Anatomy of an Email

Vous êtes-vous déjà demandé ce qui constitue réellement un e-mail ? Les messages électroniques sont composés de deux parties : un en-tête et un corps. Nous aborderons ces deux parties car cela facilitera la récupération et l'analyse d'artefacts dans les leçons suivantes.

En-tête d'e-mail

Un en-tête est un ensemble de lignes contenant des informations sur le transport du message, telles que l'adresse de l'expéditeur, l'adresse du destinataire ou les horodatages indiquant quand le message a été envoyé par des serveurs intermédiaires aux agents de transport (MTA), qui font office de bureau de tri du courrier. L'en-tête commence par la ligne From et est modifié chaque fois qu'il passe par un serveur intermédiaire. À l'aide des en-têtes, vous pouvez voir le chemin exact emprunté par l'e-mail et le temps qu'il a fallu à chaque serveur pour le traiter.

Champs d'en-tête

Le message lui-même est composé des deux éléments suivants : les champs d'en-tête, un ensemble de lignes décrivant les paramètres du message, tels que l'expéditeur, le destinataire, la date, etc. Un e-mail comprend au moins les trois en-têtes suivants :

• De, indiquant l'adresse e-mail de l'expéditeur
• À, en affichant l'adresse e-mail du destinataire
• Date, indiquant la date à laquelle l'e-mail a été envoyé.

Champs d'en-tête facultatifs

Il peut également contenir les champs facultatifs suivants :

• Reçu, affichant diverses informations sur les serveurs intermédiaires et la date à laquelle le message a été traité
• Reply-To, affichant une adresse de réponse
• objet affichant l'objet du message
• ID du message, indiquant une identification unique pour le message
• corps du message, contenant le message, séparé de l'en-tête par un saut de ligne

En-têtes X personnalisés

Il est important de noter que les données d'en-tête ne garantissent pas quand le message a été envoyé ni qui l'a envoyé, car les valeurs peuvent être modifiées sans aucune autorisation, par exemple en modifiant l'adresse de l'expéditeur pour donner l'impression que l'e-mail provient de « contact@amazon.co.uk ». Des en-têtes personnalisés supplémentaires (appelés en-têtes X) peuvent être définis afin de fournir les informations appropriées. Les en-têtes X sont appelés ainsi car leur nom doit commencer par X -. Par exemple, certains logiciels antispam marquent les messages comme indésirables à l'aide de l'en-tête suivant : X-Spam-Status : YES.

Corps de l'e-mail

Le corps d'un e-mail est l'endroit où les informations écrites par l'expéditeur sont affichées pour le destinataire. Cela peut être purement basé sur du texte ou inclure des hyperliens, des images et un style HTML.

C'est l'e-mail que nous allons vous envoyer, un faux e-mail Amazon. Cet e-mail semble authentique et utilise les couleurs et l'image de marque d'Amazon pour usurper efficacement l'identité de la marque. L'e-mail est bien structuré et ne comporte aucune faute d'orthographe, ce qui améliore son efficacité.

Il est assez courant que les e-mails utilisent un encodage pour leur contenu, en particulier s'ils utilisent beaucoup de style HTML, car cela permet de réduire la taille du courrier électronique. Dans l'image ci-dessous, vous pouvez voir qu'on nous dit sur la troisième ligne de cette capture d'écran que le contenu de l'e-mail est codé en base64. Décodons-le donc !

Dans le GIF ci-dessous, nous montrons comment CyberChef peut être utilisé pour décoder rapidement Base64 en texte lisible.