用途：在怀疑收到钓鱼邮件时，解析与分析原始邮件头，追踪真实来源、验证发件人真实性、识别通过 SPF、DKIM、DMARC 进行的伪造与仿冒。适用于事件响应、可疑邮件溯源与投递路径核查。
主要能力：导出 Outlook、Gmail、Thunderbird 原始头或 EML、PST 邮件；用 Python email 库解析 From、To、Subject、Date、Message-ID、Reply-To、Return-Path、X-Mailer、X-Originating-IP；按时间顺序读取 Received 链与认证结果；用 dig、nslookup 查询 SPF、DKIM、DMARC 记录并用 pyspf 校验；用 whois、反向 DNS 与 Levenshtein 相似度分析仿冒域名；提取正文 URL、检查显示文本与 href 不一致；计算附件 SHA-256 并核对信誉。
使用方式：先获取可疑邮件的原始头；再解析头链与认证字段；随后验证 SPF、DKIM、DMARC 对齐；分析发件域与基础设施；最后检查正文与附件并形成报告。命令示例：cp /mnt/evidence/Users/suspect/AppData/Local/Microsoft/Outlook/phishing_email.eml /cases/case-2024-001/email/；pip install pypff；dig TXT $SENDER_DOMAIN +short | grep "v=spf1"；dig TXT _dmarc.${SENDER_DOMAIN} +short；whois $SENDER_DOMAIN。
常见情形：CEO 诈骗、凭据收集、附件投毒、借助合法服务投递的定向钓鱼。输出示例含主题、发件人、投递路径、认证结论、钓鱼指标与风险等级。
限制：需要原始头、DNS 工具与威胁情报访问权限；部分字段可能缺失或被伪造；免费接口与速率限制、密钥配置等条件未提供说明。