用途：对用户举报的可疑邮件做安全分类与取证分析，给出结论和 IOC。核心是把邮件视为一组可被伪造的声明，再用发件人无法伪造的证据（Received 链、认证结果、链接与附件的真实去向）逐条核对。
主要能力：从 .eml/.msg 提取原始邮件并检查 MIME 结构（emldump.py -s 4 -d sample.eml；msgconvert sample.msg）；自下而上阅读 Received 链，定位最早、最难伪造的起始 IP 并做 WHOIS/信誉核对，识别伪造跳点与时间异常；复核 SPF、DKIM、DMARC 及对齐情况，检查 ARC，区分信封发件人与信头 From；识别显示名仿冒、近似域名、同形字/IDN、Reply-To 不一致及无载荷的 BEC；解析 Message-ID、X-Originating-IP、X-Mailer 等信头指纹；不访问即可展开短链与包装链接（如 SafeLinks、URLDefense），解码二维码钓鱼图片；对附件做哈希识别与安全提取，识别 HTML 走私、ISO/LNK、带宏文档等投递手法。
使用方式：先按安全规程处理——不在生产客户端打开邮件，仅用原始源码，工作副本分析，指标全部 defang（http→hxxp、.→[.]、@→[at]）；再提取信头、核验认证、分析 URL 与附件，最后整理发件基础设施、URL、哈希与狩猎选择器。
适用场景：用户举报的可疑邮件裁定、离线 .eml/.msg 分析、伪造判定、BEC/发票欺诈/供应商仿冒、域或品牌被仿冒确认，以及钓鱼活动范围排查。
限制：附件引爆、C2 提取交给 analyzing-malware；租户侧入侵排查用 investigating-m365-entra；回调流量分析用 analyzing-network-traffic。SPF 通过不等于合法，DKIM 有效还需看 d= 与 From 对齐；无链接无附件也可能是 BEC；网关放行不代表邮件可信。部分工具与查询命令细节视环境而定。