怪しいメールのヘッダを解析してみました。

100万ポイント山分け！1日5回検索で1ポイントもらえる

176288

ホーム | 日記 | プロフィール

【フォローする】【ログイン】

カレンダー

カテゴリ

因果応報

(5)

プロフィール

エルパパ300ZX

フォローする

日記/記事の投稿

ようやく更新です！
怪しいメールのヘッダを解析してみました。
ネコ車2号　やっぱ限界？
新型迷惑メール…来ました～（・∀・）
明けましてオメでございます。（＾＾；

フリーページ

ASP.NET Method=POST

< 新しい記事

新着記事一覧(全34件)

過去の記事 >

2005年01月28日

例の出会い系勧誘メールのその後は実に23通目。冬にもかかわらずお花畑満開です。

今までこれ程の長編シナリオにはお目にかかったことは無く、こうなるとほとんどメールマガジンみたいなモノで、意外とメールの到着を楽しみしてるエルパパでした。（＾＾；

この手の迷惑メールはたまに来ます。
中には「俺、モテモテ？」と一瞬勘違いしそうになるメールもあるのですが、メールヘッダを見ると偽装されているアドレスだったりで、ほぼ出会い系業者の勧誘メールです。

メールヘッダを覗いてみると面白いことが分かります。
このメール、怪しいな？と感じたらメールヘッダを見てみることをお勧めしますデス。

さて1月13日の日記でアップしたメールですが、このメールヘッダについて軽く解説してみましょう。
以下は届いたメールのヘッダ部分です。

差出人 : <natural_beauty_o@yahoo.co.jp>
返信先 : natural_beauty_o@yahoo.co.jp
送信日時 : 2005年1月10日 9:50:56
宛先 : <エルパパのメアド>
件名 : Re: 通販注文書

MIME-Version: 1.0
Received: from localhost.localdomain ([222.146.107.142]) by mc1-f3.hotmail.com with Microsoft SMTPSVC(6.0.3790.211); Sun, 9 Jan 2005 16:51:17 -0800
Received: from localhost ([127.0.0.1]) by localhost.localdomain with SMTP id rad2076881 for <エルパパのメアド>; Mon, 10 Jan 2005 09:50:56 +0900
X-Message-Info: JGTYoYF78jGQH2XwDfP/OU27FllQo6QDi0VqbFSnbng=
Return-Path: natural_beauty_o@yahoo.co.jp

以下本文

色々と怪しげな文字が並んでますが、これを見ると偽装度合いは割りと単純ですのでサンプルとしては適切かと思います。

差出人から件名までは読んで字の如くです。
差出人のメアド、返信先のメアドがあります。

これだけ見ると差出人と返信先のメアドが一致していますから特に怪しい点はありません。

ところが、その下に続くReceived:を見るとアレアレ？と言う状態になります。
Received:は、メールがどのサーバーを経由してエルパパの元に到着したのかを表しています。
ヘッダを見るとReceived:は二つありますね。
Received:は下にある程送信側に近いことを表していますので、送信経路を追うときは下から上へ読みます。
一番上のReceived:が最もエルパパサイドに近いということになります。

Received:の基本形は

　Received: from 送信側　by 受信側　for 受け取りアドレス

となりますので、下の方のReceived:をこれに合わせて見てみましょう。

Received: from localhost ([127.0.0.1]) by localhost.localdomain with SMTP id rad2076881 for <エルパパのメアド> Mon, 10 Jan 2005 09:50:56 +0900

分解すると
　送信側は　localhost ([127.0.0.1])
　受信側は　localhost.localdomain with SMTP id rad2076881
　受け取り　<エルパパのメアド>
となります。

localhostさんが送った。
で、localhost.localdomainサーバーがエルパパさん宛てのメールを受け取った。
ということになります。
localhostさんて誰？　ですね。（＾＾；

実はこのメールを送ろうとしたPCには自前のSMTPサーバー（メールの送信サーバー）が動いています。
理由は、同一PCで稼動しているSMTPサーバーであれば伝送経路も自己完結してしまうので、送信者はlocalhostというデフォルト値でOKとなります。
さらに言うとwith SMTP id rad2076881とありますが、メッセージIDの先頭にradが付いています。
これはRadishと呼ばれるフリーのメールサーバーが送出したときの特徴で、radが付属の場合は確実にローカルのPCでRadishが稼動しています。

もうこの時点で、「Re: 通販注文書」の返信メールのアドレスをうっかり間違えるなんて初歩的なミス？をするような人が、自前でメールサーバーを立ち上げてアドレスを偽装する…なんてことをする訳がありません！てなことがバレバレです。（笑）

次に上の方のReceived: ですが、これでエルパパはメールを受け取っています。

Received: from localhost.localdomain ([222.146.107.142]) by mc1-f3.hotmail.com with Microsoft SMTPSVC(6.0.3790.211); Sun, 9 Jan 2005 16:51:17 -0800

分解すると
　送信側は　localhost.localdomain ([222.146.107.142])
　受信側は　mc1-f3.hotmail.com with Microsoft SMTPSVC(6.0.3790.211)
となります。

エルパパはhotmailを使っていますので、受け取りはMS社のメールサーバーとなっています。
送信側は先ほどのlocalhost.localdomainですが、ここにはIPアドレスが表示されています。

222.146.107.142がIPアドレスですので、IP検索サイトでアドレス検索してみます。
すると
　ホスト名　p3142-ipad401marunouchi.tokyo.ocn.ne.jp
　ネット名　OCN
　組織名　オープンコンピュータネットワーク
と出てきました。
要するに、このお方の加入しているプロバイダはOCNということです。

まとめると、
　１　ローカルPCにRadishメールサーバーが稼動している。
　２　このPCからエルパパ宛てにメールを送信した。
　３　送信時のIPアドレスはRadishによって隠蔽され、OCNのサーバーが中継した。
　４　このメールはhotmailのサーバーが受信し、エルパパに届いた。
となります。

メールヘッダのReturn-Path: は natural_beauty_o@yahoo.co.jp となっていますが、Received:による送信経路から判断すると、どこにもyahooなんてものは見えず、アドレスを偽装している状態が丸見えです。
なんつーか、これでメール本文の内容を信じろって方が無理ってもんです。（・∀・）

一般的にはメールヘッダなんてあまり見ないですが、エルパパは常時ヘッダを表示させる設定にしてますので、ぱっと見で、「あ、またradishだ！」ということで通常はごみ箱行きなんですが、これは面白いというメールはネタコレクションに加えてます！へへ。

SPAMメールでお困りの方。一度メールヘッダをご覧になるとよろしいかと思います。
苦情先は送信側に一番近いプロバイダになりますが「こんなのが来て困ってます」といったご相談をされてみるのも方法かと思います。
エルパパは今のところ苦情を言うほど困っていないので苦笑レベルで止まってますけど…。（・∀・）

■参考
※1 Radish3に関してはGoogleあたりで検索すると詳しく解説しているページがあるので参照してください。
本体はリンクフリーとのことなのでアドレスを載せます
ここ　→　http://homepage2.nifty.com/spw/software/radish/

※2 IP検索サイトは「IP検索」のキーワードで検索エンジンで探すと出てきます。
エルパパがよく使っているところはサイバーエリアリサーチ株式会社さんの検索サービスです。
ここ　→　http://www.arearesearch.co.jp/ip-kensaku.html

お気に入りの記事を「いいね！」で応援しよう