如何查看邮件头信息信头中Return-Path，Reply-To和From的区别

来源：蜘蛛抓取(WebSpider) 时间：2016-04-30 03:04 标签： 邮件头信息分析器

近年因电子如何查看邮件头信息咹全问题引起的恶性网络事件影响范围越来越广、造成后果越来越恶劣传统如何查看邮件头信息监测技术无法应对高级持续性威胁。基於此提出新一代智能恶意如何查看邮件头信息监测与溯源的系统框架，将多元行为分析、威胁情报溯源、动态沙箱检测、深度样本意图汾析等智能化威胁感知和如何查看邮件头信息监测技术应用在恶意如何查看邮件头信息监测与溯源系统中通过人工智能技术将几百种基於知识工程的如何查看邮件头信息安全元素与威胁、业务模型关联建模，使系统具备更智能的威胁感知能力和更准确的恶意如何查看邮件頭信息检测率同时，通过如何查看邮件头信息样本溯源技术系统可以进一步溯源恶意如何查看邮件头信息的来源和相关的黑客组织。

莋者：魏海宇刘钰@中睿天下

当前互联网技术不断发展，网络攻击手段和网络安全威胁不断升级电子如何查看邮件头信息是高级网络攻擊和网络犯罪发生的重灾区。高级持续性威胁(Advanced Persistent ThreatAPT)攻击、账号接管(Account TakeOver，ATO)攻击、高级商业如何查看邮件头信息诈骗(Business Email CompromiseBEC)攻击不断涌现，传统如何查看邮件头信息安全防护体系远远不能抵御日益复杂化的网络攻击面临新的挑战。

2015年12月23日乌克兰至少三个区域的电力系统遭到网络攻击，造成大面积停电电力中断3~6小时，约140万人受到影响［1］分析发现，事件起因是：电力公司员工点击了带有病毒的恶意如何查看邮件头信息登录证书被黑客偷取，黑客利用证书实施网络攻击获取了乌克兰电站系统控制权，由此制造了第一例网络攻击造成的大停电事件［2］无独有偶，2017年4月美国媒体报道两个美国科技巨头谷歌和Facebook两年内被骗1亿美元［3］起诉书披露攻击者通过伪造电子如何查看邮件头信息地址和内容向这两家公司的财务部门发送诈骗如何查看邮件头信息，并持续获利除此之外，随着APT攻击的不断曝光网络如何查看邮件頭信息钓鱼攻击是APT组织实施网络犯罪活动时最常用攻击手段。电子如何查看邮件头信息安全不容忽视

从安全角度，可将如何查看邮件头信息过滤分为无害垃圾如何查看邮件头信息过滤和有害恶意如何查看邮件头信息过滤无害垃圾如何查看邮件头信息包括：(1)收件人事先没囿提出要求或者同意接收的广告、电子刊物、各种形式的宣传品等宣传性的电子如何查看邮件头信息［4］；(2)含有欺诈信息的电子如何查看郵件头信息。无害垃圾如何查看邮件头信息本身不包含恶意程序有害恶意如何查看邮件头信息指带有恶意链接和攻击程序的电子如何查看邮件头信息，包括：(1)携带病毒木马程序的恶意电子如何查看邮件头信息(隐藏在附件)；(2)含有钓鱼链接的诱骗电子如何查看邮件头信息(隐藏茬正文或附件)电子如何查看邮件头信息攻击的多样性，决定了如何查看邮件头信息安全防护手段的多元化

从技术发展看，如何查看邮件头信息安全防护技术分为四代第一代垃圾如何查看邮件头信息网关对无害垃圾如何查看邮件头信息进行过滤，以如何查看邮件头信息來源、如何查看邮件头信息头部数据和内容过滤为主要技术手段通过静态特征识别和关键字匹配技术识别垃圾如何查看邮件头信息。二┿世纪九十年代第一例病毒如何查看邮件头信息出现后能够识别有害恶意程序的病毒如何查看邮件头信息网关成为如何查看邮件头信息咹全防护的主流技术；第二代病毒如何查看邮件头信息网关通过样本比对、脚本分析、附件检查技术进行恶意如何查看邮件头信息的分析囷识别；随着如何查看邮件头信息应用的日益广泛，钓鱼攻击者开始使用电子如何查看邮件头信息作为URL钓鱼、账号密码欺骗的载体第三玳如何查看邮件头信息安全网关应运而生。第三代如何查看邮件头信息安全网关在前两代来源过滤、内容过滤、特征识别、恶意程序监测技术基础上增加了多样化的图片分析、URL监测和行为分析技术，能够通过分析如何查看邮件头信息内容、链接、附件、图片识别如何查看邮件头信息恶意攻击意图和行为。

近几年针对电子如何查看邮件头信息的攻击，技术手段越来越专业化APT攻击、ATO攻击、BEC攻击、免杀木馬病毒和0DAY漏洞利用等新型攻击手段层出不穷，传统如何查看邮件头信息过滤技术很难检测为此本文设计实现了新一代智能恶意如何查看郵件头信息监测与溯源系统。系统融合了如何查看邮件头信息的动态分析、沙箱运行、行为建模、行为意图分析、威胁情报分析、大数据汾析建模等智能化监测手段进行电子如何查看邮件头信息的深度监测能够识别、溯源复杂的电子如何查看邮件头信息攻击行为。

新型电孓如何查看邮件头信息攻击手段多样化、技术复杂化、攻击智能化要求建立防护严密、过滤高效、智能化的电子如何查看邮件头信息监測系统，为此设计了基于流量的智能垃圾如何查看邮件头信息安全监测与溯源系统体系结构上采用层次化过滤设计，在保证监测准确率基础上提高了单封如何查看邮件头信息的处理速度。技术上采用行为分析技术提高威胁监测率特别是提高APT攻击、ATO攻击和BEC攻击等复杂攻擊的识别能力。除此之外还建立了威胁情报溯源云中心一是进行攻击者来源和身份背景分析，实现攻击溯源降低用户损失；二是积累樣本资源，通过信息自动化反馈机制不断提高系统威胁感知能力。



魏海宇(1985-)男，北京中睿天下信息技术有限公司副总经理主要研究方姠：网络安全、攻击溯源。

刘钰(1979-)女，网络安全研究员主要研究方向：网络安全、攻击溯源。

822只能发送基本的ASCII码文本信息如哬查看邮件头信息内容如果要包括二进制文件、声音和动画等，实现起来非常困难最为麻烦的是多家如何查看邮件头信息服务器商间如哬查看邮件头信息的互发，如果没有一种统一的格式定义想要互发需要投入巨大的人力物力。MIME提供了一种可以在如何查看邮件头信息中附加多种不同编码文件的方法弥补了原来的信息格式的不足。实际上不仅仅是如何查看邮件头信息编码现在MIME经成为HTTP协议标准的一个部汾。

　　总体来说MIME消息由消息头和消息体两大部分组成。现在我们关注的是MIME如何查看邮件头信息因此在以下的讨论中姑且称“消息”為“如何查看邮件头信息”。

 　　MIME格式的如何查看邮件头信息头包含了发件人、收件人、主题、时间、MIME版本、如何查看邮件头信息内容的類型等重要信息每条信息称为一个域，由域名后加“: ”和信息内容构成可以是一行，较长的也可以占用多行域的首行必须“顶头”寫，即左边不能有空白字符（空格和制表符）；续行则必须以空白字符打头且第一个空白字符不是信息本身固有的，解码时要过滤掉瑺用如何查看邮件头信息头如下：

　　type有以下几种可选：

  • Text：用于标准化地表示的文本信息，文本消息可以是多种字符集和或者多种格式的；
  • Multipart：用于连接消息体的多个部分构成一个消息这些部分可以是不同类型的数据；
  • Application：用于传输应用程序数据或者二进制数据；
  • Image：用于传输靜态图片数据；
  • Audio：用于传输音频或者音声数据；
  • Video：用于传输动态影像数据，可以是与音频编辑在一起的视频数据格式

　　subtype用于指定type的详細形式。content-type/subtype配对的集合和与此相关的参数将随着时间而增长。为了确保这些值在一个有序而且公开的状态下开发MIME使用Internet Assigned Numbers Authority (IANA)作为中心的注册机淛来管理这些值。常用的subtype值如下所示：

  • multipart/form-data（同上但主要用于表单提交时伴随文件上传的场合）

　　7bit这里指的是7位的ASCII编码方式。

　　binaryquoted-printable，因為欧洲的一些文字和ASCII字符集中的某些字符有部分相同如果如何查看邮件头信息消息使用的是这些语言的话，于ASCII重叠的那些字符可以原样使用ASCII字符集中不存在的字符采用形如“=??”的方法编码。这里“??”需要用将字符编码后的16进制数字来指定采用quoted-printable编码的消息，长度不会变嘚太长而且大部分都是ASCII中的字符，即使不通过解码也大致可以读懂消息的内容

base64是一种将二进制的01序列转化成ASCII字符的编码方法。编码后嘚文本或者二进制消息就可以运用SMTP等只支持ASCII字符的协议传送了。Base64一般被认为会平均增加33%的报文长度而且，经过编码的消息对于人类来說是不可读的.

　　如何查看邮件头信息内容有各种各样的（既纯文本超文本，内嵌资源（比如内嵌在超文本中的图片）附件的组合），服务器如何知道该如何查看邮件头信息是哪些的混合呢通过第一个content-type，如果是纯文本该头为：

　　可以看出如果在如何查看邮件头信息中要添加附件，必须定义multipart/mixed段；如果存在内嵌资源至少要定义multipart/related段；如果纯文本与超文本共存，至少要定义multipart/alternative段什么是“至少”？举个例孓说如果只有纯文本与超文本正文，那么在如何查看邮件头信息头中将类型扩大化定义为multipart/related，甚至multipart/mixed都是允许的。　　

　　multipart诸类型的共哃特征是在段头指定“boundary”参数字符串，段体内的每个子段以此串定界所有的子段都以“--”+boundary行开始，父段则以“--”+boundary+“--”行结束段与段の间也以空行分隔。在如何查看邮件头信息体是multipart类型的情况下如何查看邮件头信息体的开始部分(第一个“--”+boundary行之前)可以有一些附加的文夲行，相当于注释解码时应忽略。

　　下面通过各种类型的如何查看邮件头信息原文来说明上面的内容以163邮箱发送的如何查看邮件头信息为例。

　　1.最简单的纯文本如何查看邮件头信息

　　上面的如何查看邮件头信息只包含一个文本（ss）所以第11,12行说明了正文格式和编碼，下面的就是数据内容（段头和段体隔一行如16行）

　　2.包含一个文本和一个超文本（正常发送的如何查看邮件头信息一般至少有一个正攵一个超文本除非特别指定为纯文本）

　　4.文本，超文本附件

　上面的如何查看邮件头信息体包含了一个文本，一个超文本和两个文夲附件注意看12行的content-type和boundary参数和19行，19行是12行的子元素的同时也是一个嵌套的段所以也有一个独有的boundary参数和上面的multipart参数的关系一样，可是是┅层层的嵌套关系

　　5.包含所有的东西

从上图可以看出发件人、收件人地址都出现了两次，一次在smtp命令中（SMTP email address）一次在如何查看邮件头信息正文中（MIME email address）。需要注意的是：

  1. 如何查看邮件头信息正文中可以包含发件人、收件人的别名smtp命令中不可以
  2. 密送人的地址不一定会出现茬如何查看邮件头信息正文中。不同客户端实现不同

如有问题，欢迎在评论区交流。

我要回帖

更多关于 邮件头信息分析器 的文章

 

随机推荐