Apa yang Dapat Anda Temukan di Header Email?
Setiap kali Anda menerima email, ada lebih banyak hal daripada yang terlihat. Meskipun Anda biasanya hanya memperhatikan alamat, baris perihal, dan isi pesan, ada banyak informasi lain yang tersedia “di balik layar” setiap email yang dapat memberi Anda banyak informasi tambahan.
Mengapa Repot Melihat Header Email?
Ini pertanyaan yang sangat bagus. Untuk sebagian besar, Anda benar-benar tidak perlu kecuali:
- Anda mencurigai email adalah upaya phising atau spoof
- Anda ingin melihat informasi perutean di jalur email
- Anda adalah geek penasaran
Terlepas dari alasan Anda, membaca tajuk email sebenarnya cukup mudah dan bisa sangat mengungkapkan.
Catatan Artikel: Untuk tangkapan layar dan data kami, kami akan menggunakan Gmail tetapi hampir setiap klien email lainnya juga harus memberikan informasi yang sama.
Melihat Header Email
Di Gmail, lihat emailnya. Untuk contoh ini, kami akan menggunakan email di bawah ini.
Kemudian klik panah di sudut kanan atas dan pilih Show original.
Jendela yang dihasilkan akan memiliki data header email dalam teks biasa.
Catatan: Di semua data tajuk email yang saya tunjukkan di bawah, saya telah mengubah alamat Gmail saya untuk ditampilkan sebagai [email protected] dan alamat email eksternal saya untuk ditampilkan sebagai [email protected] dan [email protected] serta menyamarkan alamat IP dari server email saya.
Dikirimkan Ke: [email protected]
Diterima: oleh 10.60.14.3 dengan SMTP id l3csp18666oec;
Sel, 6 Mar 2012 08:30:51 -0800 (PST)
Diterima: oleh 10.68.125.129 dengan SMTP id mq1mr1963003pbb.21.1331051451044;
Sel, 06 Mar 2012 08:30:51 -0800 (PST)
Jalur pengembalian:
Diterima: dari exprod7og119.obsmtp.com (exprod7og119.obsmtp.com. [64.18.2.16])
oleh mx.google.com dengan SMTP id l7si25161491pbd.80.2012.03.06.08.30.49;
Sel, 06 Mar 2012 08:30:50 -0800 (PST)
Received-SPF: neutral (google.com: 64.18.2.16 tidak diizinkan atau ditolak oleh catatan tebakan terbaik untuk domain [email protected]) client-ip = 64.18.2.16;
Otentikasi-Hasil: mx.google.com; spf = neutral (google.com: 64.18.2.16 tidak diizinkan atau ditolak oleh catatan tebakan terbaik untuk domain [email protected]) [email protected]
Diterima: dari mail.externalemail.com ([XXX.XXX.XXX.XXX]) (menggunakan TLSv1) oleh exprod7ob119.postini.com ([64.18.6.12]) dengan SMTP
ID DSNKT1Y7uSEvyrMLco/atcAoN+95PMku3Y/[email protected]; Sel, 06 Mar 2012 08:30:50 PST
Diterima: dari MYSERVER.myserver.local ([fe80 :: a805: c335: 8c71: cdb3]) oleh
MYSERVER.myserver.local ([fe80 :: a805: c335: 8c71: cdb3% 11]) dengan mapi; Sel, 6 Mar
2012 11:30:48 -0500
Dari: Jason Faulkner
Kepada: “[email protected]”
Tanggal: Sel, 6 Mar 2012 11:30:48 -0500
Subjek: Ini adalah email yang sah
Topik-Utas: Ini adalah email yang sah
Thread-Index: Acz7tnUyKZWWCcrUQ +++ QVd6awhl + Q ==
ID-pesan:
Bahasa Terima: id-AS
Konten-Bahasa: id-AS
X-MS-Has-Attach:
X-MS-TNEF-Correlator:
acceptlanguage: en-US
Jenis-Konten: multipart / alternatif;
batas = "_ 000_682A3A66C6EAC245B3B7B088EF360E15A2B30B10D5HARDHAT2hardh_" "
MIME-Versi: 1.0
Saat Anda membaca tajuk email, data berada dalam urutan kronologis terbalik, artinya info di atas adalah acara terbaru. Karenanya jika Anda ingin melacak email dari pengirim ke penerima, mulailah dari bawah. Meneliti tajuk email ini kita bisa melihat beberapa hal.
Di sini kita melihat informasi yang dihasilkan oleh klien pengirim. Dalam hal ini, email dikirim dari Outlook jadi ini adalah metadata yang ditambahkan Outlook.
Dari: Jason Faulkner
Kepada: “[email protected]”
Tanggal: Sel, 6 Mar 2012 11:30:48 -0500
Subjek: Ini adalah email yang sah
Topik-Utas: Ini adalah email yang sah
Thread-Index: Acz7tnUyKZWWCcrUQ +++ QVd6awhl + Q ==
ID-pesan:
Bahasa Terima: id-AS
Konten-Bahasa: id-AS
X-MS-Has-Attach:
X-MS-TNEF-Correlator:
acceptlanguage: en-US
Jenis-Konten: multipart / alternatif;
batas = "_ 000_682A3A66C6EAC245B3B7B088EF360E15A2B30B10D5HARDHAT2hardh_" "
MIME-Versi: 1.0
Bagian selanjutnya melacak jalur yang diambil email dari server pengirim ke server tujuan. Ingatlah bahwa langkah-langkah ini (atau hop) terdaftar dalam urutan kronologis terbalik. Kami telah menempatkan nomor masing-masing di sebelah setiap hop untuk mengilustrasikan pesanan. Perhatikan bahwa setiap hop menunjukkan detail tentang alamat IP dan nama DNS terbalik masing-masing.
Dikirimkan Ke: [email protected]
[6] Diterima: oleh 10.60.14.3 dengan SMTP id l3csp18666oec;
Sel, 6 Mar 2012 08:30:51 -0800 (PST)
[5] Diterima: oleh 10.68.125.129 dengan SMTP id mq1mr1963003pbb.21.1331051451044;
Sel, 06 Mar 2012 08:30:51 -0800 (PST)
Jalur pengembalian:
[4] Diterima: dari exprod7og119.obsmtp.com (exprod7og119.obsmtp.com. [64.18.2.16])
oleh mx.google.com dengan SMTP id l7si25161491pbd.80.2012.03.06.08.30.49;
Sel, 06 Mar 2012 08:30:50 -0800 (PST)
[3] Received-SPF: neutral (google.com: 64.18.2.16 tidak diizinkan atau ditolak oleh catatan tebakan terbaik untuk domain [email protected]) client-ip = 64.18.2.16;
Otentikasi-Hasil: mx.google.com; spf = neutral (google.com: 64.18.2.16 tidak diizinkan atau ditolak oleh catatan tebakan terbaik untuk domain [email protected]) [email protected]
[2] Diterima: dari mail.externalemail.com ([XXX.XXX.XXX.XXX]) (menggunakan TLSv1) oleh exprod7ob119.postini.com ([64.18.6.12]) dengan SMTP
ID DSNKT1Y7uSEvyrMLco/atcAoN+95PMku3Y/[email protected]; Sel, 06 Mar 2012 08:30:50 PST
[1] Diterima: dari MYSERVER.myserver.local ([fe80 :: a805: c335: 8c71: cdb3]) oleh
MYSERVER.myserver.local ([fe80 :: a805: c335: 8c71: cdb3% 11]) dengan mapi; Sel, 6 Mar
2012 11:30:48 -0500
Meskipun ini biasa-biasa saja untuk email yang sah, informasi ini bisa sangat memberi tahu ketika harus memeriksa spam atau email phishing.
Memeriksa Email Phishing - Contoh 1
Untuk contoh phishing pertama kami, kami akan memeriksa email yang merupakan upaya phishing yang jelas. Dalam hal ini kita dapat mengidentifikasi pesan ini sebagai penipuan hanya dengan indikator visual tetapi untuk praktiknya kita akan melihat tanda-tanda peringatan di dalam header..
Dikirimkan Ke: [email protected]
Diterima: oleh 10.60.14.3 dengan SMTP id l3csp12958oec;
Senin, 5 Mar 2012 23:11:29 -0800 (PST)
Diterima: oleh 10.236.46.164 dengan SMTP id r24mr7411623yhb.101.1331017888982;
Senin, 05 Mar 2012 23:11:28 -0800 (PST)
Jalur pengembalian:
Diterima: dari ms.externalemail.com (ms.externalemail.com. [XXX.XXX.XXX.XXX])
oleh mx.google.com dengan ESMTP id t19si8451178ani.110.2012.03.05.23.11.28;
Senin, 05 Mar 2012 23:11:28 -0800 (PST)
Received-SPF: fail (google.com: domain [email protected] tidak menetapkan XXX.XXX.XXX.XXX sebagai pengirim yang diizinkan) client-ip = XXX.XXX.XXX.XXX;
Otentikasi-Hasil: mx.google.com; spf = hardfail (google.com: domain [email protected] tidak menetapkan XXX.XXX.XXX.XXX sebagai pengirim yang diizinkan) [email protected]
Diterima: dengan Konektor Kantor Pos MailEnable; Sel, 6 Mar 2012 02:11:20 -0500
Diterima: dari mail.lovingtour.com ([211.166.9.218]) oleh ms.externalemail.com dengan MailEnable ESMTP; Sel, 6 Mar 2012 02:11:10 -0500
Diterima: dari Pengguna ([118.142.76.58])
melalui mail.lovingtour.com
; Senin, 5 Mar 2012 21:38:11 +0800
ID-pesan:
Membalas ke:
Dari: "[email protected]"
Subjek: Pemberitahuan
Tanggal: Senin, 5 Maret 2012 21:20:57 +800
MIME-Versi: 1.0
Jenis-Konten: multipart / campuran;
batas = "- = _ NextPart_000_0055_01C2A9A6.1C1757C0"
Prioritas X: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2600.0000
X-MimeOLE: Diproduksi Oleh Microsoft MimeOLE V6.00.2600.0000
X-ME-Bayesian: 0,000000
Bendera merah pertama ada di area informasi klien. Perhatikan di sini metadata menambahkan referensi Outlook Express. Tidak mungkin Visa sangat ketinggalan zaman sehingga mereka memiliki seseorang yang secara manual mengirim email menggunakan klien email berusia 12 tahun.
Membalas ke:
Dari: "[email protected]"
Subjek: Pemberitahuan
Tanggal: Senin, 5 Maret 2012 21:20:57 +800
MIME-Versi: 1.0
Jenis-Konten: multipart / campuran;
batas = "- = _ NextPart_000_0055_01C2A9A6.1C1757C0"
Prioritas X: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2600.0000
X-MimeOLE: Diproduksi Oleh Microsoft MimeOLE V6.00.2600.0000
X-ME-Bayesian: 0,000000
Sekarang memeriksa hop pertama dalam perutean email mengungkapkan bahwa pengirim berada di alamat IP 118.142.76.58 dan email mereka disampaikan melalui mail server mail.lovingtour.com.
Diterima: dari Pengguna ([118.142.76.58])
melalui mail.lovingtour.com
; Senin, 5 Mar 2012 21:38:11 +0800
Mencari informasi IP menggunakan utilitas NirNet IPNetInfo, kita dapat melihat pengirimnya berlokasi di Hong Kong dan server suratnya berlokasi di China.
Tak perlu dikatakan ini agak mencurigakan.
Sisa dari hop email tidak benar-benar relevan dalam kasus ini karena mereka menunjukkan email memantul di sekitar lalu lintas server yang sah sebelum akhirnya dikirim.
Memeriksa Email Phishing - Contoh 2
Untuk contoh ini, email phising kami jauh lebih meyakinkan. Ada beberapa indikator visual di sini jika Anda terlihat cukup keras, tetapi sekali lagi untuk keperluan artikel ini kita akan membatasi penyelidikan kami ke header email.
Dikirimkan Ke: [email protected]
Diterima: oleh 10.60.14.3 dengan SMTP id l3csp15619oec;
Sel, 6 Mar 2012 04:27:20 -0800 (PST)
Diterima: oleh 10.236.170.165 dengan SMTP id p25mr8672800yhl.123.1331036839870;
Sel, 06 Mar 2012 04:27:19 -0800 (PST)
Jalur pengembalian:
Diterima: dari ms.externalemail.com (ms.externalemail.com. [XXX.XXX.XXX.XXX])
oleh mx.google.com dengan ESMTP id o2si20048188yhn.34.2012.03.06.04.27.19;
Sel, 06 Mar 2012 04:27:19 -0800 (PST)
Received-SPF: fail (google.com: domain [email protected] tidak menunjuk XXX.XXX.XXX.XXX sebagai pengirim yang diizinkan) client-ip = XXX.XXX.XXX.XXX;
Otentikasi-Hasil: mx.google.com; spf = hardfail (google.com: domain [email protected] tidak menetapkan XXX.XXX.XXX.XXX sebagai pengirim yang diizinkan) [email protected]
Diterima: dengan Konektor Kantor Pos MailEnable; Sel, 6 Mar 2012 07:27:13 -0500
Diterima: dari dynamic-pool-xxx.hcm.fpt.vn ([118.68.152.212]) oleh ms.externalemail.com dengan MailEnable ESMTP; Sel, 6 Mar 2012 07:27:08 -0500
Diterima: dari apache oleh intuitif.com dengan lokal (Contoh 4.67)
(amplop-dari)
id GJMV8N-8BERQW-93
untuk; Sel, 6 Mar 2012 19:27:05 +700
Untuk:
Subjek: Faktur Intuit.com Anda.
X-PHP-Script: intuitif.com/sendmail.php untuk 118.68.152.212
Dari: "INTUIT INC."
X-Pengirim: "INTUIT INC."
X-Mailer: PHP
Prioritas-X: 1
MIME-Versi: 1.0
Jenis-Konten: multipart / alternatif;
batas = "- 03060500702080404010506"
Id-Pesan:
Tanggal: Sel, 6 Mar 2012 19:27:05 +700
X-ME-Bayesian: 0,000000
Dalam contoh ini, aplikasi klien email tidak digunakan, melainkan skrip PHP dengan alamat IP sumber 118.68.152.212.
Untuk:
Subjek: Faktur Intuit.com Anda.
X-PHP-Script: intuitif.com/sendmail.php untuk 118.68.152.212
Dari: "INTUIT INC."
X-Pengirim: "INTUIT INC."
X-Mailer: PHP
Prioritas-X: 1
MIME-Versi: 1.0
Jenis-Konten: multipart / alternatif;
batas = "- 03060500702080404010506"
Id-Pesan:
Tanggal: Sel, 6 Mar 2012 19:27:05 +700
X-ME-Bayesian: 0,000000
Namun, ketika kita melihat hop email pertama tampaknya sah karena nama domain server pengirim cocok dengan alamat email. Namun, waspadai hal ini karena seorang spammer dapat dengan mudah memberi nama server mereka "intuitif.com".
Diterima: dari apache oleh intuitif.com dengan lokal (Contoh 4.67)
(amplop-dari)
id GJMV8N-8BERQW-93
untuk; Sel, 6 Mar 2012 19:27:05 +700
Memeriksa langkah selanjutnya membuat rumah kartu ini hancur. Anda dapat melihat hop kedua (ketika diterima oleh server email yang sah) menyelesaikan server pengirim kembali ke domain "dynamic-pool-xxx.hcm.fpt.vn", bukan "intuitif.com" dengan alamat IP yang sama ditunjukkan dalam skrip PHP.
Diterima: dari dynamic-pool-xxx.hcm.fpt.vn ([118.68.152.212]) oleh ms.externalemail.com dengan MailEnable ESMTP; Sel, 6 Mar 2012 07:27:08 -0500
Melihat informasi alamat IP mengonfirmasi kecurigaan tersebut karena lokasi server surat kembali ke Vietnam.
Meskipun contoh ini sedikit lebih pintar, Anda dapat melihat seberapa cepat penipuan terungkap dengan hanya sedikit investigasi.
Kesimpulan
Meskipun melihat tajuk email mungkin bukan bagian dari kebutuhan Anda sehari-hari, ada beberapa kasus di mana informasi yang terkandung di dalamnya bisa sangat berharga. Seperti yang kami perlihatkan di atas, Anda dapat dengan mudah mengidentifikasi pengirim yang menyamar sebagai sesuatu yang bukan mereka. Untuk penipuan yang dieksekusi dengan sangat baik di mana isyarat visual meyakinkan, sangat sulit (jika bukan tidak mungkin) untuk meniru server email yang sebenarnya dan meninjau informasi di dalam header email dapat dengan cepat mengungkapkan ketidakjujuran apa pun.
Tautan
Unduh IPNetInfo dari Nirsoft
