【应急响应】钓鱼邮件的识别与反制

1. 识别

1.1 看发信人地址

正规企业邮件一般不会代发，即使代发，代发邮箱的域名也是企业域名，上图中企业域名为jd.com，而代发邮箱的域名是163.com，可以判断为非官方邮件。

1.2 看邮箱警示

遇到含有红色警示的邮件，极有可能为钓鱼邮件

1.3 看发信内容附件

下载附件后浏览器或杀毒软件报毒，可判断为钓鱼邮件

如果攻击者对文件做了免杀处理，也可能不会报毒，那么需要对文件进行测试，切勿在物理机上运行。
方法一：将文件放入虚拟机运行（运行前先给虚拟机保存快照），观察文件程序的行为，也有可能运行后任何行为都没有，说明攻击者对文件做了反虚拟机处理，也可判断为恶意文件。
方法二：将文件放入云沙箱分析，判定为远控木马。

2. 溯源攻击者

2.1 有CMS指纹特征

查看邮件原文

1处X-mail为gophish，一款钓鱼邮件工具，确认为钓鱼邮件，对其进行溯源

方法一：钓鱼服务器IP为2处显示的IP，gophish的默认端口为3333，如果该服务器邮件程序还开启，则可以访问https//43.139.90.142:3333 ，接下来用红队手段渗透服务器。

方法二：3处的邮箱地址为攻击者的代发邮箱地址，使用社会工程学手段（存在法律风险，仅在获得合法授权时才可考虑）进行溯源。

2.2 无CMS指纹特征

对发件人域名进行子域名爆破，找到关于邮件系统的子域名

最后

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！

如果你觉得这些内容对你有帮助，需要这份全套学习资料的朋友可以戳我获取！！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！