跳至主要內容
全球國際徵信顧問
案件指揮艙全部本機工具
V237 / MAIL ANALYZER

郵件批次解析器

讀入 .eml、.mbox(Thunderbird、Apple Mail 匯出等)或 .emlx,在瀏覽器本機列出每一封的寄件人、日期、附件與特徵提示;可搜尋、排序、依對話串或時間軸檢視,逐封看標頭、郵件路徑、內文文字、附件雜湊與連結,並匯出 CSV、JSON 或單封報告。檔案不上傳,郵件內容絕不渲染,也不載入信裡的任何遠端資源。

本機運算不渲染郵件內容不驗證簽章不做 IP 定位十萬封仍可捲動
先讀這段。這個工具只整理「郵件裡寫著什麼」。它不驗證 DKIM 與 SPF 簽章(驗證需要網路查詢與原始傳輸資料,這裡沒有),不做 IP 地理定位(需要外部資料庫),也不判斷哪一封是偽造、詐騙或釣魚。標頭可以被改寫,匯出與轉寄也會改動標頭;「特徵提示」只是「這個特徵常見於偽冒郵件,但也可能出現在正常郵件(例如轉寄、郵件群組、客戶系統代發)」,不能單獨作為判斷依據。這不是鑑識鑑定,也不是法律意見。
操作指南與特徵說明

選擇郵件檔或貼上郵件原始碼,再按「開始解析」。所有處理都在本機進行。

STEP 1 / INPUT

選擇郵件檔,或貼上原始碼

支援 .eml(一個檔一封)、.mbox 與 .mbx(一個檔很多封)、Apple Mail 的 .emlx,可一次選很多檔。不支援 Outlook 的 .msg(改用「貼上標頭」或另存 .eml)、壓縮檔(先解壓縮);S/MIME 與 PGP 加密的內容無法解開;TNEF(winmail.dat)附件不會展開。細節見頁尾「範圍與限制」。

也可以把檔案拖曳到這裡(桌面瀏覽器)

只貼標頭也可以(沒有內文時會標示為「只有標頭」)。貼上的內容上限 16 MiB。

進階設定(結果看起來不對時才需要)
mbox 選項

許多 mbox 匯出程式會把內文中以「From 」開頭的行改寫成「>From 」,避免被誤認成郵件分隔行。預設還原一層,這樣單封郵件的位元組比較接近原信;還原後該封郵件的位元組會與檔案裡的略有不同,報告會註明。關掉則照檔案原樣解析。

範圍與限制

  • 不驗證簽章、不做 IP 定位。本工具不驗證 DKIM 與 SPF(沒有網路查詢,也沒有原始傳輸資料),也不把 IP 對應到國家或城市(需要外部資料庫)。頁面上的「驗證結果」只是轉述郵件裡 Authentication-Results、Received-SPF 標頭「寫著」的內容;郵件被匯出、轉寄或手動編輯後,這些標頭可能不可靠。
  • 不渲染郵件內容。內文只以純文字顯示,HTML 郵件只被掃描(不放進頁面、不執行),圖片、樣式表、追蹤像素等遠端資源一律不載入;網址以 defang 形式顯示且不可直接點擊,需要時按「複製原網址」。
  • 特徵提示不是結論。每一項都是「這個特徵常見於偽冒郵件,但也可能出現在正常郵件(例如轉寄、郵件群組、客戶系統代發)」。沒有特徵提示也不代表郵件可信。
  • 郵件路徑的限度。Received 標頭由各台伺服器寫入,只有你信任的那一台以下的紀錄才可靠;更早的紀錄可以被寄件者偽造。匯出與轉寄會刪改或新增標頭。
  • 不支援或只支援一部分的格式。Outlook .msg(不支援,請貼上「網際網路標頭」或另存 .eml);壓縮檔與 Office 檔(不讀);S/MIME 簽署或加密封裝(不展開、無法解密);PGP 加密(無法解密,簽章不驗證);TNEF/winmail.dat(附件不展開);UTF-16 編碼的文字檔(64 MiB 以內會先轉成 UTF-8);單封超過 128 MiB 的郵件只讀標頭。
  • 規模與上限。讀檔以 8 MiB 為單位分塊,mbox 先掃一遍找分隔行並同時計算整檔 SHA-256,再分批逐封建立索引,索引與解析在背景 Worker 進行,主畫面不被卡住,處理中可取消。上限:合計 20 萬封、至多 5000 個來源檔;超過時會明確標示「只處理前面的部分」。瀏覽器記憶體吃緊時會停止並保留已建立的部分。實測的速度與記憶體見操作指南的「實測」一節(本機沙箱小樣本,合成資料,只供參考)。
  • mbox 的判斷有歧義。mbox 沒有嚴格的標準;內文裡沒被跳脫、又長得像分隔行的「From …」行可能造成誤切。首行就長得像分隔行的單封 .eml 可能被當成 mbox。
  • 這裡的畫面只存在這個分頁的記憶體,不使用任何瀏覽器儲存空間,關閉或重新整理就消失。