Сообщение электронной почты обычно состоит из двух частей:
заголовка (header), содержащего служебную информацию, управляющую доставкой и обработкой сообщения;
тела (body), содержащего непосредственно пользовательское сообщение: текст и прикрепленные данные (графические, звуковые файлы и т.п.).
Заголовок сообщения
Почтовое сообщение – это простой текст в формате ASCII. Поэтому заголовок сообщения представляет собой последовательность текстовых строк вида:
Стандартом почтовых сообщений предусмотрено большое количество полей. Часть из них являются обязательными, т.е. без них невозможно осуществить правильную доставку сообщений, а часть - необязательными. Ниже перечислены наиболее часто используемые поля.
Message-ID – уникальный идентификатор сообщения. Уникальность значения этого поля гарантируется программным обеспечением узла-отправителя, поэтому оно генерируется автоматически.
Date – поле "Дата". Содержит дату отправки сообщения. Значение поля устанавливается автоматически почтовым клиентом при отправке сообщения.
From – поле "От". Содержит адрес, который отправитель сообщения указывает в качестве исходящего адреса.
Sender – поле "Отправитель". Содержит адрес, с которого было реально отправлено сообщение. Это поле может отсутствовать в заголовке, если поле "From" содержит адрес реального отправителя.
To – поле "Кому". Содержит адрес основного получателя сообщения.
Cc – поле "Копия". Содержит адреса дополнительных получателей сообщения.
Bcc
– поле "Скрытая копия". Содержит адреса дополнительных получателей сообщения. Получатели, перечисленные в полях "To" и "Cc", не будут знать, что абоненты из списка "Bcc" получили копию сообщения.
Reply-to – поле "Ответить". Содержит адрес, по которому получатель должен направлять ответ. Это поле является необязательным: в случае его отсутствия ответы направляются по адресу, указанному в поле "From".
Subject
– поле "Тема сообщения". В этом поле обычно указывается краткое описание (тема) сообщения.
Тело сообщения
Изначально предполагалось, что почтовые сообщения могут содержать только текст в формате ASCII. А поскольку возможность передачи нетекстовой информации не предусматривалась, то протоколы передачи электронной почты могут некорректно обрабатывать такие сообщения. В связи с этим в свое время был разработан специальный стандарт, определяющий принципы преобразования нетекстовых данных к текстовому виду. Этот стандарт получил название MIME (Multipurpose Internet Mail Extension, многоцелевое расширение почты Интернет).
MIME предполагает, что в теле сообщения могут передаваться следующие виды информации:
текст – простой текст в формате ASCII, а также текст в формате RTF или HTML;
графические изображения – файлы в формате JPEG и GIF;
аудио и видео данные;
данные в форматах различных приложений, например, документы Microsoft Office, а также данные произвольного формата (в том числе, различные исполняемые файлы).
В одном почтовом сообщении могут быть переданы данные различных типов. Такие сообщения представляют собой структуру с общим заголовком и несколькими блоками внутри тела, каждый из которых содержит информацию своего типа.
Это широко используется при отправке сообщений с вложениями (attachments) – дополнительными "прикрепленными" файлами, которые могут содержать разнородную информацию. Например, к текстовому сообщению можно прикрепить графический файл c фотографией отправителя.
Кроме того, это может оказаться полезным, когда текст сообщения необходимо передать в разных форматах. Например, отправленное сообщение в формате HTML, содержащее какое-либо оформление, может некорректно восприниматься клиентской программой получателя. Чтобы избежать подобных проблем почтовый клиент отправителя может сформировать альтернативное представление сообщения в виде простого текста.
Для обеспечения корректной передачи сообщений c нетекстовыми данными в MIME предусмотрены два алгоритма перекодировки, осуществляющие преобразование таких данных к тестовому виду:
алгоритм "Quoted-printable", предназначенный для замены байтов, не являющихся ASCII-символами, на группу из трех байт, представляющих собой только стандартные символы;
алгоритм "Base64", осуществляющий преобразование трех произвольных байт в четыре ASCII-символа.
Для обеспечения корректной интерпретации данных стандартом MIME в заголовок сообщения вводятся дополнительные специальные поля.
Content-type – поле "Тип содержимого". Отвечает за корректное определение типа данных, содержащихся в сообщении заголовка сообщения. Значение поля указывает на конкретный тип данных, или информирует о том, что тело содержит несколько разнотипных блоков.
Content-Transfer-Encoding – поле "Тип кодирования содержимого". Определяет способ преобразования (перекодировки) исходных данных в текстовый вид.
Согласно стандартам обмена электронными сообщениями, письма поддерживают некоторые заголовки, каждый из которых должен быть с новой строки. По умолчанию, в рассыльщике уже прописаны необходимые из них: MIME-Version, Content-Type, From, Reply-To, Subject, To . Записанные в поле заголовков новые RFC email , будут добавлены к имеющимся вшеуказанным.
Учтите, что все почтовые агенты воспринимают эти стандарты по разному. Хоть и указаны в официальных протоколах, они могут быть ингорированы или неверно интерпретированы, по этому перед email рассылкой их стоит тестировать.
Популярные RFC заголовки письма
* - означает например. Cc: (Carbon Copy) * Cc: [email protected]Этот заголовок является расширением поля "To:", он указывает дополнительных получателей письма. Различий между "To:" и "Cc:" в сущности нет, если не считать, что некоторые почтовые программы рассматривают их по-разному, генерируя ответ на сообщение.Bcc: (Blind Carbon Copy) * Bcc: [email protected]
Если вы видите этот заголовок в полученном сообщении - значит, что-то не так. Этот заголовок используется так же, как и "Cc:" (см. ниже), но не появляется в списке заголовков. Основная идея этого заголовка заключается в возможности посылать копии письма людям, которые не хотят получать ответы или появляться в заголовках. Слепые копии очень популярны среди спаммеров, поскольку многие неопытные пользователи оказываются сбитыми с толку, получив письмо, которое вроде бы не было им адресовано.List-Unsubscribe: * List-Unsubscribe:
По описанному функционалу, поле должно автоматически отписывать пользователя, если он нажал на кнопку "СПАМ", но зачастую под это поле выводится отдельная кнопака "Отписаться". Заголовок воспринимается не всеми почтовыми программами, т.к. это отличная возможнотсь проверить email адреса на используемость.Priority: (X-MSMail-Priority: Importance:) * Priority: 1
Заголовок, устанавливающий приоритет сообщения. Иногда указывается, как X-Priority:, X-MSMail-Priority:, Importance:, принимает значения "Higt", "Normal", "Urgent", "Non-urgent" или дляX-Priority "1", "3", "5". Большинство программ его игнорируют. Часто используется спаммерами с целью привлечения внимания к сообщению установив 1.Comments: * Comments: Люблю книги
Этот заголовок не является стандартным, может содержать любую информацию. Подобные заголовки добавляются некоторыми почтовыми программами (в частности, популярной программой Pegasus) для идентификации отправителя, но часто прописывается и вручную спаммерами, так что относиться к нему следует с осторожностью.Organization: * Organization: ОАО Костоправ
Абсолютно свободный заголовок, обычно содержащий название организации, через которую отправитель сообщения получает доступ к сети. Отправитель, как правило, контролирует этот заголовок, поэтому там вполне может быть что-то вроде "Королевское Сообщество Постановки Одного Над Другим".Precedence: * Precedence: bulk
Значения: "bulk", "junk", "list". Указывает принадлежность письма к массовой рассылке. Синонимы X-List:*, X-Mirror:*, X-Auto:*, X-Mailing-List:*.List-Owner: * List-Owner:
Email адрес организатора массовой рассылки.X-Mailer: * X-Mailer: ePochta Mailer Disposition-Notification-To: * Disposition-Notification-To: [email protected]
На указанные реквизиты будет отправлено уведомление о прочтении. Зачастую игнорируется почтовиками, в целях борьбы со спамом. Синонимы: X-Confirm-Reading-To:, Return-Receipt-To:X-*** * X-List:, X-Mailer:, X-...
Как глосят стандарты RFC, заголовки начинающиеся на X - это собственные заголовки отдельных почтовых программ, носящие информативный характер. Но некоторые принимаются повсеместно, например X-Mailer. Ничего, кроме дополнительной информации в коде письма...
Вышепредоставленная информация, носит информативный характер. Это не означает, что указание какого либо заголовка обязательно выполнится каждой почтовой программой. Дополнительную информацию о заголовках можно получить по
Любой e-mail в своей основе обладает одинаковым строением. Формат почтового сообщения В Сети определен в документе RFC-822 (Standard for ARPA Internet Text Message, опубликован в 1982 г.). Почтовое сообщение состоит из трех частей: конверта (envelope), заголовков (headers) и тела сообщения (body). Пользователю доступны только заголовоки (headers) и тело (body) сообщения. Конверт используется программами доставки (для передачи сообщения от сервера к серверу). RFC-822 регламентирует содержание заголовка сообщения. Заголовок всегда находится перед телом сообщения, отделен от него пустой строкой и состоит из полей (имя и содержание). Имя поля отделено от содержания символом ":".Минимально необходимыми являются следующие поля "Date: «, »From: «, »Cc: " и/или "To: ", например:
From: [email protected]
From: [email protected]
From: [email protected]
где "Date: «, »From: «, »Cc: " и "To: " являются именами заголовка, а через пробел напротив каждого имени заголовка указано соответствующее содержание. Определим значение каждого указанного имени заголовка:
Поле "Date:" выставляется компьютером отправителя, на котором может быть неправильно установлены дата и время
Date: — назначение данного заголовка очевидно: он указывает дату и время отправки письма (из примеров "Fri, 6 Dec 2002 23:26:50 +0300 (MSK/MSD)" видно, что письмо было отправлено 6 декабря 2002 года в 23:26:50 по московскому времени). Если этот заголовок не был создан на компьютере отправителя, то, возможно, его добавит почтовый сервер или какой-нибудь другой компьютер, через который пройдет письмо. Его ни в коем случае нельзя принимать за непреложную истину, и дело даже не в возможности подделки — в мире чудовищно большое количество компьютеров с неверно идущими часами;From: — указывает адрес отправителя (в примере мы видим, что письмо было отправлено с адреса [email protected]);
To: — адрес(а) получателя(ей) (получателем в нашем примере является [email protected]). Отметим, что поле "To: " не обязано содержать адрес получателя, а также может содержать адреса нескольких получателей;
Cc: (Carbon Copy) — адресация копий, этот заголовок является расширением поля «To», он указывает дополнительных получателей письма (получатель «To» видит список всех «Cc»). Различий между заголовками «To» и «Cc», в сущности, нет, если не считать, что некоторые почтовые программы рассматривают их по-разному, генерируя ответ на сообщение. В примере № 1 поля Cc нет, то есть письмо было отправлено единственному получателю [email protected]. Из примера № 2 видно, что данный заголовок принадлежит адресату [email protected], которому отправлена копия письма (он не видит поле To). Пример № 3 показывает, что письмо было отправлено получателю письма [email protected], а также копия письма была отправлена на ящик [email protected].
Но это только самые основные поля заголовка. Обычно заголовок содержит значительно больше полей, чем указано выше. Давайте с ними ознакомимся...
Поле "Received:" — штамп прохождения письма через почтовый сервер
Received: — "штамп" прохождения письма через почтовый сервер. Заголовки "Received:" предоставляют подробную информацию о жизни сообщения и не дадут обмануть получателя сообщения, откуда именно пришло письмо. Если, например, машина turmeric.com, IP-адрес которой 104.128.23.115, посылает сообщение машине mail.bieberdorf.edu, но пытается ее обмануть, сказав HELO galangal.org, заголовок "Received:" получится следующим: Received: from manaraga.org (turmeric.com ) by mail.bieberdorf.edu...(остаток строки опущен для ясности). Здесь подделка сразу выводится на чистую воду. Данная строка говорит: "машина turmeric.com, чей адрес 104.128.23.115, назвалась galangal.org". Мы рассмотрели лишь один пример, наглядно представляющий нужность и полезность данного заголовка письма, в связи с тем, что целью данный статьи не является подробное изучение каждого заголовка, а лишь ознакомление с наиболее часто встречающимися в обычной жизни. Тем более что о заголовке "Received:" можно написать отдельную статью.Message-Id: — уникальный идентификатор письма, присваиваемый каждому сообщению, — чаще всего первым почтовым сервером, который встретится у него на пути, либо же почтовым клиентом. Обычно он имеет форму "[email protected], где «abrakadabra» набор произвольных символов, а вторая часть "domain.ru" — имя машины, присвоившей идентификатор. Иногда, но редко, «abrakadabra» включает в себя имя отправителя. Message-Id используется программами доставки почты во избежание "зацикливания" письма;
Поле «Bcc» — скрытая копия
Bcc: (Blind Carbon Copy) — слепая/скрытая копия (получатели не подозревают о других получателях из поля «Bcc»). Скрытые копии очень популярны среди спамеров, поскольку многие неопытные пользователи оказываются сбитыми с толку, получив письмо, которое, вроде бы, не было им адресовано;Subject: — тема письма (наличие Re: означает ответ; Fwd: — переадресацию). Почтовый стандарт допускает наличие только латинских символов (US-ASCII) в поле «Subject» поэтому, несмотря на то, что многие пользователи заполняют данное поле по-русски, этого делать не рекомендуется. Нормальная ситуация — когда написанная по-русски тема письма при отправке перекодируется почтовой программой отправителя в 7-битную base64 с указанием языковой кодировки, в которой эта тема написана (как это делают программы Pine, Pegasus Mail), а почтовая программа получателя декодирует тему письма в читаемый вид. Однако это возможность почтового стандарта MIME, который программа UUPC не поддерживает;
Reply-To: — адрес для ответов. Несмотря на то, что этот заголовок имеет множество способов цивилизованного применения, он также используется спамерами для отведения удара от себя. Может быть, какой-нибудь наивный спамер и захочет собирать ответы на свои письма и укажет верный заголовок "Reply-to:", но большинство указывает там либо несуществующий адрес, либо адрес невинной жертвы;
In-Reply-To: — показывает, что сообщение относится к типу "ответ на ответ";
Comments: — означает комментарий. Этот заголовок не является стандартным, а потому может содержать любую информацию. Подобные заголовки добавляются некоторыми почтовыми программами (в частности, популярной программой Pegasus) для идентификации отправителя, но часто прописывается вручную спамерами, так что относиться к нему следует с осторожностью;
Status: — статус письма (новое, прочитанное);
Apparently-To: — эти заголовки нетипичны для нормальных сообщений, они обычно являются признаком массовой рассылки. В последнее время для массовых рассылок используется программное обеспечение, достаточно "умное", чтобы не плодить гигантские списки из этих заголовков;
Organization: — абсолютно свободный заголовок, обычно содержащий название организации, через которую отправитель сообщения получает доступ к сети. Отправитель, как правило, контролирует этот заголовок, поэтому там вполне может быть что-то вроде ЗАО "Рога и Копыта";
Priority: — исключительно свободный заголовок, устанавливающий приоритет сообщения. Большинство программ его игнорируют. Часто используется спамерами в форме "Priority: urgent" (или что-нибудь в этом роде) с целью привлечения внимания к сообщению;
Errors-To: — указывает адрес для отсылки автоматически генерируемых сообщений об ошибке, таких как "нет такого пользователя". Это редко используемый заголовок, так как большинство отправителей обычно хотят получать сообщения об ошибках на исходящий адрес, который используется почтовыми серверами по умолчанию.
Спецификация RFC-822 — сильно устарела
Рассмотренные нами выше заголовки регламентируются RFC-822, как было сказано выше. Со времени использования стандарта RFC-822 обнаружился ряд ограничений, заметно урезающих пользовательские потребности. В частности, возможность пересылки нетекстовых данных, например, аудио и графики — данная возможность просто не была упомянута в RFC-822, описывающем лишь формат текстовых сообщений. И даже в случае текстового сообщения, стандарт RFC-822 обошел вниманием нужды пользователей, использующих расширенный набор символов, что характерно для азиатских и большинства европейских языков. Основное ограничение RFC-822 — относительно короткие строки и 7-битная символьная таблица. Пользователям для отправки нетекстовых данных приходилось конвертировать тело своего письма в 7-битную форму с помощью UUENCODE, BINHEX и аналогов. Стало понятно, что требовалась новая, дополнительная спецификация, и она была разработана — MIME — Multipurpose Internet Mail Extension (RFC-1314). Об этой спецификации мы поговорим в отдельной статье.
Предисловие:
Тебе приходилось когда-нибудь
отсылать трояны "от другого лица" на
ящики пользователей? Тогда ты знаешь, что
успех зависит от нескольких факторов: во-первых
от того, кому попало письмо (ламер, юзер,
хакер и т.д.), во-вторых от умения
использовать социальную инженерию и в-третьих
от умения фальсификации заголовков.
Инструментарий:
Итак, что же нам понадобится:
- Прога для создания письма.
Подойдёт любая: TheBat!, АутГлюк и т.д. Если
нужно отослать более одного письма,
рекомендую SendIt. - Прога для массовой рассылки
писем с поддержкой использования прокси (Advanced
Direct Remailer , G-Loch
EasyMail , Advanced
Mass Sender , Group
Mail Free , Mega-MailerPro ,
Beijing Express Direct
Email Blaster и т.
д.) - Прога для работы других прог
через прокси: Socks Chain
и т. д. - Ну, и письмо от чела, чьим "двойником"
станешь.
Все эти проги я описывать не буду.
Это выходит за рамки моей статьи. Описание
прог под пунктом "2" можно найти в
последнем номере журнала "Хакер" (ver 02.03
(50)).
Принцип работы
Принцип работы прост, как всё
гениальное: если пользователь
засомневается, что письмо пришло от того,
кто указан в поле "От", он полезет в
заголовки и будет с умным лицом их изучать (а
может и сравнит с пришедшими до этого
письмами). Поэтому нам надо подменить
заголовки писем на те, которые указываются
в настоящем письме. Вот для чего нам
требовалось получить письмо от того, кем мы
притворимся.
Формирование письма
Самый первый этап работы
заключается в правильном создании письма.
"А что сложного в создании писем?"
спросишь ты. Под "созданием письма" я
имею ввиду не текст письма, а создание
заголовков. Итак, всем известно, что при передачи письма
почтовому серверу тот вставляет свой
заголовок в начало. Т. е. самый первый
заголовок будет от сервака, где находится
твоё мыло, т.к. он последний получил письмо. Наша задача состоит в том, чтобы отправить
письмо серверу где находится мыло жертвы
напрямую, т.е. минуя другие сервера, и при
этом притворится настоящим отправляющим
сервером.
Вот тут нам понадобятся две проги (или
одна — смотря какими пользуешься): любой
почтовик и одна из прог под пунктом 2.
В почтовике составляем текст
письма. Это уж как-нибудь без меня. После
того, как письмо написано, его нужно
перенаправить к проге ADR (Advanced Direct Remailer). Для
этого в настройках почтовика заполняем
поле SMTP сервера как "localhost" (без кавычек) и отправляем письмо. Теперь
заходим в ADR, кликаем правой кнопкой мыши на
письмо и выбираем "Посмотреть сообщение".
У нас высвечивается Блокнот, в котором
показаны текст письма и заголовки
почтовика. Текст письма не трогаем, а вот
заголовки удаляем и вставляем нужные. Для
этого надо открыть письмо того чела, кем мы
будем прикидываться и настроить почтовик
на показ заголовков (например, в русском TheBat!
это делается так: вид-> показывать
заголовки (RFC-822)).
Нужно вставить все заголовки этого
письма, кроме самого первого (последний
заголовок вставит сервер). Теперь заголовки
необходимо отредактировать: заменить мыло
получателя на то, на которое собираешься
посылать письмо, изменить дату и время на то,
которое будет при отправке. При этом нужно
подсчитать разность времени между
получениями письма серверами, через
которое оно проходит, и ставить время для
каждого сервера своё.
Теперь лезем в настройки ADR.
Заходим в раздел "Доставка" и в поле
"Домен для "HELO"" пишем название
сервака, который отправляет почту (в
заголовках письма оно указано рядом с его IP).
Далее нам понадобится Socks Chain. В настройках
устанавливаем, через сколько проксей нужно
отправить письмо до того, как оно попадёт на
SMTP (хватит и одного). Не закрывая SC снова
лезем в настройки ADR-> "Прокси". Здесь
указываем адрес прокси как 127.0.0.1 и порт,
который стоит в настройках SC (по умолчанию
1081).
Всё, отправляем письмо.
From [email protected] Sun Dec 08 09:04:04 2002
Envelope-to: [email protected]
Delivery-date: Sun, 08 Dec 2002 09:04:04 +0300
Received: from (helo=webserver2.kaspersky-labs.com)
by mx5.mail.ru with smtp (Exim
SMTP.5)
id 18KuXr-000GQc-00
for [email protected]; Sun, 08 Dec 2002
09:04:04 +0300
From:
To: [email protected]
Subject: Тест.
Mime-Version: 1.0
Content-Type: text/plain; charset=windows-1251
Message-Id:
Date: Sun, 08 Dec 2002 09:04:04 +0300
Думаю, не для кого не секрет, кем я
хотел представиться 🙂
Проблемы
Иногда почтовые сервера с высокой
степенью защиты от спама не принимают почту,
если указать в "Домене для "HELO"" не
настоящее имя сервера, с которого пришло
письмо (такое было с mail.ru и hotbox.ru). Вероятно,
сервер сравнивает IP с какого идёт письмо (в
случае с использованием прокси — его адрес)
с IP сервера, на котором находится ящик
отсылающего. В этом случае письмо попадает
в "Плохие" с ошибкой "Почтовый ящик
не существует на этом сервере". Вероятные
решения этой проблемы:
Заменить имя домена на настоящее
(в случае использования прокси — указать
его IP)
Попытаться использовать IP-спуфинг
Сделать имя своего компа таким
же, как и у хоста, который указывается в
"Домен для "HELO" (на тот случай, если
твою машину при соединении регистрируют
в сети прова).
При отправке письма напрямую,
некоторые сервера отказываются работать,
если используется их служба, а в строке "От"
указан ящик, чей аккаунт находится у
другого сервера (такое было у mail.ru).
Сервер отказывается принять
письмо, если указан несуществующий
обратный адрес.
В последнее время многие
сервера отказываются принимать почту, если
определённый IP соответствует прокси. Здесь
также стоит попробовать спуфинг.
Плюсы и минусы данного способа
К достоинствам этого способа можно
отнести возможность рассылки писем без
засветки своих реальных данных (IP, имя компа,
и т.д.) При этом, этот способ вполне может
подействовать не только на ламеров, которые
и о заголовках-то никогда не слышали, но и на
юзеров, если те полезли в заголовки письма (там
всё идентично, кроме IP).
Недостаток: может найтись тот
чувак, который проверит соответствие IP и
имя указанного домена. Но всё равно, уж
лучше так, чем отсылать заведомо
неправильно сформированное письмо.
Заключение
Ну, вот и всё. Желаю тебе побед в
нелёгкой борьбе против ламеров.
В самом общем случае схема обмена электронными сообщениями (электронная почта, e-mail) выглядит следующим образом
Как видим, в процессе обмена электронными сообщениями используются не только технические и программные средства отправителя и получателя, но и почтовые серверы, задачей которых является прием писем, предназначенных к отправке от отправителя, доставка их в почтовый ящик получателя, временное хранение, и передача из почтового ящика получателю.
В качестве одного из элементов электронной почты, почтовый ящик представляет собой обычный каталог файловой системы (папку), а электронные письма – файлы данных, находящиеся в данном каталоге. Естественно, вся технология приема и передачи электронных писем подчиняется определенным правилам, задаваемым протоколами и форматами данных. На стороне клиента (отправителя и получателя) используется специальное программное обеспечение – почтовый клиент, в качестве которого может использоваться, например, Microsoft Outlook для Windows или Mozilla Thunderbird для Linux. Даже если вы работаете со своим почтовым ящиком через веб-интерфейс (подключаясь к сайту, например mail.ru), то вы все равно используете почтовое клиентское программное обеспечение, выполняющееся в среде сервера. Почтовые серверы и почтовые клиенты, независимо от того, на каком оборудовании, и с каким программным обеспечением, они работают, реализуют, как минимум два прикладных протокола, без которых невозможен обмен почтой. Один из них служит для передачи электронных писем – это протокол SMTP (Simple Mail Transfer Protocol, простой протокол передачи почты), второй служит для приема POP3 (Post Office Protocol ver 3, протокол почтового офиса). Оба протокола на прикладном уровне реализованы в виде обмена текстовыми сообщениями в кодировке ASCII, т.е. являются телнетоподобными (telnet-like) протоколами. Так уж исторически сложилось с момента первых попыток обмена электронными сообщениями в 1960-х годах. Соответственно, сами электронные письма, тоже не могут содержать никаких служебных (неотображаемых) символов. Даже прикрепленный к электронному письму бинарный файл преобразуется перед передачей в последовательность стандартных отображаемых символов и при приеме перекодируется в исходный вид. Как процесс обмена данными, так и структура электронных писем подчиняются строго определенным правилам, о которых пойдет речь ниже.
Отправитель почтового сообщения подключается к своему почтовому серверу с использованием протокола прикладного уровня SMTP и передает ему данные, необходимые для доставки отправления конечному получателю, и собственно, само послание. После чего сеанс обмена завершается. На следующем этапе доставки почты (процесс Mail Delivery), почтовый сервер отправителя, используя данные электронного адреса получателя, находит его почтовый сервер, подобным же образом подключается к нему и передает письмо, которое помещается в почтовый ящик получателя. Структура адреса в виде [email protected] пределяют:
user - имя пользователя, оно же – имя каталога, используемого в качестве почтового ящика.
domain.ru - доменное имя "domain.ru", по которому определяется почтовый сервер, на котором находится данный почтовый ящик. Для определения почтовых серверов, обслуживающих конкретные домены используется служба разрешения имен DNS.
[email protected] – почтовый ящик пользователя "test" в домене mail.ru
Соответственно, когда отправитель неверно укажет первую часть адреса или такой почтовый ящик отсутствует, письмо не может быть доставлено, и отправителю отсылается сообщение об этом факте, содержащее "Mailbox does not exist" (почтовый ящик не существует):
SMTP error from remote mail server after RCPT TO: :
^nbsp host mx01.mail.ru : 550 Mailbox [email protected] does not exist.
Обычно, сообщения об ошибках доставки электронной почты отправляются с темой:
Mail delivery failed: returning message to sender
В случае, когда ошибочно указана часть адреса после знака @ , то сообщение об ошибке будет сопровождаться текстом о том, что не найден домен (Domain . . . not found). В зависимости от разновидности серверов и их настроек, текст сообщений об ошибках доставки может незначительно отличаться.
Если же ошибок не возникло, получателю остается только подключиться к серверу с использованием своего почтового клиента и по протоколу прикладного уровня POP3 "забрать" из почтового ящика находящееся там послание.
Протокол SMTP был разработан еще в начале 80-х годов прошлого века (основные спецификации - RFC 821 RFC 822), однако, с некоторыми изменениями и дополнениями, широко используется до сих пор и, очевидно, будет использоваться в ближайшие несколько лет как основной протокол передачи электронных сообщений. Последнее обновление в 2008 г. RFC 5321 добавило масштабируемое расширение протокола - ESMTP (Extended SMTP). Однако в повседневной терминологии, по прежнему используется название SMTP
При стандартной настройке, почтовый сервер ожидает входящие соединения на TCP порт 25 (слушает TCP порт 25). Клиентская почтовая программа выполняет подключение на данный порт, после чего, почтовый сервер передает свое приветствие, например:
220 fcgp03.nicmail.ru ESMTP CommuniGate Pro 5.2.3.
Информационные и управляющие сообщения, выдаваемые сервером, состоят из номера (числового идентификатора), в данном случае - 220 (сервер готов к работе) и поясняющего текста. Данные, передаваемые клиентом, не имеют номера и передаются в виде набора отображаемых символов (обычного текста).
Для начала сессии, в соответствии со спецификацией протокола SMTP клиент должен сообщить свое локальное имя хоста с использованием директивы HELO. Вместо HELO, может быть использована (и в большинстве почтовых программ, используется) директива EHLO , в ответ на которую сервер передает список поддерживаемых им команд протокола SMTP
EHLO MyComp.Mydomain
В качестве аргумента директивы EHLO передается имя компьютера.
В ответе сервера (идентификатор 250 - OK, выполнено успешно) будут перечислены поддерживаемые им команды протокола SMTP:
250-fcgp03.nicmail.ru domain name should be qualified MyComp.Mydomain
250-SIZE 31457280
250-AUTH LOGIN PLAIN CRAM-MD5 DIGEST-MD5 MSN
250-ETRN
250-TURN
250-ATRN
250-8BITMIME
250-HELP
250 EHLO
Список команд SMTP зависит от разновидности и конкретных настроек сервера. В связи с проблемой СПАМа, подавляющее большинство почтовых серверов настраивается только на работу с разрешением на подключение с заранее известных IP-адресов или с авторизацией пользователя. Поэтому почтовая клиентская программа выдает директиву AUTH, указывающую какую процедуру проверки подлинности пользователя она будет использовать:
AUTH LOGIN
В данном случае будет использоваться проверка подлинности пользователя по имени и паролю. После чего сервер выдает сообщение c номером 334 (выполнение процедуры аутентификации):
334 VXNlcm5hbWU6
В рассматриваемом примере SMTP-сессии, на данном этапе обмен данными между клиентом и сервером выполняется также в текстовом виде, но в кодировке Base64 . Данная кодировка широко используется в приложениях электронной почты для кодирования бинарных данных - программ, фото, видео и т.п. Весь диапазон кодируемых элементов данных может быть представлен набором символов английского алфавита, цифрами и некоторыми знаками. Для перекодировки данных, проще всего, воспользоваться онлайн-перекодировщиком base64.ru . Для перекодировки копируем строку Base64 в верхнее окно, и в нижнем получаем текст Username:
Строка символов VXNlcm5hbWU6 - это Username: в кодировке ASCII, т.е. запрос имени пользователя. Клиентская программа также отправляет его в кодировке Base64:
QmlsbEdhdGVzQG1pY3Jvc29mdC5jb20=
Подобным же образом, определяется, что строка
334 UGFzc3dvcmQ6
Означает запрос пароля - Password:
На что клиентская программа передает пароль, также в кодировке Base64:
YXNkYXRh
Если пароль принят, сервер отвечает сообщением с номером 235:
235 [email protected] authenticated
Если имя пользователя или пароль не опознаны, сервер ответит кодом ошибки из набора сообщений с номерами 4ХХ, 5ХХ
MAIL FROM: [email protected]
Одним из серьезных недостатков протокола SMTP является его слабая защита от подделки почтовых отправлений. Как в директиве HELO можно указать любой адрес хоста, так и в директиве MAIL FROM можно указать любой адрес отправителя, например,
Font color="blue"> MAIL FROM: [email protected]
Если почтовый адрес соответствует формату user@domain , сервер выдаст сообщение с номером 250 (OK, все хорошо):
250 [email protected] sender accepted
(А клиентская почтовая программа получателя именно этот адрес отобразит в принятом письме, т.е. от Билла Гейтса из домена microsoft.com)
Получив от сервера подтверждение, что адрес принят, клиентская программа передает адрес получателя с помощью директивы RCPT TO:
RCPT TO: [email protected]
Если адрес получателя соответствует формату user@domain , сервер ответит сообщением о готовности принять почтовое сообщение для доставки 250:
250 [email protected] will relay mail for an authenticated user
DATA
На что сервер отвечает сообщением с номером 354 ("начать ввод текста письма")
354 Enter mail, end with "." on a line by itself
В самом простейшем случае, письмо может быть набором вводимых с клавиатуры, отображаемых символов ASCII, например
Hello, World!!!
Признаком конца сообщения является отдельная строка, содержащая символ "точка".
На что, сервер выдает сообщение о принятии к доставке введенного сообщения:
250 message accepted for delivery
После чего программа почтового клиента завершает сессию:
В ответ почтовый сервер сообщает о закрытии соединения:
221 fcgp03.nicmail.ru CommuniGate Pro SMTP closing connection
На начальном этапе использования протокола SMTP, когда передавался только простой текст, использовался именно такой способ передачи писем, однако со временем, появилась необходимость создавать красивое оформление отправлений, прикреплять файлы произвольного формата, использовать национальные алфавиты и т.п. Таким образом, в дополнение к документу RFC 821 был разработан документ RFC 822 , стандартизирующий основное содержание сообщений электронной почты и документы RFC 2045 и RFC 2046 , описывающие формат расширений MIME (Multipurpose Internet Mail Extensions - многоцелевое расширение электронной почты), предназначенный для обработки составных и нестандартных сообщений.
Формат электронного письма.
В соответствии с современными стандартами, сообщение электронной почты состоит из 2-х частей - заголовка и тела . Заголовок письма формируется почтовым программным обеспечением и состоит из нескольких строк в кодировке ASCII. Заголовок содержит служебную информацию, необходимую для доставки и обработки электронного послания. Каждое поле заголовка состоит из названия, символа двоеточия, и данных поля. Некоторые поля заголовка имеют фиксированную структуру, например, поле From: (адрес отправителя), а некоторые - произвольную, как например, поле Subject: (тема письма).
Основные поля сообщения:
From:
- адрес отправителя
To:
- адрес получателя
Date:
- дата отправки
Cc:
- копия сообщения отправляется на указанный адрес
Bc
- скрытая копия
Subject:
- тема сообщения
Message-ID:
- идентификатор сообщения, присвоенный почтовым ПО.
Reply-To:
- адрес для ответа на сообщение.
Priority
- Приоритет (важность) сообщения
X-Mailer:
- почтовая программа, с помощью которой отправлено сообщение.
Received:
- поле с адресами и временем обработки сообщения промежуточными серверами при доставке сообщения адресату.
Минимальный заголовок сообщения должен содержать поля From: , To: (или Cc: ) и Date: . При доставке сообщения конечному адресату, к первоначальному заголовку письма могут быть добавлены поля, сформированные промежуточными почтовыми серверами. Так, например, при отправке сообщения от пользователя [email protected] пользователю [email protected] , письмо отправляется клиентским почтовым программным обеспечением на почтовый сервер, обслуживающий домен mail.ru, и затем пересылается им почтовому серверу, обслуживающему домен rambler.ru, откуда оно будет принято пользователем почтового ящика [email protected]. Пересылка может состоять из нескольких шагов и сопровождается добавлением полей промежуточных серверов в заголовок сообщения.
О формате содержимого письма сообщают поля:
MIME-Version: - версия расширения MIME. Означает, что в данном сообщении используется расширение MIME и указывается его версия.
Content-Type: - тип содержимого. Определяет содержание сообщения и алгоритм его обработки почтовым программным обеспечением (почтовым ПО). Так, например,
Content-Type:message/RFC-822
- указывает, что далее следует сообщение в формате RFC-822, т.е. простейшее текстовое сообщение без каких-либо расширений в кодировке ASCII.
Content-Type: text/plain; charset="windows-1251"
- сообщение из последовательности символов в кодировке, определяемой значением параметра charset:
(в данном случае, в кодировке Windows с кодовой страницей 1251)
Content-Type: text/html
- используется текст, размеченный с использованием тегов языка HTML.
Content-Type: multipart/mixed;
boundary="----=_NextPart_000_008D_01CC0FEF.CCB47280"
- сообщение состоит из нескольких частей различного содержания. Параметр boundary
задает строку - разделитель между отдельными частями.
Таким образом, поле Content-Type: может определять тип содержимого (audio, video, image), которое должно быть перекодировано при обработке почтового сообщения. Тип кодировки указывается полем Content-Transfer-Encoding: . Если указаны типы 7bit , 8bit или binary , то перекодировка не используется. Тип Base64 указывает на то, что кодирование данных выполнено с использованием упоминаемой выше кодировки Base64. Довольно часто встречается тип quoted-printable , предназначенный, как и Base64, для передачи символов, не входящих в состав отображаемой части ASCII (английского алфавита, цифр и некоторых знаков). Каждый символ преобразуется в последовательность из знака равенства = и двух символов задающих шестнадцатеричное значение кода преобразуемого символа. Так, например, заглавная русская буква Я , которой соответствует шестнадцатеричное значение 0xDF в старшей части таблицы символов, будет представлена как =DF , восклицательный знак - =21 и т.п. Правила кодирования данных описаны в документе RFC-1341
Как определить поддельное электронное письмо.
Наверно, нет ни одного пользователя электронной почты, который не получал бы электронные послания от различного типа мошенников, маскирующихся под организаторов всевозможных (беспроигрышных для них) лотерей, администрацию сайтов, сервисы электронных платежных систем и т.п. С помощью поддельных писем были взломаны многие страницы пользователей социальных сетей, учетные записи пользователей электронной почты, электронные кошельки т.д. А бывает и наоборот, действительные письма, вызвавшие необоснованные подозрения были проигнорированы и отправлены в корзину. А ведь достоверность электронного послания довольно просто определить, используя обычную логику и ту информацию, которую можно извлечь из полей заголовка письма.
Принятое письмо отображается почтовым клиентским программным обеспечением в виде, удобном для просмотра без лишней детализации, однако, при необходимости, можно изменить представление данных сообщения, и получить возможность просмотра полей заголовка. Для почтового клиента Microsoft Outlook Express (а также почтового клиента Windows Mail и прочих), например, нужно выбрать конкретное письмо, вызвать контекстное меню правой кнопкой мышки и выбрать пункт Свойства или нажать комбинацию клавиш Alt +ENTER . Откроется окно свойств сообщения с вкладками "Общие" и "Подробно" (в некоторых клиентах – "Общие" и "Сведения")
При выборе режима представления "Подробно" в окне свойств сообщения будут отображаться заголовки письма и, кроме того, появится возможность его просмотра в том виде, в каком оно было принято от почтового сервера при нажатии на кнопку Исходное Сообщение
Исходный вид представляет собой заголовок письма, пустую строку, и тело письма.
В других почтовых программах или в веб-интерфейсе почтовых служб также имеется возможность просмотра заголовка, так, например, при чтении письма через веб-интерфейс почтовой службы mail.ru, заголовок можно просмотреть, нажав на иконку с надписью RFC , располагающейся в строке кнопок над письмом. В веб-интерфейсе почты Яндекса, нужно в правом верхнем углу экрана нажать на иконку Свойства письма . Названия кнопок могут различаться, но практически всегда существует возможность просмотра заголовка или полностью исходного вида электронного письма.
Для просмотра заголовка электронного письма в почтовом клиенте Microsoft Outlook 2010 нужно открыть письмо двойным щелчком и выбрать в меню "Файл" – "Сведения" - кнопка "Свойства". Поля заголовка отображаются в окне "Заголовки интернета"
Для примера, рассмотрим заголовки письма, в качестве отправителя в котором значилось "Microsoft Corporation" и c темой "You Won (View Attachment)" , где сообщалось о крупном выигрыше в электронной лотерее и предлагалось для его получения заполнить анкету в присоединенном файле. Вроде бы речь идет о выигрыше в лотерее, проводимой корпорацией Майкрософт. Вообще-то, содержание явно подозрительное, но в данном случае это неважно. Задача заключается в том, чтобы получить максимум достоверной информации об отправителе данного электронного письма.
В процессе доставки электронного письма, при пересылке от узла к узлу, программные средства по пути следования добавляют служебную информацию в заголовок, при чем, отправитель не имеет возможности каким-либо образом изменить эти данные. Самые ранние по времени формирования поля заголовка, находятся в нижней части, более поздние - в верхней. Поля, начинающиеся с символов X- , как правило, относятся к программному обеспечению, используемому для отправки электронного письма, его проверки на спам, вирусы и т.п. Особо полезных сведений для определения достоверности отправителя сообщения эти поля не содержат, хотя могут быть использованы в качестве дополнительного источника информации. Например, отправителем отображается корпорация Microsoft, а для отправки используется веб-почта поисковой системы Yahoo, чего, явно быть не может.
X-Mailer: YahooMailRC/420.4 YahooMailWebService/0.8.105.279950
Поля From:, To: и Reply-To: также говорят о поддельности письма.
From: Microsoft Corporation
Выводимое имя отправителя "Microsoft Corporation" а почтовый адрес " [email protected] " (реально присутствовавшие в сообщении адреса я изменил, сохранив структуру). В адресах электронной почты используется формат
user@domain - Имя пользователя знак @ имя домена . Имя пользователя (имя почтового ящика) в данном случае - microsoft491 , а имя домена - gmail.com , т.е. - это бесплатный почтовый ящик в домене Google . Не правда ли, это странно, когда крупная организация для официальной переписки использует публичную бесплатную почту? Имя пользователя можно завести любое, если оно свободно, и соответствует правилам почтового сервиса, а отображаемое имя не имеет отношения к реальному почтовому адресу. Очень часто мошенники используют формат почтового адреса в качестве отображаемого имени отправителя, и вместо "Microsoft Corporation" может присутствовать, например "[email protected]", которому будет соответствовать реальный адрес "[email protected]", который явно не имеет никакого отношения к корпорации Microsoft.
Имеет ли домен из адреса отправителя какое либо отношение к Microsoft или какой либо другой организации, можно проверить с использованием специального программного обеспечения, как например бесплатная утилита или с использованием онлайн-сервисов Whois (на сайте 2ip.ru, например), позволяющих получить реальные сведения о доменном имени.
Информация о домене очень часто дает дополнительные признаки, которые могут помочь в определении достоверности электронного письма. Особенно это касается тех случаев, когда используется адрес с именем домена, очень близким к наименованию официальных организаций. На днях по русскому сегменту Интернет прошла мошенническая рассылка от имени, якобы Роскомнадзора, roskomnadzor.org . В подобных случаях стоит обратить внимание на возраст домена. Как правило, доменные имена, используемые для мошенничества в Интернет, имеют возраст от нескольких дней до нескольких недель. Кроме того, информация о регистраторе, данные технических и административных контактов могут дать сведения, на основании которых, можно сделать выводы о достоверности отправителя. В реальности, чаще всего оказывается, что регистратор доменного имени для госучреждения - частное лицо, а указанные контакты не имеют никакого отношения к данной организации или даже к данной стране.
Следующее поле, на которое следует обратить внимание
Message-ID: 306099.58326.qm@ web83802.mail.sp1.yahoo.com
Это внутренний идентификатор сообщения, присваиваемый почтовой системой, имя которой располагается после символа @ . Если вы получили, якобы письмо от Microsoft или администрации Яндекса, а в имени почтовой системы присутствует yahoo.com , то можно однозначно сделать вывод, что такое письмо - подделка. Но это еще не все. Следующее (снизу вверх) поле, Received: было сформировано первым в цепочке доставки почтовым сервером и дает нам адрес (адрес изменен мной), с которого было отправлено письмо
Received: from by web83802.mail.sp1.yahoo.com via HTTP;
C большой долей вероятности можно предположить, что это, как минимум адрес из пула адресов Интернет - провайдера отправителя или шлюза сети почтовой службы. Добавлю, что в большинстве случаев в сетях провайдеров клиентам выделяются динамические IP-адреса и, так называемые, "серые" IP, когда выход в Интернет выполняется с использованием технологии NAT (Network Address Translation) и в качестве IP в поле Received: будет адрес шлюза, через который производится выход в Интернет из внутренней сети провайдера. Для получения информации об IP-адресе можно воспользоваться тем же Win32Whois. Вместо имени домена заносим в поле DOMAIN интересующий нас IP-адрес
Анализ адреса может дать информацию, например, что письмо от якобы Microsoft , было отправлено из сети польского или новозеландского провайдера, а официальное письмо Федеральной службы России отправлено из Канады.
Как видим, ничего сложного. Достаточно обладать даже общими сведениями о принципах обмена электронной почтой и иметь представление о форматах писем, чтобы определить поддельное отправление и не попасться на крючок интернет-мошенников.
