用途：邮件头包含揭示邮件真实来源、路由路径和认证状态的关键元数据，本技能用于识别钓鱼邮件、验证发件人真实性并收集威胁情报，结合手工方法与自动化工具进行系统化分析。
主要能力：解读关键头字段，包括 Received（邮件服务器链，自下而上阅读）、From/Return-Path/Reply-To、Authentication-Results（SPF、DKIM、DMARC 结果）、X-Originating-IP、Message-ID、X-Mailer/User-Agent。识别红旗信号：From 与 Return-Path 域名不一致、认证失败、可疑中继链、异常地理来源 IP、缺失或畸形 Message-ID、异常 X-Mailer。
使用方式：先从邮件客户端导出原始头（Gmail：三点菜单→显示原始邮件；Outlook：文件→属性→Internet 标头；Thunderbird：查看→消息源 Ctrl+U）；再用 scripts/process.py 脚本自动分析，含 IP 地理定位、认证校验与异常检测；随后校验 SPF 对齐、DKIM 签名与 DMARC 策略，自下而上追踪路由并映射各跳 IP，最后在 AbuseIPDB、VirusTotal 查询来源 IP，用 WHOIS 查域名年龄。
适用场景：钓鱼邮件研判、发件人真实性核验、邮件取证与威胁情报关联。
限制：需具备 SMTP 与 DNS（MX、TXT、SPF、DKIM、DMARC）基础知识、Python 3.8+ 及可导出原始头的邮件客户端；资料未提供脚本具体参数、安装命令与输出格式，暂未提供。