Hvordan kan jeg finne ut hvor en e-post virkelig kommer fra?

UCACHED INNHOLD

Bare fordi en e-post vises i innboksen din merket [email protected], betyr ikke det at Bill faktisk hadde noe å gjøre med det. Les videre når vi utforsker hvordan vi kan grave inn og se hvor en mistenkelig e-post faktisk kom fra.

Dagens spørsmål og svar-økt kommer til oss med tillatelse fra SuperUser - en underavdeling av Stack Exchange, en grupperingsgruppering av spørsmål og svar-nettsteder.

Spørsmålet

SuperUser-leser Sirwan vil vite hvordan man skal finne ut hvor e-post faktisk kommer fra:

Hvordan kan jeg vite hvor en e-post virkelig kom fra?
Er det noen måte å finne ut av det?
Jeg har hørt om e-postoverskrifter, men jeg vet ikke hvor kan jeg se e-postoverskrifter, for eksempel i Gmail.

La oss ta en titt på disse e-postoverskriftene.

Svarene

SuperUser-bidragsyter Tomas gir et veldig detaljert og innsiktsfullt svar:

Se et eksempel på svindel som er sendt til meg, som om det er fra min venn, og hevder at hun er blitt ranet og ber meg om økonomisk hjelp. Jeg har endret navnene - antar at jeg er Bill, svindleren har sendt en e-post til [email protected] , later som han er det [email protected] . Merk at Bill har videresendt til [email protected] .

Først, i Gmail, bruk Vis originalen :

Deretter åpnes hele e-postadressen og overskriftene:

Levert til: [email protected]
Mottatt: innen 10.64.21.33 med SMTP id s1csp177937iee;
        Man 8. juli 2013 04:11:00 -0700 (PDT)
X-mottatt: innen 10.14.47.73 med SMTP id s49mr24756966eeb.71.1373281860071;
        Man, 08 Jul 2013 04:11:00 -0700 (PDT)
Retursti: <[email protected]>
Mottatt: fra maxipes.logix.cz (maxipes.logix.cz. [2a01:348:0:6:5d59:50c3:0:b0b1])
        av mx.google.com med ESMTPS id j47si6975462eeg.108.2013.07.08.04.10.59
        for <[email protected]>
        (versjon = TLSv1-kryptering = RC4-SHA-bits = 128/128);
        Man, 08 Jul 2013 04:11:00 -0700 (PDT)
Mottatt SPF: nøytral (google.com: 2a01: 348: 0: 6: 5d59: 50c3: 0: b0b1 er verken tillatt eller nektet av beste gjetningspost for domene SRS0=Znlt=QW=yahoo.com=alice@domain .com) klient-ip = 2a01: 348: 0: 6: 5d59: 50c3: 0: b0b1;
Autentiseringsresultater: mx.google.com;
       spf = nøytral (google.com: 2a01: 348: 0: 6: 5d59: 50c3: 0: b0b1 er verken tillatt eller nektet av beste gjetningspost for domene [email protected] ) [email protected]
Mottatt: av maxipes.logix.cz (Postfix, fra userid 604)
    id C923E5D3A45; Man, 8. juli 2013 23:10:50 +1200 (NZST)
X-Original-To: [email protected]
X-Greylist: forsinket 00:06:34 av SQLgrey-1.8.0-rc1
Mottatt: fra elasmtp-curtail.atl.sa.earthlink.net (elasmtp-curtail.atl.sa.earthlink.net [209.86.89.64])
    av maxipes.logix.cz (Postfix) med ESMTP id B43175D3A44
    for <[email protected]>; Man, 8 Jul 2013 23:10:48 +1200 (NZST)
Mottatt: fra [168.62.170.129] (helo = laurence39)
    av elasmtp-curtail.atl.sa.earthlink.net med esmtpa (Eks. 4.67)
    (konvolutt-fra <[email protected]>)
    id 1Uw98w-0006KI-6y
    for [email protected]; Man 8. juli 2013 06:58:06 -0400
Fra: "Alice" <[email protected]>
Emne: Forferdelig reiseutgave ..... Vennligst svar ASAP
Til: [email protected]
Innholdstype: flerdelt / alternativ; grense = "jtkoS2PA6LIOS7nZ3bDeIHwhuXF = _9jxn70"
MIME-versjon: 1.0
Svar til: [email protected]
Dato: Man, 8 Jul 2013 10:58:06 +0000
Meldings-ID: <[email protected]>
X-ELNK-Trace: 52111ec6c5e88d9189cb21dbd10cbf767e972de0d01da940e632614284761929eac30959a519613a350badd9bab72f9c350badd9bab72f9c350badd9bab72f
X-Originating-IP: 168.62.170.129

[... I have cut the email body ...]

Overskriftene skal leses kronologisk fra bunn til topp - eldste er nederst. Hver nye server på vei vil legge til sin egen melding - fra og med Mottatt . For example:

Mottatt: fra maxipes.logix.cz (maxipes.logix.cz. [2a01:348:0:6:5d59:50c3:0:b0b1])
        av mx.google.com med ESMTPS id j47si6975462eeg.108.2013.07.08.04.10.59
        for <[email protected]>
        (versjon = TLSv1-kryptering = RC4-SHA-bits = 128/128);
        Man, 08 Jul 2013 04:11:00 -0700 (PDT)

Dette sier det mx.google.com har mottatt posten fra maxipes.logix.cz at Mon, 08 Jul 2013 04:11:00 -0700 (PDT) .

Nå, for å finne ekte avsender av e-posten din, er målet ditt å finne den siste pålitelige gatewayen - sist når du leser topptekstene fra toppen, dvs. først i kronologisk rekkefølge. La oss starte med å finne Bills e-postserver. For dette spør du MX-post for domenet. Du kan bruke noen nettverktøy , eller på Linux kan du spørre på kommandolinjen (merk at det virkelige domenenavnet ble endret til domain.com ):

~ $ host -t MX domain.com
domain.com MX 10 broucek.logix.cz
domain.com MX 5 maxipes.logix.cz

Så du ser e-postserveren for domain.com er maxipes.logix.cz eller broucek.logix.cz . Derfor er den siste (første kronologiske) pålitelige “hop” - eller sist klarerte “Mottatte posten” eller hva du enn kaller det - denne:

Mottatt: fra elasmtp-curtail.atl.sa.earthlink.net (elasmtp-curtail.atl.sa.earthlink.net [209.86.89.64])
    av maxipes.logix.cz (Postfix) med ESMTP id B43175D3A44
    for <[email protected]>; Man, 8 Jul 2013 23:10:48 +1200 (NZST)

Du kan stole på dette fordi dette ble spilt inn av Bills e-postserver for domain.com . Denne serveren fikk den fra 209.86.89.64 . Dette kan være, og er veldig ofte, den virkelige avsenderen av e-posten - i dette tilfellet svindleren! Du kan sjekk denne IP-en på en svarteliste . - Se, han er oppført i 3 svartelister! Det er enda en post under:

Mottatt: fra [168.62.170.129] (helo = laurence39)
    av elasmtp-curtail.atl.sa.earthlink.net med esmtpa (Eks. 4.67)
    (konvolutt-fra <[email protected]>)
    id 1Uw98w-0006KI-6y
    for [email protected]; Man 8. juli 2013 06:58:06 -0400

men du kan faktisk ikke stole på dette, for det kan bare svindleren legge til for å utslette sporene hans og / eller legge en falsk sti . Selvfølgelig er det fortsatt muligheten for at serveren 209.86.89.64 er uskyldig og fungerte bare som et stafett for den virkelige angriperen på 168.62.170.129 , men da betraktes stafetten ofte som skyldig og blir ofte svartelistet. I dette tilfellet, 168.62.170.129 er ren så vi kan være nesten sikre på at angrepet ble gjort fra 209.86.89.64 .

Og selvfølgelig, som vi vet at Alice bruker Yahoo! og elasmtp-curtail.atl.sa.earthlink.net er ikke på Yahoo! nettverk (det kan være lurt kontroller IP-informasjonen på nytt ), kan vi trygt konkludere med at denne e-posten ikke var fra Alice, og at vi ikke skulle sende henne noen penger til den påståtte ferien på Filippinene.

To andre bidragsytere, Ex Umbris og Vijay, anbefalte henholdsvis følgende tjenester for å hjelpe til med dekoding av e-postoverskrifter: SpamCop og Googles verktøy for toppanalyse .

---