一封涉案电子邮件的检验分析.pdfVIP

goldbetli@hotmail．com 、 chungOO@hotmailcom 、 2 电子邮件 内容解码 samc7@hotmail．corn 、 wongmin20@gmail．corn 、 目前 ，电子 邮件主要 有 Base64与 QP(Quote— julian．chu@metrohk．com．hk、mikemikem@hotmail．com、 Printable)两种编码方式。其中，Base64编码是使用最广 liangbin9@gmail．com。但如果仔细分析会发现，前两个 泛的邮件编码格式，几乎所有的电子邮件软件都把它作为 Received域均出现有 “forluoliz@21cn．com”字样 ， 默认的编码方式；QP编码则适用于非uS—ASCII的文字内 luoliz@21cn．com是否也是收信人呢?如果是的话，为什 容，例~zEIfoxmail就用它对主题和信体进行编码，QP编码 么没有 出现在TO(收信人 )、Cc(抄送收信人 )或 相对来说比较容易辨认 ，因为它包含有大量的 “=”字 Bcc(密送收信人 )域中呢?笔者利用luowenhua770404 符。 @126．com信 箱 以正 常方式发信给 luowenhua770404 邮件头 中的 “Content—Transfer—Encoding：”域通 @21cn．com，并 以密送 方式发信 给grandlee@21cn． 常说明该邮件所使用的编码方式。若要获知邮件具体的 com。实验发现，luowenhua770404@21CN．com信箱中 内容信息，通常需要结合编码方式对Subject域的内容进 收到 的邮件 ，其收信人信息只有luowenhua770404 行解码，才可获知其真实含义。图4所示为使用解码器对 @21CR．com，并同时出现在了TO域与Received域中 (如 邮件内容进行解码后的部分结果。 图2所示 )；而grandlee@21cn．com信箱中收到的邮件， 编码输入： 圈 其正常的收信人信息出现在了To域中，密送的收信人信 面 i 莉 葡ii葶荪 面 息则只出现在了Received域中 (如图3所示 )。由此可以 确认 ，涉案邮件中的luoliz@21cn．com是一个非常重要的 乱码查看： — J — ～ —!苎 j 收 信 人 ， 同 时 还 可 获 知 该 邮 件 应 该 是 从 电邮的按语． luoliz@21cn．com信箱导出的，使用这台电脑的嫌疑人极 图4使用解码器对邮件内容进行解码后的部分结果 有可能就是luotiz@21cn．com信箱真正的主人。 3。识别电子邮箱真伪，寻找嫌疑人位置 甄别出嫌疑人可能使用的电子邮箱 ，下一步的工作 是判断电子信箱信息的真伪，并寻找出嫌疑人的可能位 置。在此，笔者介绍一个专门提供电子邮件逆向追踪服务 的网站WWW．readnotify．COrn，利用这个网站可以追踪到收 信人何时打开了该邮件、浏览了多长时间、该邮件是否被 收信人转发给别人、收信人查看过几次这封邮件、收信人 lP地址等信息。 首先，需要用 自己的邮箱在WWW．readnotify．corn网