วิเคราะห์ไฟล์ .eml: ส่วนหัว, สายข้อความ Received, ลิงก์, ค่าแฮชของไฟล์แนบ, ความไม่ตรงกันของผู้ส่ง
ใหม่
เครื่องมือวิเคราะห์ส่วนหัวอีเมล
ทำงานในเครื่อง
เครื่องมือนี้ใช้ภาษาอังกฤษ; หน้านี้อธิบายด้วยภาษาของคุณ
ใช้เครื่องมือวิเคราะห์ส่วนหัวอีเมล
หน้าที่ของมันคืออะไร
คัดลอกส่วนหัวข้อความดิบของข้อความที่น่าสงสัยมาเพื่อดูข้อมูล From, To, Date และ Subject รวมถึงผลการตรวจสอบ SPF, DKIM และ DMARC ที่เซิร์ฟเวอร์ผู้รับบันทึกไว้ รายชื่อ Received ตามลำดับจากจุดเชื่อมต่อที่เก่าที่สุดก่อน และตารางแสดงส่วนหัวทั้งหมด รวมถึง Reply-To และ Return-Path
ระบบนี้ทำงานทั้งหมดในเบราว์เซอร์ของคุณ: ข้อมูลที่คุณป้อนจะไม่ถูกส่งขึ้นเซิร์ฟเวอร์เลย
วิธีใช้เครื่องมือวิเคราะห์ส่วนหัวอีเมล
- คัดลอกส่วนหัว. เปิดแหล่งที่มาของข้อความ (ใน Gmail: Show original, ใน Outlook: View message source, ใน Thunderbird: View source) และคัดลอกบรรทัดส่วนหัวลงมาจนถึงบรรทัดว่างแรก
- คัดลอกและวิเคราะห์. คัดลอกและวางลงในส่วนหัวอีเมลแบบ Raw แล้วกด Parse หากวางเนื้อหาอีเมลด้วย โปรแกรมวิเคราะห์จะหยุดที่บรรทัดว่างแรก และแสดงจำนวนบรรทัดที่ยังไม่ได้อ่าน
- อ่านฟิลด์หลัก. ส่วน "จาก", "ถึง" และ "วันที่" จะแสดงขึ้นก่อน ตามด้วย "หัวข้อ" หากมี ค่าจะแสดงตามตัวอักษรที่เขียนไว้โดยไม่มีการถอดรหัส
- อ่านผลการตรวจสอบความถูกต้อง. SPF, DKIM และ DMARC แสดงผลลัพธ์ที่เซิร์ฟเวอร์ผู้รับได้บันทึกไว้ในส่วนหัว Authentication-Results ที่อยู่ด้านบนสุด พร้อมทั้งชื่อของเซิร์ฟเวอร์ดังกล่าว โดยที่นี่จะไม่มีการตรวจสอบซ้ำ
- ตามรอยฮอปส์. ฮอปที่รับมาจะแสดงตามลำดับจากเก่าที่สุดก่อน เช่นเดียวกับใน EML Analyzer: ฮอป 1 คือฮอปที่อยู่ใกล้ผู้ส่งที่สุด ส่วนฮอปสุดท้ายถูกเพิ่มโดยเซิร์ฟเวอร์ที่ส่งข้อความมาให้คุณ
- สแกนตารางทั้งหมด. ส่วน "All headers" จะแสดงรายการของทุกส่วนหัว รวมถึง Reply-To และ Return-Path ส่วน "Send to" จะส่งผลลัพธ์ที่ผ่านการวิเคราะห์ต่อไป เช่น ไปยัง EML Analyzer
ตัวอย่าง
ประกาศธนาคารปลอม
Return-Path: <bounce@mailer.example.net>
Received: from mail.example.net (mail.example.net [203.0.113.25])
by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received: from [198.51.100.10] (unknown [198.51.100.10])
by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results: mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From: "Example Bank Security" <security@example.org>
Reply-To: <help-desk@example.net>
To: <alice@example.com>
Subject: Action required: verify your account
Date: Mon, 19 Oct 2026 09:14:03 +0000
Message-ID: <20261019091403.1234@mail.example.net>FROM
"Example Bank Security" <security@example.org>
TO
<alice@example.com>
DATE
Mon, 19 Oct 2026 09:14:03 +0000
SUBJECT
Action required: verify your account
Authentication-Results by mx.example.com (as written by that server, not verified here)
SPF
pass
DKIM
none
DMARC
fail
Received hops (2, oldest first)
HOP 1 · OLDEST, NEAREST THE SENDER
from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
HOP 2 · NEWEST, ADDED BY THE RECEIVING SERVER
from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
All headers (10)
Return-Path <bounce@mailer.example.net>
Received from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From "Example Bank Security" <security@example.org>
Reply-To <help-desk@example.net>
To <alice@example.com>
Subject Action required: verify your account
Date Mon, 19 Oct 2026 09:14:03 +0000
Message-ID <20261019091403.1234@mail.example.net>ช่องด้านบนแสดงชื่อผู้ส่งและที่อยู่ผู้ส่ง ตามด้วยผลการตรวจสอบความถูกต้อง (Authentication-Results) ที่เซิร์ฟเวอร์ผู้รับบันทึกไว้ (spf=pass, dkim=none, dmarc=fail) และสองขั้นตอนการส่งต่อ (Received hops) โดยขั้นตอนที่เก่าที่สุดจะแสดงก่อน ตามแบบใน EML Analyzer: ใน Hop 1 mail.example.net รับข้อความจาก 198.51.100.10 ส่วนใน Hop 2 mx.example.com รับข้อความจาก mail.example.net ตารางที่แสดงหัวเรื่องทั้ง 10 รายการแสดงว่า Reply-To อยู่ในโดเมนอื่น; ร่วมกับ dmarc=fail นี่คือสองสัญญาณที่บ่งชี้ว่าผู้ส่งถูกปลอมแปลง
สิ่งที่ระบบตรวจสอบ
| สัญญาณ | ความหมายของคำนี้คืออะไร |
|---|---|
| จาก | เปรียบเทียบชื่อที่แสดงกับที่อยู่ในเครื่องหมายเหลี่ยม ชื่อแบรนด์ที่อยู่ข้างโดเมนที่ไม่เกี่ยวข้องกันเป็นสัญญาณการปลอมแปลงที่พบบ่อย |
| ถึง | หากที่อยู่ของคุณไม่ปรากฏในรายชื่อผู้รับ คุณอาจถูกใส่ไว้ในช่อง Bcc หรืออยู่ในรายชื่อผู้รับอีเมล การโจมตีฟิชชิ่งแบบจำนวนมากมักใช้ช่อง Bcc |
| วันที่ | ถูกเขียนโดยซอฟต์แวร์ของผู้ส่ง ดังนั้นจึงสามารถปลอมแปลงได้ ให้เปรียบเทียบกับเวลาในขั้นตอนการส่งต่อ (Received hops) |
| หัวข้อ | แสดงในรูปแบบดิบ ค่าเช่น =?UTF-8?B?...?= เป็นข้อความที่ถูกเข้ารหัส ซึ่งตัววิเคราะห์นี้ไม่ทำการถอดรหัส |
| SPF, DKIM, DMARC | ผลการตรวจสอบของเซิร์ฟเวอร์ผู้รับ dmarc=fail สำหรับโดเมนของแบรนด์เป็นสัญญาณที่ชัดเจนว่ามีการปลอมแปลง; หากไม่มีการรายงาน หมายความว่าเซิร์ฟเวอร์ไม่ได้บันทึกผลการตรวจสอบนั้น |
| ได้รับฮอปส์ | แต่ละขั้นตอนจะถูกตัดให้เหลือ 200 ตัวอักษรเท่านั้น ขั้นตอนที่อยู่ท้ายรายการ ซึ่งถูกเพิ่มโดยผู้ให้บริการของคุณเอง เป็นขั้นตอนเดียวที่สามารถเชื่อถือได้ ส่วนขั้นตอนที่อยู่ก่อนหน้านั้นอาจถูกปลอมแปลงได้ |
| ตอบกลับที่ | ที่อยู่อีเมลผู้ตอบที่อยู่ในโดเมนต่างจากที่อยู่อีเมลผู้ส่ง หมายความว่าการตอบของคุณจะถูกส่งไปยังที่อื่น |
| Return-Path | ที่อยู่ bounce ที่ SPF ตรวจสอบ การที่โดเมนนี้แตกต่างจากโดเมน "From" เป็นเรื่องปกติในบริการส่งอีเมล แต่ควรทราบไว้ |
| Message-ID | ส่วนที่อยู่หลัง @ มักจะระบุชื่อระบบที่สร้างข้อความนั้น เปรียบเทียบกับโดเมน From |
ตัวอย่างเพิ่มเติม
ชื่อผู้ส่งและหัวข้อที่เข้ารหัส
Received: from mail.example.org (mail.example.org [192.0.2.44])
by mx.example.com with ESMTPS; Tue, 20 Oct 2026 10:02:11 +0000
From: =?UTF-8?B?UGF5cm9sbCBUZWFt?= <payroll@example.org>
To: staff@example.com
Subject: =?UTF-8?B?U2FsYXJ5IHVwZGF0ZQ==?=
Date: Tue, 20 Oct 2026 10:02:09 +0000ช่อง From, To, Date และ Subject ได้ถูกกรอกข้อมูลแล้ว แต่ช่องชื่อและหัวข้อยังคงแสดงเป็น =?UTF-8?B?...?= เนื่องจากข้อมูลยังไม่ถูกถอดรหัส (เนื้อหาที่อ่านได้คือ Payroll Team และ Salary update) ส่วน Received hops แสดงจำนวน hop ที่ถูกรวมไว้ในบรรทัดเดียว และ All headers แสดงทุกส่วนหัว
เนื้อหาที่ถูกรวมกับส่วนหัว
From: IT Support <it@example.net>
To: you@example.com
Subject: Password expires
Hello,
Action needed: confirm your password today.มีเพียงบรรทัดก่อนบรรทัดว่างแรกเท่านั้นที่ถูกอ่านเป็นหัวเรื่อง ส่วนหมายเหตุใต้ตารางระบุว่าบรรทัดที่ตามมาหลังจากนั้น ซึ่งเป็นเนื้อหาของข้อความ ไม่ได้ถูกอ่านเป็นหัวเรื่อง
บรรทัดหัวข้อที่ถูกพับ
From: Example Shop <orders@example.com>
Subject: Your order
has shippedจากอีเมลตัวอย่างจาก Example Shop ที่มีที่อยู่ orders@example.com ส่วน "To" และ "Date" แสดงเป็นเครื่องหมายขีด (-) ส่วน "Subject" เขียนว่า "Your order has shipped" ในบรรทัดเดียว มีจำนวนฮอปที่รับ (0) และจำนวนเฮดเดอร์ทั้งหมด (2)
คำถามที่พบบ่อย
ทำอย่างไรเพื่ออ่านจำนวนฮอปที่รับมา?
ฮอปถูกจัดลำดับจากที่เก่าที่สุดก่อน เช่นเดียวกับใน EML Analyzer: ฮอป 1 คือส่วนหัว Received ที่อยู่ด้านล่างสุด ซึ่งถูกเพิ่มโดยเซิร์ฟเวอร์แรกที่จัดการข้อความนั้น และฮอปสุดท้ายคือส่วนที่อยู่ด้านบนสุด ซึ่งถูกเพิ่มโดยเซิร์ฟเวอร์ที่ส่งข้อความนั้นถึงคุณ สามารถเชื่อถือได้เฉพาะฮอปที่เพิ่มโดยผู้ให้บริการอีเมลของคุณเองเท่านั้น เพราะผู้ส่งสามารถปลอมแปลงบรรทัด Received ใด ๆ ที่อยู่ด้านล่างฮอปเหล่านั้นได้
มันตรวจสอบ SPF, DKIM หรือ DMARC หรือไม่?
ไม่ครับ มันแสดงผล SPF, DKIM และ DMARC จากส่วนหัว Authentication-Results ที่อยู่ด้านบนสุด และแสดง Received-SPF และ DKIM-Signature ตามที่เซิร์ฟเวอร์ผู้รับเขียนไว้ โดยไม่ตรวจสอบอะไรทั้งสิ้น ไม่ถอดรหัส =?UTF-8?B?...?= subjects หรืออ่านเนื้อหา (มันจะหยุดที่บรรทัดว่างแรก) และมันจะตัดสั้นค่าที่ยาว (จำกัดที่ 200 ตัวอักษร และเซลล์ตารางที่ 300 ตัวอักษร) สำหรับไฟล์ .eml ที่ครบถ้วน ให้ใช้ EML Analyzer
ไฟล์หัวเรื่องถูกอัปโหลดแล้วหรือยัง?
ไม่ครับ การวิเคราะห์ข้อมูลเกิดขึ้นในเบราว์เซอร์ของคุณ และไม่มีข้อมูลใดถูกส่งไปที่ใดทั้งสิ้น ส่วนหัว (headers) อาจมีที่อยู่ส่วนตัวและที่อยู่ IP ภายใน ดังนั้นควรลบข้อมูลเหล่านั้นออกก่อนที่จะแชร์
ผมสามารถคัดลอกข้อความทั้งหมด รวมถึงเนื้อหาในข้อความได้ไหมครับ?
ใช่ แต่จะอ่านเฉพาะส่วนหัวเท่านั้น: การวิเคราะห์จะหยุดที่บรรทัดว่างแรก ตามที่กำหนดใน RFC 5322 และหน้าดังกล่าวจะระบุจำนวนบรรทัดในส่วนเนื้อหาที่ถูกข้ามไป EML Analyzer อ่านข้อความทั้งหมด รวมถึงไฟล์แนบด้วย
บรรทัดหัวเรื่องที่ถูกพับจะเกิดอะไรขึ้น?
บรรทัดที่เริ่มต้นด้วยช่องว่างหรือแท็บจะถูกรวมกับส่วนหัวที่อยู่ด้านบนด้วยช่องว่างเพียงหนึ่งช่อง ดังนั้นส่วนหัว Received หรือ Subject ที่ยาวจะปรากฏเป็นค่าเดียว
ใช้หัวเรื่อง Authentication-Results ใด?
ส่วนที่อยู่ด้านบนสุด คือส่วนที่เซิร์ฟเวอร์ซึ่งส่งข้อความมาให้คุณได้เพิ่มเข้าไปล่าสุด ส่วนหัว Authentication-Results ที่อยู่ด้านล่างอาจมาจากเซิร์ฟเวอร์ก่อนหน้านี้ หรือถูกผู้ส่งปลอมแปลงขึ้น