杨光宇 芦雅歌 莫德铭 叶海天 翟继强

摘要：电子邮件欺骗是最常见的电子邮件攻击类型，其攻击及检测是电子邮件取证研究中一个具有挑战性的问题。提出利用内存取证技术来获取浏览器的实时进程提取电子邮件头进行分析，采用Message-ID检测，结合nslookup查询提取MX记录来检测和识别用户收到的伪造电子邮件。实验测试和分析结果表明，可以有效检测电子邮件欺骗，精度高、误报少，并且不会中断机器的常规操作。

关键词：电子邮件欺骗；内存取证；Message-ID；MX记录

中图分类号：TP393文献标志码：A文章编号：1008-1739（2021）17-57-4

0引言

在如今的数字时代，无论是在官方还是个人互动中，电子邮件都是日常交流的重要组成部分。电子邮件的保护和安全是一个具有挑战性的命题[1]，因为简单邮件传输协议（SMTP）用于在邮件服务器之间进行邮件传输，传统上是不安全的，所以电子邮件容易受到主动形式和被动形式的攻击。电子邮件欺骗是最常见的电子邮件攻击类型，通过操纵发件人的电子邮件地址来创建伪造邮件的过程，使得收件人误认为原始电子邮件来自真正的发件人。

目前，研究人员已经提出了各种方法来应对电子邮件欺骗带来的挑战，其中包括对电子邮件头字段的时间和日期分析[2-3]、邮件内容分析[4]、欺骗对策技术、基于SSL协议的反欺骗应用[5]及电子邮件跟踪器等。

本文提出的系统利用内存取证技术，通过获取测试机上正在运行的浏览器进程，并提取电子邮件头进行分析，采用Message-ID检测，结合nslookup查询提取MX记录匹配来检测和识别电子邮件欺骗攻击。……