP mustalla listalla . - Katso, hän on 3 mustalla listalla! Sen alla on vielä yksi ennätys:

Vastaanotettu: alkaen [168.62.170.129] (helo = laurence39)
    kirjoittanut elasmtp-curtail.atl.sa.earthlink.net esmtpan kanssa (Exim 4.67)
    (kirjekuori osoitteesta <[email protected]>)
    tunnus 1Uw98w-0006KI-6v
    osoitteelle [email protected]; Ma 8. heinäkuuta 2013 06:58:06 -0400

mutta et voi itse asiassa luottaa tähän, koska huijari voi vain lisätä sen pyyhkimään jälkensä ja / tai antaa väärän jäljen . Tietenkin on edelleen mahdollista, että palvelin 209.86.89.64 on viaton ja toimi vain todellisen hyökkääjän välittäjänä 168.62.170.129 , mutta silloin releä pidetään usein syyllisenä ja se on usein mustalla listalla. Tässä tapauksessa, 168.62.170.129 on puhdas joten voimme olla melkein varmoja, että hyökkäys tehtiin 209.86.89.64 .

Ja tietysti, koska tiedämme, että Alice käyttää Yahoo! ja elasmtp-curtail.atl.sa.earthlink.net ei ole Yahoo! verkko (haluat ehkä tarkista sen IP Whois -tiedot uudelleen ), voimme päätellä turvallisesti, että tämä sähköposti ei ollut Alice, ja että emme saisi lähettää hänelle rahaa vaadittavalle lomalle Filippiineillä.

Kaksi muuta avustajaa, Ex Umbris ja Vijay, suosittelivat vastaavasti seuraavia palveluita avustamaan sähköpostiotsikoiden dekoodaamista: SpamCop ja Googlen otsikkoanalyysityökalu .

---