有人向您发送威胁电子邮件。网络钓鱼邮件出现在您的收件箱中。客户发誓他们给您发了电子邮件，但您从未收到。在所有这些情况下，查找发件人的 IP 地址可以告诉您一些有用的信息 - 电子邮件的实际来源、发送邮件的邮件服务器以及发件人是否是他们所声称的人。
每封电子邮件的标头中都包含一系列 IP 地址。诀窍在于知道去哪里寻找，这些条目的实际含义是什么，以及（最重要的是）何时故意隐藏踪迹。
电子邮件标头的工作原理
当您发送电子邮件时，它不会直接从您的设备发送到收件人的收件箱。它通过一系列邮件服务器，每个服务器都用一个标记来标记消息 Received: 标头 — 它的 IP 地址、时间戳以及有关从何处接收消息的注释。
Reading these headers from 从下到上 重建电子邮件的实际路径。底部条目是原点；它上面的每一个都是链中的下一跳。
Received: from mail.example.com (203.0.113.42) by mx.google.com
Received: from [192.168.1.5] (helo=laptop) by mail.example.com在此示例中，电子邮件是从 192.168.1.5 （私有地址，因此在本地网络上），经过 mail.example.com （203.0.113.42——这是值得查找的），最终被Google接收。
如何查看完整的电子邮件标头
Gmail
- 打开电子邮件
- 单击消息右上角的三点菜单 (⋮)
- 选择 显示原件
- 将打开一个包含原始消息标题的新选项卡
Outlook（网页）
- 打开电子邮件
- 单击三点菜单 → 查看 → 查看消息来源
或者在桌面应用程序中：文件 → 属性 → 底部的“Internet 标头”框。
雅虎邮箱
- 打开电子邮件
- 单击三点菜单 → 查看原始消息
苹果邮件
- 打开电子邮件
- 菜单栏： 查看 → 留言 → 所有标题 （或按 Shift + Cmd + H）
在标头中查找发件人的 IP
获得原始标头后，寻找链 Received: 行。你想要的 最低 （最早） Received: 条目包含您不认为是内部基础设施的 IP 地址。
寻找这样的模式：
Received: from [203.0.113.42] (unknown [203.0.113.42])
by mx1.example.com (Postfix) with ESMTP id A1B2C括号里的IP就是你想要的。复制它，然后使用类似的工具 IP 查找 找出它属于哪个国家、ISP 和组织。
您可能还会看到 X-Originating-IP 标头 — 这是一个方便的标头，显式命名发件人的 IP，因此也请检查一下。
Gmail 问题（和 Outlook 问题）
以下是大多数指南会跳过的内容： Gmail 自 2012 年以来一直隐藏发件人 IP。
当有人使用 Gmail（或 Google Workspace）向您发送电子邮件时，Google 会在发送前从标头中删除发件人的真实 IP 地址。相反，您看到的是 Google 服务器 IP — 通常位于 209.85.x.x 范围。你可以随意查找；它只会告诉您这是 Google 数据中心中的 Google 服务器。
这同样适用于：
- Outlook / Hotmail / Microsoft 365 — Microsoft 删除发件人 IP
- 苹果 iCloud 邮件 — Apple 删除发件人 IP
- 质子邮件 — 出于隐私考虑而设计
你什么 可以 仍然可以从 Gmail 标头看出：
- 该电子邮件是通过 Gmail 发送的（服务器标记证实了这一点）
- 大概发送时间
- 是否来自 Gmail 网络、移动应用程序或第三方客户端（有时）
你什么 不能 告诉：发送者的真实IP、位置或ISP。
电子邮件追踪何时真正发挥作用
电子邮件 IP 追踪为您提供发件人使用时的真实信息：
- 公司或自托管邮件服务器 — 这些几乎总是包括原始 IP
- 雅虎邮箱 — 雅虎确实在标头中包含发件人 IP（至少在撰写本文时）
- ProtonMail 至非 ProtonMail 收件人 — ProtonMail 添加
X-Originating-IP在某些外部交付配置中 地址栏中的 - 较小的电子邮件提供商 — 许多预算主机和 ISP 提供的电子邮件帐户仍然暴露发件人 IP
- 垃圾邮件和网络钓鱼电子邮件 — 讽刺的是，垃圾邮件通常具有最丰富的标头，因为它不是从主要提供商发送的
如何处理找到的 IP
从电子邮件标头中获得 IP 地址后，您可以执行一些有用的后续步骤：
查找地理位置。 使用 IP 查找工具 查看与地址关联的国家、城市（大致）、ISP 和组织。对于网络钓鱼电子邮件，找出它来自已知的防弹托管提供商是有用的信息。
检查是否在黑名单中。 通过运行IP IP黑名单检查 查看发送服务器是否已被标记为垃圾邮件或恶意活动。
运行 WHOIS 查询。 的 WHOIS 工具 可以为您提供有关谁拥有 IP 块的更多背景信息 - 对于举报滥用行为很有用。
查看PTR记录。 A 反向 DNS 查找 将显示它解析为的主机名。合法的邮件服务器通常有与其域匹配的 PTR 记录。反向解析为类似的 IP
如果您只想查看谁在您的网络上，请在手机上输入 dynamic-pool-37.isp.net 是住宅 IP — 有人可能通过家庭连接发送该 IP。
读取时间戳证据
即使您无法获得可用的 IP，电子邮件标头中的时间戳仍然可以讲述一个故事。每个 Received: hop 有一个带有时区偏移的时间戳。比较中的时区 Date: 标头（由发件人的邮件客户端设置）到服务器处理时间戳。
某些邮件系统中的
如果有人声称他们从伦敦给您发送了电子邮件，但 Date: 标题显示 +0530 （印度标准时间），这是一个值得注意的信号。
报告滥用电子邮件
如果您追踪到 IP 并想要报告滥用行为，大多数 ISP 都有滥用联系人。的 WHOIS 记录 通常包括 abuse@ 电子邮件地址。对于垃圾邮件，SpamCop 等服务可以跨多个网络自动报告。
对于任何涉及威胁或非法活动的内容，请保留完整的原始标头并联系相关机构——标头就是证据。
底线
电子邮件 IP 跟踪非常适合通过企业邮件服务器、雅虎和小型提供商发送的电子邮件。对于 Gmail、Outlook 和 Apple Mail，发件人的 IP 已消失 - 您只能看到这些公司的服务器基础设施。
当你找到 IP 时：
- 使用IP查找来查找 用于地理定位和 ISP
- 检查是否被列入黑名单 声誉背景
- 运行反向 DNS 查找 查看主机名
- IP 地址的 WHOIS 查找滥用联系人
原始标头是电子邮件中唯一可靠的取证工件 - 学会阅读它们，您将了解超过 99% 的人了解邮件的实际来源。