Это одна из самых сложных проблем, ибо почти вся служебная информация в заголовках сообщений может быть подделана.
Далеко не вся информация может быть подделана. IP-адрес источника и дату отсылки сообщения подделать невозможно. Просто, надо идти по обратному маршруту и выяснять, каким узлам можно верить, а каким - нет. С того места, где нельзя верить - это подделанные записи.
Чему конкретно можно верить: дате приема сообщения и IP-адресу отправителя, если эта запись сгенерирована собственным SMTP-сервером при приеме сообщения. Далее, надо учитывать, что такие компании, как Mail.Ru и Hotmail.Com настраивают свои почтовые сервера так, что пользователь не может "отрелеить" свое сообщение через этот сервер. Следовательно, если во второй строке указан Mail.Ru, а IP-адрес в первой строке не попадает в множество IP-адресов из домена Mail.Ru, то эта запись является фальшивой. Следовательно, сообщение было послано с IP-адреса из первой строки в указанное время. И, даже если сообщение было "отрелеено" другим SMTP-сервером, то в строке Received этого сервера будет указан истинный IP-адрес источник сообщения. Иногда с пометрой "relay".
Приведу пример из одного сообщения из рассылки этого сайта:
Received: from server.xxxxxxx.ru (server [192.168.12.2])
by proxy.xxxxxxxx.ru (Postfix) with ESMTP id A4D694F414
for <urix@xxxxxxxx.ru>; Sun, 6 Jul 2003 00:39:44 +0400 (MSD)
Received: from v10.valuehost.ru (v10.valuehost.ru [62.118.251.26])
by server.xxxxxxxx.ru (Postfix) with ESMTP id 8C48525D
for <urix@xxxxxxxx.ru>; Sun, 6 Jul 2003 00:54:22 +0400 (MSD)
Received: (from ilow103@localhost)
by v10.valuehost.ru (8.11.6/8.11.6) id h65Kb0T69834;
Sun, 6 Jul 2003 00:37:00 +0400 (MSD)
(envelope-from ilow103)Первая строка Received - это запись об обработке сообщения внутренней почтовой службой. Вторая строка Received - это запись о приеме сообщения из Internet с адреса 62.118.251.26. Третья строка Received - это запись о том, что сообщение первоначально было принято почтовой службой (MTA- Mail Transport Agent) с этого компьютера (localhost).
Теперь достаточно связаться с владельцем этого IP-адреса (провайдером, владельцем пула адресов) и... А вот дальше начинаются юридические заморочки, хотя IP-адрес спамера выявлен однозначно.