analyzing-phishing-email-headers
starsforks
How to install analyzing-phishing-email-headers?
killvxk/cybersecurity-skills-zh/analyzing-phishing-email-headers
$npx -y skills add killvxk/cybersecurity-skills-zh --skill analyzing-phishing-email-headers电子邮件头包含关键元数据，能够揭示邮件的真实来源、路由路径和身份验证状态。分析这些头字段是识别钓鱼（phishing）尝试、验证发件人真实性和收集威胁情报的基础技能。
SKILL.md
| 1 | # 分析钓鱼电子邮件头 |
| 2 | |
| 3 | ## 概述 |
| 4 | 电子邮件头包含关键元数据，能够揭示邮件的真实来源、路由路径和身份验证状态。分析这些头字段是识别钓鱼尝试、验证发件人真实性和收集威胁情报的基础技能。本技能涵盖使用手动技术和自动化工具对电子邮件头进行系统性提取和解读。 |
| 5 | |
| 6 | ## 前置条件 |
| 7 | - 基本了解 SMTP 协议和电子邮件投递原理 |
| 8 | - 熟悉 DNS 记录（MX、TXT、SPF、DKIM、DMARC） |
| 9 | - 已安装 Python 3.8+ |
| 10 | - 可访问能够导出原始头信息的邮件客户端（Outlook、Gmail、Thunderbird） |
| 11 | |
| 12 | ## 核心概念 |
| 13 | |
| 14 | ### 关键头字段 |
| 15 | 1. **Received**：邮件经过的邮件服务器链（从下到上阅读） |
| 16 | 2. **From / Return-Path / Reply-To**：发件人身份字段（常被伪造） |
| 17 | 3. **Authentication-Results**：SPF、DKIM、DMARC 验证结果 |
| 18 | 4. **X-Originating-IP**：原始发件人 IP 地址 |
| 19 | 5. **Message-ID**：唯一标识符；异常情况表明存在伪造 |
| 20 | 6. **X-Mailer / User-Agent**：用于撰写邮件的客户端程序 |
| 21 | |
| 22 | ### 头字段中的危险信号 |
| 23 | - `From` 和 `Return-Path` 域名不匹配 |
| 24 | - `Authentication-Results` 中 SPF/DKIM/DMARC 验证失败 |
| 25 | - `Received` 链中出现陌生的中继服务器 |
| 26 | - `X-Originating-IP` 来自意外的地理位置 |
| 27 | - 缺失或格式异常的 `Message-ID` |
| 28 | - 异常的 `X-Mailer` 值（例如群发邮件工具） |
| 29 | |
| 30 | ## 实施步骤 |
| 31 | |
| 32 | ### 步骤 1：提取原始邮件头 |
| 33 | ``` |
| 34 | Gmail: 打开邮件 -> 三点菜单 -> "显示原始邮件" |
| 35 | Outlook: 打开邮件 -> 文件 -> 属性 -> Internet 头 |
| 36 | Thunderbird: 查看 -> 邮件源代码（Ctrl+U） |
| 37 | ``` |
| 38 | |
| 39 | ### 步骤 2：使用 Python 解析头字段 |
| 40 | 使用 `scripts/process.py` 脚本自动完成头字段分析，包括 IP 地理定位、身份验证验证和异常检测。 |
| 41 | |
| 42 | ### 步骤 3：验证身份验证链 |
| 43 | - 检查 SPF 对齐：发送 IP 是否与域名的 SPF 记录匹配？ |
| 44 | - 检查 DKIM 签名：密码学签名是否有效？ |
| 45 | - 检查 DMARC 策略：邮件是否通过 DMARC 对齐检查？ |
| 46 | |
| 47 | ### 步骤 4：追踪邮件路由 |
| 48 | - 从下到上阅读 `Received` 头字段 |
| 49 | - 将每一跳的 IP 映射到组织/位置 |
| 50 | - 识别意外的中继服务器或延迟 |
| 51 | |
| 52 | ### 步骤 5：与威胁情报关联 |
| 53 | - 在 AbuseIPDB、VirusTotal 上查询原始 IP |
| 54 | - 在 WHOIS 上查询发送域名的注册时间 |
| 55 | - 搜索已知的钓鱼基础设施特征 |
| 56 | |
| 57 | ## 工具与资源 |
| 58 | - **MXToolbox 头分析器**: https://mxtoolbox.com/EmailHeaders.aspx |
| 59 | - **Google Admin Toolbox**: https://toolbox.googleapps.com/apps/messageheader/ |
| 60 | - **AbuseIPDB**: https://www.abuseipdb.com/ |
| 61 | - **VirusTotal**: https://www.virustotal.com/ |
| 62 | - **PhishTank**: https://phishtank.org/ |
| 63 | |
| 64 | ## 验证标准 |
| 65 | - 成功解析来自 3 个不同邮件提供商的头字段 |
| 66 | - 正确识别身份验证通过/失败状态 |
| 67 | - 准确追踪电子邮件路由路径 |
| 68 | - 在样本钓鱼邮件中检测出至少 3 个钓鱼指标 |
People who liked this also viewed
6 picksType
- azure-resource-lookupList, find, and show Azure resources across subscriptions or resource groups. Handles prompts like \"list the websites in my subscription\", \"list my web apps\", \"show my app services\", \"list virtSkillsJul 2026
- azure-messagingTroubleshoot and resolve issues with Azure Messaging SDKs for Event Hubs and Service Bus. Covers connection failures, authentication errors, message processing issues, and SDK configuration problems. SkillsJul 2026
- lark-doc飞书云文档（Docx / Wiki 文档）：读取和编辑飞书文档内容。当用户给出文档 URL 或 token，或需要查看、创建、编辑文档、插入或下载文档图片附件时使用。文档中嵌入的电子表格、多维表格、画板，先用本 skill 提取 token 再切到对应 skill。当用户给出 doubao.com 的 /docx/ 或 /wiki/ URL/token 时，也应直接使用本 skill；路由依据是 SkillsJul 2026
- lark-im飞书即时通讯：收发消息和管理群聊。发送和回复消息、搜索聊天记录、管理群聊成员、上传下载图片和文件（支持大文件分片下载）、管理表情回复、发送应用内/短信/电话加急、发送和处理交互卡片（Interactive Card）、监听卡片按钮回调（card.action.trigger）。当用户需要发消息、查看或搜索聊天记录、下载聊天中的文件、查看群成员、搜索群、创建群聊或话题群、管理标记数据、管理 FeedSkillsJul 2026
- lark-wiki飞书知识库：管理知识空间、空间成员和文档节点。创建和查询知识空间、查看和管理空间成员、管理节点层级结构、在知识库中组织文档和快捷方式。当用户需要在知识库中查找或创建文档、浏览知识空间结构、查看或管理空间成员、移动或复制节点时使用。当用户给出 doubao.com 的 /wiki/ URL/token 时，也应直接使用本 skill，不要因为域名不是飞书而回退到 WebFetch；路由依据是 URLSkillsJul 2026
- lark-mail飞书邮箱：Use when user mentions 起草邮件、写邮件、草稿、发送/回复/转发邮件、查阅邮件、看邮件、搜索邮件、邮件文件夹、邮件标签、邮件联系人、监听新邮件、邮件收信规则等；use for mail/email intent only. Do not use for docs/sheets/calendar/auth setup/pure contact lookup/IM chSkillsJul 2026
