(河南省开封人民警察学校，河南 开封 475001)
摘 要：文章探讨了识别伪造电子邮件的方法，以帮助 人们识别伪造的电子邮件。
关键词：识别；电子邮件；伪造
中图分类号：tp393.098  文献标识码：a  文章编 号：1007—6921(2009)06—0114—02

电子邮件是目前被广泛应用的一种通信形式，承载着大量通信信息，2000年的日平均发送量 已高达100亿封，当然电子邮件也会被不法分子利用危害社会，我国北京、广东、湖北相继 出现了多起利用电子邮件进行敲诈勒索的恶性案件，因此，对电子邮件查证、追源必然成为 取证调查工作的重要内容。
1 电子邮件的基本工作原理

tcp/ip协议应用层中包含的smtp与传输系统和机制无关，仅要求可靠的数据流通道，在tcp 上它使用端口25进行传输，smtp的一个重要特点是可以在交互的通信系统中转发邮件。smtp 邮件传输机制允许将邮件直接传给对方，也允许通过一个或几个中间服务器转发，发件时首 先由发件方提出申请，要求与收件方建立双向的通信渠道，收件方服务器确认建立连接后， 双方可以开始通信。

电子邮件与普通邮件有类似的地方，发信者需要注明收件人的姓名与地址（即邮件地址）， 发送方服务器把邮件传到收件方服务器，收件方服务器再把邮件分发到收件人的邮箱中。在 邮件传输过程中涉及帮助用户读写邮件的邮件用户代理mua，负责把邮件从一个服务器传到 另一个服务器或邮件投递代理的邮件传输代理mta，把邮件分发到用户邮箱的邮件投递代理m da，邮件传输过程示意如图1所示。
如果下游服务器暂时不能接收邮件，邮件在传输代理的队列中暂存，等待以后发送。

通过smtp传送的电子邮件遵循rfc822定义的统一格式，该格式由消息头部、空白行和邮件消 息主体组成。由于rfc822只能包含ascii文本消息，限制了非文本文件的使用，人们在此基 础上进行了必要的扩展，设计了多用途因特网邮件扩展（mime），并在rfc1521中定义， mi me通过提供对不同数据类型及复杂消息体的支持扩展了电子邮件的概念。
2 电子邮件头解析

邮件消息头部由独立的行组成，每行包括字段名，接着是冒号，然后是该字段有关的特定信 息也称字段体。常见的头部字段名如表1、2所示，了解各个字段名的含义可以容易看懂电子 邮件头部信息。 

740)this.width=740" border=undefined>

740)this.width=740" border=undefined> 
740)this.width=740" border=undefined>

电子邮件可以正确发送和接收的关键，是每一封电子邮件都包含有与发送和接收相关的详细 信息头部，其中内容指示邮件正确到达目的地。当mta收到邮件时，会在其顶部加上mta的名 字和当前时间以及其他一些技术信息，这些内容被称为received头。每一个mta在收到消息