این ایمیل پاسخ به کدام پیام است؟ ردگیری پاسخ‌ها در یک بایگانی ناقص
فرض کنید در خروجی ایمیل‌ها به پاسخی رسیده‌اید که پیام قبلی‌اش را پیدا نمی‌کنید. در گزارش چه می‌نویسید؟ «یک ایمیل حذف شده» ادعای بزرگی است. با خواندن سربرگ خودِ پاسخ معمولاً می‌توانید حرف دقیق‌تری بزنید: این پیام به چه شناسه‌ای اشاره می‌کند و آیا در فایل‌هایی که بررسی کرده‌اید پیامی با همان شناسه هست؟
از یک جای خالی شروع کنیم
مثال ساختگی: چهار فایل ایمیل برای این تمرین ساختیم و سربرگ هر چهار فایل را با نرم‌افزار خواندیم. برای اینکه جدول خوانا بماند، به هر شناسه یک حرف داده‌ایم. در سطر سوم، حرف C همان <missing.3@case.example> است. فایلی با این شناسه در نمونه نداریم.
| شناسهٔ فایل موجود | موضوع ایمیل، به فارسی | پاسخ مستقیم به | ترتیب ارجاع‌ها |
|---|---|---|---|
| A | محل بارگیری | ذکر نشده | ذکر نشده |
| B | بازهٔ تحویل | A | A |
| D | پاسخ: بازهٔ تحویل | C | اول A، بعد B، سپس C |
| E | محل بارگیری | ذکر نشده | ذکر نشده |
حالا سطر D را بخوانید. در سابقه‌اش نام B دیده می‌شود، ولی خودش می‌گوید پاسخی به C است. اگر در نمودار، D را مستقیم به B وصل کنید، خواننده دیگر نمی‌بیند که یک شناسه بی‌پاسخ مانده است. برای C یک خانهٔ خالی بگذارید و بنویسید: «شناسه در سربرگ D آمده؛ فایل متناظر در مجموعه پیدا نشد.» از این خانهٔ خالی، نه متن پیام به دست می‌آید و نه علت نبودنش.
این سه ستون را چطور از فایل خودتان دربیاورید؟
- از پیام‌هایی استفاده کنید که اجازهٔ بررسی‌شان را دارید. نسخهٔ اصلی فایل .eml را نگه دارید و روی کپی کار کنید. نام فایل و هش آن را ثبت کنید تا بعداً روشن باشد کدام نسخه را خوانده‌اید. عکسِ صفحه یا متن نقل‌شده زیر یک فوروارد، جای سربرگ اصلی تک‌تک پیام‌ها را نمی‌گیرد.
- در بخش سربرگ، پیش از اولین سطر خالی، مقدار کامل Message-ID را بردارید. این شناسهٔ خود پیام است. برای پیدا کردن پیام قبلی، مقدار In-Reply-To را در ستون شناسه‌های مجموعه جست‌وجو کنید. اگر چند شناسه نوشته شده، نتیجهٔ هر کدام را جدا ثبت کنید. Reply-To چیز دیگری است: آدرس پیشنهادی برای فرستادن جواب.
- مقدار References را به همان ترتیب یادداشت کنید. گاهی ادامهٔ فیلد به سطر بعد می‌رود و با فاصله شروع می‌شود. در پاسخ معمول به یک پیام، سابقهٔ ارجاع‌های قبلی به همراه شناسهٔ پیام قبلی منتقل می‌شود؛ این فهرست نمی‌گوید پاسخ فعلی مستقیماً خطاب به تک‌تک آنها بوده است.
برگردید به سطر B. موضوع از «محل بارگیری» به «بازهٔ تحویل» تغییر کرده، اما شناسهٔ A در فیلد پاسخ آمده و فایل A را هم داریم. برای E درست برعکس است: موضوعش با A یکی است، ولی سربرگش رابطه‌ای نشان نمی‌دهد. پس نه آنها را به هم وصل کنید و نه با قطعیت بگویید بی‌ارتباط‌اند. نمای گفت‌وگو در برنامهٔ ایمیل هم همیشه این تفاوت را نشان نمی‌دهد؛ مثلاً راهنمای جیمیل تغییر موضوع را یکی از دلایل جدا شدن گفت‌وگوها می‌داند.
یادداشتی که برای نفر بعد قابل پیگیری باشد
کنار هر شناسهٔ ارجاع‌شده تعداد فایل‌های مطابق را بنویسید. اگر دو فایل یک شناسه دارند، هر دو نام و هش را نگه دارید. اگر ارجاع‌ها به دور باطل می‌رسند، ناسازگاری را ثبت کنید. در نمونهٔ بالا، قدم بعدی درخواست نسخهٔ مجازِ پیام با شناسهٔ دقیق C است. دربارهٔ نویسندهٔ واقعی یا تحویل ایمیل، این جدول به‌تنهایی چیزی ثابت نمی‌کند.
تعریف فیلدها در بخش شناسه‌های پیام در RFC 5322 آمده است. برای خواندن فایل‌ها با پایتون، مستندات خواندن سربرگ از بایت‌های ایمیل و برای پرسش جداگانهٔ اعتبار فرستنده، راهنمای فارسی تحلیل هدر ایمیل را ببینید.
نویسنده: OSINT Jet · مرور منابع اولیه: ۷ نوامبر ۲۰۲۶
ادامه مسیر اوسینت
سرنخ‌های خام را به یک تحقیق ساختارمند در اوسینت جت تبدیل کنید
برای نتیجه بهتر، فقط به یک سرنخ اکتفا نکنید. شماره تلفن، ایمیل، یوزرنیم، دامنه، نام شرکت، تصویر، شهر، لینک شبکه اجتماعی و توضیح زمینه پرونده را کنار هم قرار دهید تا موتور اطلاعاتی اوسینت جت تحلیل دقیق‌تری بسازد.