Jak mogę się dowiedzieć, skąd naprawdę pochodzi wiadomość e-mail?

TREŚĆ NIENARUSZONA

To, że e-mail pojawia się w Twojej skrzynce odbiorczej oznaczony jako [email protected], nie oznacza, że ​​Bill faktycznie miał z tym coś wspólnego. Czytaj dalej, gdy odkrywamy, jak się zagłębić i zobaczyć, skąd faktycznie pochodzi podejrzana wiadomość e-mail.

Dzisiejsza sesja pytań i odpowiedzi jest dostępna dzięki uprzejmości SuperUser - części Stack Exchange, grupy witryn z pytaniami i odpowiedziami, prowadzonej przez społeczność.

Pytanie

Czytnik SuperUser Sirwan chce wiedzieć, skąd pochodzą wiadomości e-mail:

Skąd mogę wiedzieć, skąd naprawdę pochodzi e-mail?
Czy jest jakiś sposób, żeby się tego dowiedzieć?
Słyszałem o nagłówkach e-maili, ale nie wiem, gdzie mogę je zobaczyć, na przykład w Gmailu.

Przyjrzyjmy się tym nagłówkom e-maili.

Odpowiedzi

Współautor SuperUser Tomas oferuje bardzo szczegółową i wnikliwą odpowiedź:

Zobacz przykład oszustwa, który został do mnie wysłany, udając, że pochodzi od mojej przyjaciółki, twierdząc, że została okradziona i prosząc mnie o pomoc finansową. Zmieniłem nazwiska - przypuśćmy, że jestem Bill, oszust wysłał e-mail do [email protected] udając, że jest [email protected] . Zauważ, że Bill przekazał dalej do [email protected] .

Najpierw w Gmailu użyj Pokaż oryginał :

Następnie otworzy się pełna wiadomość e-mail i jej nagłówki:

Dostarczone do: [email protected]
Otrzymano: przez 10.64.21.33 z identyfikatorem SMTP s1csp177937iee;
        Pon., 8 Lip 2013 04:11:00 -0700 (PDT)
X-Received: do 10.14.47.73 z identyfikatorem SMTP s49mr24756966eeb.71.1373281860071;
        Pon., 08 Lip 2013 04:11:00 -0700 (PDT)
Return-Path: <[email protected]>
Otrzymano: z maxipes.logix.cz (maxipes.logix.cz. [2a01:348:0:6:5d59:50c3:0:b0b1])
        przez mx.google.com z identyfikatorem ESMTPS j47si6975462eeg.108.2013.07.08.04.10.59
        dla <[email protected]>
        (wersja = szyfr TLSv1 = bity RC4-SHA = 128/128);
        Pon., 08 Lip 2013 04:11:00 -0700 (PDT)
Otrzymano-SPF: neutralny (google.com: 2a01: 348: 0: 6: 5d59: 50c3: 0: b0b1 nie jest dozwolony ani zabroniony na podstawie najlepszego przypuszczenia rekordu dla domeny SRS0=Znlt=QW=yahoo.com=alice@domain .com) client-ip = 2a01: 348: 0: 6: 5d59: 50c3: 0: b0b1;
Wyniki uwierzytelniania: mx.google.com;
       spf = neutral (google.com: 2a01: 348: 0: 6: 5d59: 50c3: 0: b0b1 nie jest dozwolone ani zabronione na podstawie najlepszego przypuszczenia dla domeny [email protected] ) [email protected]
Otrzymane: przez maxipes.logix.cz (Postfix, od identyfikatora użytkownika 604)
    id C923E5D3A45; Pon., 8 Lip 2013 23:10:50 +1200 (NZST)
X-Original-To: [email protected]
X-Greylist: opóźnione 00:06:34 przez SQLgrey-1.8.0-rc1
Otrzymano: z elasmtp-curtail.atl.sa.earthlink.net (elasmtp-curtail.atl.sa.earthlink.net [209.86.89.64])
    przez maxipes.logix.cz (Postfix) z identyfikatorem ESMTP B43175D3A44
    dla <[email protected]>; Pon., 8 Lip 2013 23:10:48 +1200 (NZST)
Otrzymano: od [168.62.170.129] (helo = laurence39)
    autor: elasmtp-curtail.atl.sa.earthlink.net z esmtpa (Exim 4.67)
    (koperta-od <[email protected]>)
    id 1Uw98w-0006KI-6y
    dla [email protected]; Poniedziałek, 08 lipca 2013, 06:58:06 -0400
Od: „Alice” <[email protected]>
Temat: Problem z okropną podróżą ..... Uprzejmie odpowiedz jak najszybciej
Do: [email protected]
Content-Type: wieloczęściowa / alternatywna; boundary = "jtkoS2PA6LIOS7nZ3bDeIHwhuXF = _9jxn70"
Wersja MIME: 1.0.0
Odpowiedź do: [email protected]
Data: Pon., 8 lipca 2013 r. 10:58:06 + 0000
Identyfikator wiadomości: <[email protected]>
X-ELNK-Trace: 52111ec6c5e88d9189cb21dbd10cbf767e972de0d01da940e632614284761929eac30959a519613a350badd9bab72f9c350badd9bab72f9c350badd9b
X-Originating-IP: 168.62.170.129

[... I have cut the email body ...]

Nagłówki należy czytać chronologicznie od dołu do góry - najstarsze znajdują się na dole. Każdy nowy serwer po drodze doda własną wiadomość - zaczynając od Odebrane . Na przykład:

Otrzymano: z maxipes.logix.cz (maxipes.logix.cz. [2a01:348:0:6:5d59:50c3:0:b0b1])
        przez mx.google.com z identyfikatorem ESMTPS j47si6975462eeg.108.2013.07.08.04.10.59
        dla <[email protected]>
        (wersja = szyfr TLSv1 = bity RC4-SHA = 128/128);
        Pon., 08 Lip 2013 04:11:00 -0700 (PDT)

To mówi, że mx.google.com otrzymał wiadomość od maxipes.logix.cz w Pon., 08 Lip 2013 04:11:00 -0700 (PDT) .

Teraz, aby znaleźć real nadawcy Twojego e-maila, Twoim celem jest znalezienie ostatniej zaufanej bramy - ostatnia podczas czytania nagłówków od góry, czyli pierwsza w kolejności chronologicznej. Zacznijmy od znalezienia serwera pocztowego Billa. W tym celu należy wysłać zapytanie o rekord MX dla domeny. Możesz użyć niektórych narzędzia online , lub w Linuksie możesz wysłać zapytanie w linii poleceń (pamiętaj, że prawdziwa nazwa domeny została zmieniona na domain.com ):

~ $ host -t MX domena.com
domain.com MX 10 broucek.logix.cz
domain.com MX 5 maxipes.logix.cz

Widzisz więc, że serwer pocztowy dla domena.com to maxipes.logix.cz lub broucek.logix.cz . Stąd ostatni (pierwszy chronologicznie) zaufany „przeskok” - lub ostatni zaufany „Odebrany rekord”, czy jakkolwiek to nazwiesz - to ten:

Otrzymano: z elasmtp-curtail.atl.sa.earthlink.net (elasmtp-curtail.atl.sa.earthlink.net [209.86.89.64])
    przez maxipes.logix.cz (Postfix) z identyfikatorem ESMTP B43175D3A44
    dla <[email protected]>; Pon., 8 Lip 2013 23:10:48 +1200 (NZST)

Możesz temu ufać, ponieważ zostało to zarejestrowane przez serwer pocztowy Billa dla domain.com . Ten serwer ma to z 209.86.89.64 . Może to być, i bardzo często jest, prawdziwy nadawca wiadomości e-mail - w tym przypadku oszust! Możesz sprawdź ten adres IP na czarnej liście . - Widzisz, jest wymieniony na 3 czarnych listach! Pod nim jest jeszcze jeden rekord:

Otrzymano: od [168.62.170.129] (helo = laurence39)
    autor: elasmtp-curtail.atl.sa.earthlink.net z esmtpa (Exim 4.67)
    (koperta-od <[email protected]>)
    id 1Uw98w-0006KI-6y
    dla [email protected]; Poniedziałek, 8 lipca 2013 r., Godz. 06:58:06 -0400

ale nie możesz temu ufać, ponieważ oszust mógłby to po prostu dodać, aby usunąć jego ślady i / lub położyć fałszywy ślad . Oczywiście nadal istnieje możliwość, że serwer 209.86.89.64 jest niewinny i działał tylko jako przekaźnik dla prawdziwego napastnika pod adresem 168.62.170.129 , ale wtedy przekaźnik jest często uważany za winnego i bardzo często znajduje się na czarnej liście. W tym przypadku, 168.62.170.129 to czyste więc możemy być prawie pewni, że atak został wykonany z 209.86.89.64 .

Oczywiście, ponieważ wiemy, że Alice korzysta z Yahoo! i elasmtp-curtail.atl.sa.earthlink.net nie ma w Yahoo! sieć (możesz chcieć ponownie sprawdź jego informacje IP Whois ), możemy spokojnie stwierdzić, że ten e-mail nie pochodzi od Alicji i że nie powinniśmy wysyłać jej żadnych pieniędzy na jej rzekome wakacje na Filipinach.

Dwóch innych współpracowników, Ex Umbris i Vijay, poleciło odpowiednio następujące usługi pomagające w dekodowaniu nagłówków wiadomości e-mail: SpamCop i Narzędzie Google do analizy nagłówków .

---