用途 该技能用于在网络钓鱼调查中解析和分析电子邮件标头，确定可疑邮件的真实来源。具体使用时机包括：调查疑似钓鱼邮件以确定其真实来源；验证发件人真实性并检测邮件伪造；在用户点击钓鱼链接后的事件响应过程中；追踪可疑邮件的递送路径和中继服务器；以及通过验证 SPF、DKIM 和 DMARC 对齐来识别伪造行为。
主要能力 该技能包含一套完整的工作流程。第一步是从 Outlook、Gmail、Thunderbird 或 EML/PST 文件中提取原始邮件标头。第二步是使用 Python 的 email 库解析标头链，输出 From、To、Subject、Date、Message-ID、Reply-To、Return-Path、X-Mailer、X-Originating-IP 等关键字段，并按时间顺序（自下而上）展示 Received 头，同时读取 Authentication-Results、ARC-Authentication-Results、Received-SPF、DKIM-Signature 等认证结果。
第三步是验证 SPF、DKIM 和 DMARC 记录，使用 dig 查询发件人域名的 SPF、DKIM 选择器和 DMARC 记录，使用 pyspf 库手动验证 SPF，并通过 AbuseIPDB 或 VirusTotal API 检查发送 IP 的信誉。第四步是分析发件人域名和基础设施，包括 WHOIS 查询、域名年龄检查、DNS 记录调查、反向 DNS 查询、使用 Levenshtein 距离检测仿冒/抢注域名，以及检查 Reply-To 是否与 From 不同。
第五步是检查邮件正文和附件，包括从正文中提取 URL、检测链接显示文本与实际 href 不匹配的混淆行为、提取附件并计算 SHA-256 哈希值，以及将附件哈希和 URL 提交至 VirusTotal、URLhaus 或 PhishTank 进行信誉检查。
关键概念 SPF（发件人策略框架）是 DNS 记录，指定域名的授权邮件服务器；DKIM（域名密钥识别邮件）是通过加密签名验证邮件内容完整性的机制；DMARC 是结合 SPF 和 DKIM 的发件人认证策略框架；Received 标头是服务器添加的标头，显示递送链中的每一跳（自下而上阅读）；Return-Path 是用于退信的信封发件人地址，可能与 From 不同；Message-ID 是原始邮件服务器分配的唯一标识符；X-Originating-IP 是原始发件人 IP 地址，由某些邮件服务添加；标头伪造指攻击者可以伪造 From、Reply-To 等标头，但无法伪造 Received 链。
使用方式 该技能以命令行和 Python 脚本为主要操作方式。使用前需要满足以下先决条件：拥有可疑邮件的原始标头（EML 或 MSG 格式）；理解 SMTP 协议和邮件标头字段；可访问 DNS 查询工具（dig、nslookup）用于 SPF/DKIM/DMARC 验证；拥有邮件标头分析工具（MHA 等）；使用带邮件解析库的 Python 进行自动化分析；可访问威胁情报平台进行 IP/域名信誉查询。
工具方面涉及 MXToolbox（在线邮件标头分析器和 DNS 查询）、dig/nslookup（DNS 记录查询）、pyspf（Python SPF 验证库）、dkimpy（Python DKIM 签名验证库）、PhishTool（专用钓鱼邮件分析平台）、VirusTotal（URL 和文件信誉检查服务）、AbuseIPDB（IP 地址信誉数据库）以及 whois（域名注册信息查询）。
适用场景 该技能覆盖四类常见场景。场景一：CEO 欺诈/商务邮件入侵，邮件声称来自 CEO 但 Reply-To 指向 Gmail 地址，SPF 失败、DKIM 缺失、From 域名为仿冒域名。场景二：凭证收集钓鱼，邮件链接显示为合法域名但 href 指向仿冒域名，附件为包含虚假登录页的 HTML 文件，发送域名注册仅 3 天。场景三：通过附件投递恶意软件，Office 文档附件包含宏，发件人域名通过 SPF 但账户已被入侵，DKIM 签名有效，附件 SHA-256 匹配已知恶意软件。场景四：利用合法服务进行鱼叉式钓鱼，攻击者使用合法邮件营销服务发送钓鱼邮件，SPF 和 DKIM 均通过，需要 URL 和内容分析而非标头认证检查。
限制 资料未提供该技能的具体运行环境要求、依赖安装命令、支持的邮件格式完整列表或性能限制。部分操作涉及第三方 API（AbuseIPDB、VirusTotal），需要相应的 API 密钥。资料未提供关于价格、收费模式或使用许可的信息。