一种邮件攻击溯源方法及系统.pdf

(19)中华人民共和国国家知识产权局(12)发明专利申请(10)申请公布号CN113938311A(43)申请公布日2022.01.14(21)申请号202111341526.2(22)申请日2021.11.12(71)申请人北京中睿天下信息技术有限公司地址100085北京市海淀区农大南路1号院8号楼2层201号1001(72)发明人刘庆林安恩庆兰怀领张乃亮魏海宇刘海洋李微著马伟利吴小勇李小琼(74)专利代理机构北京知呱呱知识产权代理有限公司11577代理人丁彦峰(51)Int.Cl.H04L9/40(2022.01)H04L51/42(2022.01)权利要求书2页说明书7页附图2页(54)发明名称一种邮件攻击溯源方法及系统(57)摘要本申请公开了一种邮件攻击溯源方法及系统，首先MTA在目标邮件投递的链路中，获取需要经由此MTA转发的目标邮件，并在其中植入定位代码然后投递给目标地址，目标邮件包括由本地域内账号创建的邮件或由域外账号发送给本地域内账号的邮件；MTA将植入定位代码的目标邮件进行投递；客户端获取到目标邮件，当邮件被打开时，定位代码将自动执行，搜集必要的信息发送给指定检测服务器；检测服务器根据接收到的信息判断目标邮件是否正常接收。可以看出，本发明在邮件中植入信息探测代码，当邮件在互联网环境下被打开时，自动向检测服务器发送IP等必要信息，实现对电子邮件的追踪检测以及对非法查看邮件用户进行反追踪。CN113938311ACN113938311A权利要求书1/2页1.一种邮件攻击溯源方法，其特征在于，所述方法包括：MTA获取目标邮件并植入定位代码，所述目标邮件包括由本地域内账号创建的邮件或由域外账号发送给本地域内账号的邮件；MTA将植入定位代码的目标邮件进行投递；邮件的接收端至少通过电子邮件协议来获取目标邮件，所述电子邮件协议至少包括IMAP\POP3协议；当接收端打开所述植入定位代码的目标邮件时，在所述接收端执行所述定位代码搜集接收端信息，并将所述接收端信息发送至检测服务器；检测服务器根据所述接收端信息判断所述目标邮件是否正常接收。2.根据权利要求1所述的方法，其特征在于，所述检测服务器根据所述接收端信息判断所述目标邮件是否正常接收，包括：检测服务器根据接收端IP信息判断所述目标邮件是否正常接收，当所述接收端IP信息为指定网络地址，则所述目标邮件正常接收。3.根据权利要求2所述的方法，其特征在于，当所述接收端IP信息为异常网络地址，则所述目标邮件被非法接收，则根据所述目标邮件和所述接收端IP信息对异常行为进行分析。4.根据权利要求3所述的方法，其特征在于，所述根据所述目标邮件和所述接收端IP信息对异常行为进行分析，包括：在单个账号邮件泄漏的情况下，分析结果为用户账号泄漏；在同一网段邮件泄漏的情况下，分析结果为数据被监听，收件服务器被攻击；在所有邮件数据泄漏的情况下，分析结果为发件服务器被劫持；在单一收件人邮件，但多个接收端IP阅读邮件的情况下，分析结果为账号泄漏；在多个未知接收端IP阅读邮件的情况下，分析结果为服务器被劫持，信息泄漏。5.根据权利要求1所述的方法，其特征在于，所述定位代码根据MIME格式进行编写。6.根据权利要求1所述的方法，其特征在于，所述当接收端打开所述植入定位代码的目标邮件时，包括：接收端通过邮件客户端或浏览器等应用软件打开植入定位代码的目标邮件。7.根据权利要求1所述的方法，其特征在于，在所述接收端执行所述定位代码得到接收端信息，包括：所述接收端执行所述定位代码得到接收端设备信息，至少包括浏览器信息、CPU信息以及IP地址其中一种。8.一种邮件攻击溯源系统，其特征在于，所述系统包括：MTA，用于获取目标邮件并植入定位代码，所述目标邮件包括由本地域内账号创建的邮件或由域外账号发送给本地域内账号的邮件；并将植入定位代码的目标邮件进行投递；检测服务器，用于当接收端打开所述植入定位代码的目标邮件时，接收所述接收端执行所述定位代码得到接收端信息；并根据所述接收端信息判断所述目标邮件是否正常接收。9.根据权利要求8所述的系统，其特征在于，所述检测服务器还包括：根据接收端IP信息判断所述目标邮件是否正常接收，当所述接收端IP信息为指定网络地址，则所述目标邮2CN113938311A权利要求书2/2页件正常接收。10.根据权利要求9所述的系统，其特征在于，当所述接收端IP信息为异常网络地址，则所述目标邮件被非法接收，所述检测服务器则根据所述目标邮件和所述接收端IP信息对异常行为进行分析。3CN113938311A说明书1/7页一种邮件攻击溯源方法及系统技术领域[0001]本发明涉及邮件安全领域，特别涉及一种邮件攻击溯源方法及系统。背景技术[0002]当前互联网技术的不断发展，网络攻击手段和网络安全威胁不断升级，电