메일에 숨겨진 정보 확인하기

오늘은 E-mail에 담겨있는 정보를 확인 하는 방법을 알아보고자 합니다

이번에 활용할 메일을 다운 받기 위해 샘플을 만들어 봅니다

1. 다음 메일에서 --> 저의 구글 계정으로 테스트 메일 한통을 보낸 후 구글의 메일함의 메일을 확인합니다

2. 메일의 원본 파일을 다운로드 합니다

3. 다운로드 후 해당 파일을 메모장으로 열어서 관련 정보를 확인 가능합니다

- X-Originating-IP : 메일 발송자의 PC IP

- Return-Path : 메일 발송에 실패 했을 때 반송되는 주소

- Authentication : 메일을 주고 받기 위한 암호화 관련 정보

- Received : 메일이 어디를 거쳐서 도착하게 되었는지 경로를 확인 가능 ( 아래서 부터 위로 지나온 경로가 쌓인다 )

Delivered-To: ********@gmail.com
Received: by 2002:a81:d541:0:0:0:0:0 with SMTP id l1csp3005134ywj;
        Sun, 26 Sep 2021 02:46:08 -0700 (PDT)
X-Google-Smtp-Source: ABdhPJzOfi5OB+ISvi4WfD+H9aBcR5x+qeMALjBdvWaiXQr8z/QDPynlwYQosHuewzO76ofssTkP
X-Received: by 2002:aa7:9841:0:b0:439:c4cb:fe9a with SMTP id n1-20020aa79841000000b00439c4cbfe9amr18288520pfq.13.1632649568642;
        Sun, 26 Sep 2021 02:46:08 -0700 (PDT)
ARC-Seal: i=1; a=rsa-sha256; t=1632649568; cv=none;
        d=google.com; s=arc-20160816;
        b=qtnAZJ0jL3l7eItLSQm5x1q3ZpUl2rJnjyKvyS7eh/Y6qMdAIQbw+El9GFGtuwShLX
         XRH5hEM1SZ0qSVmjc+9SDlVBsYaMpqD/48he+ZBARKXQkTHs1KLCcFZr5gUk/eO/NOvW
         OSnlmoThXtolp9AyvgY3U9yRkGjf/GtuIZRodSTeYpwzLlTNR1uMi5Qx3DnTvpUyxzgB
         QyV00sbSfp8Wdz0m1Zv54Lm13VthsZmy1Lud6TIVWS+yZp3O6vwx3Ha72MB7pEExz3sJ
         FIcE6R6iKxlWIMMRh8aStZdglhR4dsGfUkelHLfusWieOaqeKdMR4boVaFbs0wl49H3a
         u/iw==
ARC-Message-Signature: i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20160816;
        h=content-transfer-encoding:mime-version:subject:message-id:to:from
         :date;
        bh=15VO4iJK9e2l2uZbEbRVlY30V4WYaf5CDYp0B9Jgw0k=;
        b=S69P+8lLRRYnx0Gd+oUCKc0lW8OorUgx5OVuIoUNmgAFZxiltBp1PmZFi3RQDE8O3A
         bGTOGXDVr/jOf/KtnShEkoUYd98VrcTQ0SelD452qCU7LQdffos/jH5s1BC51Z5zPbYF
         twni3gHnAj3eqL6XXoCuiKxHMPPMnjW+FcocQgvVwD/W+d7iXbXZ/5HfggXCB6+dxSIC
         bYRia2Mrkm58XNStiOg+UbbCgqPuMP25XHffCDUsSR28GDcYrZkarcJXSkPyKvNxkXmv
         WwuDGhldw1mtIYppYA3IYimeHkDRkKTLFxKi6vRGiSJCvUz4l25nB6BMLTF88gI76WgG
         MCfg==
ARC-Authentication-Results: i=1; mx.google.com; // 암호화된 인증키 관련 정보
       spf=pass (google.com: domain of ***********@daum.net designates 203.133.180.233 as permitted sender) smtp.mailfrom=********@daum.net;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=daum.net
Return-Path: <********@daum.net> // 메일의 수신자가 없을 경우 반송되는 경로
Received: from mail-smail-vm45.hanmail.net (mail-smail-vm45.daum.net. [203.133.180.233])
        by mx.google.com with ESMTPS id d4si16376286plg.110.2021.09.26.02.46.07
        for <*********@gmail.com>
        (version=TLS1_2 cipher=ECDHE-ECDSA-AES128-GCM-SHA256 bits=128/128);
        Sun, 26 Sep 2021 02:46:08 -0700 (PDT) //구글의 표준 시간으로 변경 됨
Received-SPF: pass (google.com: domain of ********@daum.net designates 203.133.180.233 as permitted sender) client-ip=203.133.180.233;
Authentication-Results: mx.google.com;
       spf=pass (google.com: domain of *********@daum.net designates 203.133.180.233 as permitted sender) smtp.mailfrom=********@daum.net;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=daum.net
Received: from mail-hmail-pgwas2 ([10.194.50.131])
        by mail-smail-vm45.hanmail.net (8.13.8/8.9.1) with SMTP id 18Q9k3Jt029576
        for <*********@gmail.com>; Sun, 26 Sep 2021 18:46:03 +0900 // 한국의 표준 시간
X-Hermes-Message-Id: p8QIk1hgX1163105625
Received: from mail-hammer-was9.s2.krane.9rum.cc ([10.197.10.42]) by hermes of mail-hmail-pgwas2 (10.194.50.131) with ESMTP id p8QIk1hgX1163105625 for <********@gmail.com>; Sun, 26 Sep 2021 18:46:01 +0900 (KST)
Date: Sun, 26 Sep 2021 18:46:01 +0900 (KST)
From: =?UTF-8?B?6rmA7KeA7ZuI?= <*********@daum.net>
To: ***@gmail.com
Message-ID: <20210926184601.5Hl9o1-kTzmT4e8fIfBBxg@**********.hanmail.net>
Subject: =?UTF-8?B?VEVTVCDsnoXri4jri6Q=?=
MIME-Version: 1.0
Content-Type: text/html; charset=utf-8
Content-Transfer-Encoding: base64
X-Mailer: Daum Mint Web 1.0
X-Originating-IP: [124.48.246.39] // 발송자 IP 정보
X-HM-UT: 3XeZQXzGjbZCcAG8tHEQWwp1jh5OhY31w/CPVZ2Fpsw=

<html>
<head>
    <style>
        p{margin-top:0;margin-bottom:0}
    </style>
</head>
<body>
    <div style="color:#111;font-family:Apple SD Gothic Neo,Malgun Gothic,'맑은 고딕',sans-serif;font-size:10pt;line-height:1.5;"><p><br></p>
<p><br></p>
<p>TEST!!</p></div>
</body>
</html>
<img src="https://confirm.mail.daum.net/confirmapi/v1/users/*********%40hanmail%2Enet/cmails/20210926184601%2E5Hl9o1-kTzmT4e8fIfBBxg%40********%2Ehanmail%2Enet/recipients/*******%40gmail%2Ecom"> // 수신확인 Tag

위 코드에 보면 메일의 본문 내용이 HTML 코드로 다 표현이 되어 있지만

처음에는 아래 처럼 Base64로 인코딩 되어 있는 상태이다 ( 디코딩 해야 위에 처럼 보여진다! )

MIME-Version: 1.0
Content-Type: text/html; charset=utf-8
Content-Transfer-Encoding: base64
X-Mailer: Daum Mint Web 1.0
X-Originating-IP: [124.48.246.39]
X-HM-UT: 3XeZQXzGjbZCcAG8tHEQWwp1jh5OhY31w/CPVZ2Fpsw=
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나머지 정보는 아직 정확하게 어떤걸 의미 하는지 모르겠다...

혹시나 틀린 부분이 있으면 댓글 부탁드려요!

저작자표시 비영리 변경금지

'디지털포렌식 > 분석 연습' 카테고리의 다른 글

PDF 바이러스 / 악성코드 확인 방법 (0)	2022.12.24

💾 Project Archive

메일에 숨겨진 정보 확인하기

'디지털포렌식 > 분석 연습' 카테고리의 다른 글

댓글

티스토리툴바

메일에 숨겨진 정보 확인하기

'디지털포렌식 > 분석 연습' 카테고리의 다른 글

관련글

댓글

티스토리툴바