科学网-识别伪造邮件-曹俊的博文

识别伪造邮件

2017-3-29 17:21

阅读：12664

标签：邮件, 伪造

这两天很多同事收到了一封来自欧洲核子中心主任Fabiola Gianotti的邮件，称希格斯粒子不存在。文风也很奇诡，开头说“我想你也收到了匈牙利物理学家Gabor Fekete的伪造邮件”，下面是邮件内容，最后竟然话锋一转，“我非常同意Gabor Fekete，XXX、YYY、ZZZ不应该得诺贝尔奖，因为电子跟超导没关系。”

没错，这封邮件也正是这位“匈牙利物理学家”伪造的，但是从表面上看不出来是不是Fabiola发的。为了对抗反垃圾软件，该“匈牙利物理学家”还将自己的名字用图片显示而不是文本，防止成为屏蔽关键词。

去年我发了个微博讲怎么判断：

2016-11-11 00:57 来自微博 weibo.com

昨天收到一封邮件，来自新科诺奖获得者，普林斯顿大学的邓肯·霍尔丹，说石墨烯、中微子振荡都是狗屎，真正牛B的人是匈牙利物理学家Gabor Fekete，他发明的理论可以描述电磁物理到8位精度。

以前也收到过同样的邮件，还是同样的配方，还是熟悉的味道，只不过以前发信的是瑞典某教授，不熟悉，以为天下这么多教授，总有一两个脑子烧坏了的为民科喊冤。这次不对，霍尔丹不会刚拿奖就脑子烧坏，就查了一下邮件的meta info，要知道，发信人可以伪造，但是传输路径无法伪造。这封信看上去确实是普林斯顿发出的，传输路径是：

1）nat-oitwireless-outside-vapornet3-n-230.princeton.edu（应该是Princenton大学的一个无线网络用户）

2）smtp.princeton.edu，发信人haldane@princeton.edu

3）cc.usu.edu (unknown[179.43.143.185])

4）高能所服务器

查了一下IP地址179.43.143.185的所在地，不是传输路径上所说的犹他州立大学（usu.edu），而是巴拿马。再查上次瑞典发出的邮件，前面都毫无漏洞，除了到高能所的前一站，ftf.lth.se (unknown [78.129.196.110])，说是瑞典，但IP实际来自英国。所以啊，这是个高手民科，不查IP还无法断定真伪。假如路径中有IP标注了unknown，小心点。

在邮件客户端中查看邮件“属性”-->“详细信息”，或者“显示邮件原文”，或者“显示邮件头”，可以看到传输路径。查IP地址所在地可以搜索“ip地址查询”。例如：

Received: from caoj (unknown [211.100.3.45:58495])

by IMAP (Coremail) with SMTP id E3028CF0kBpWVT9Y;

Tue, 08 Nov 2016 23:51:49 +0800 (CST)

Received: from cc.usu.edu (unknown [179.43.143.185])

by ihep (Coremail) with SMTP id AQkAAf0DZXe;

Tue, 08 Nov 2016 21:57:25 +0800 (CST)

Received: from smtp.princeton.edu(smtp.princeton.edu [140.180.222.58])

by smtp.princeton.edu (Postfix) with ESMTPid 29984343FB7CF

Tue, 08 Nov 2016 08:57:18 -0500

Received: from nat-oitwireless-outside-vapornet3-n-230.princeton.edu

(nat-oitwireless-outside-vapornet3-n-230.princeton.edu