面向內(nèi)存的Web郵件取證技術研究與系統(tǒng)實現(xiàn).pdf

1、計算機與網(wǎng)絡已融入到社會生產(chǎn)和個人生活的方方面面，極大地提高了生產(chǎn)效率和生活質(zhì)量，同時也帶來了一些傳統(tǒng)手段無法應對的新型犯罪活動。作為打擊這類犯罪的重要手段之一，計算機取證技術成為當前計算機界和法學界研究和關注的一個重點和熱點問題。本文主要研究了內(nèi)存web郵件取證技術，并實現(xiàn)了一個WinWebMail取證系統(tǒng)。
　　首先，提出了一種面向內(nèi)存的web郵件取證方法。在利用虛擬機技術獲取完整的內(nèi)存數(shù)據(jù)鏡像文件并進行預處理的基礎之上，提出

2、了基于字符串匹配的郵件頭完整性判定與定位方法；憑借特定Web郵件的html框架特征進行郵件體的完整性判定與定位；并通過引入基于日期、Email地址和主題關鍵關鍵詞的郵件頭與郵件主體匹配算法進行的web郵件的恢復。提出的Web郵件恢復方法可以在不依賴于操作系統(tǒng)的內(nèi)核、進程和內(nèi)存的數(shù)據(jù)結構先驗知識的前提下，恢復內(nèi)存中的Web郵件。WindowsXp平臺上的實驗結果表明文中所提出的方法可行且具備較高的正確率。
　　其次，在windows

3、平臺下設計并實現(xiàn)了一個WinWebMail取證系統(tǒng)。該系統(tǒng)設計為四個模塊：內(nèi)存鏡像獲取模塊、預處理模塊、恢復與分析模塊、結果顯示模塊。內(nèi)存鏡像獲取模塊采用內(nèi)核空間驅動程序獲取內(nèi)存數(shù)據(jù)；預處理模塊采用zlib庫來對鏡像文件的gzip數(shù)據(jù)進行解壓；恢復與分析模塊實現(xiàn)文中提出的算法，并將取證結果保存到數(shù)據(jù)庫；結果顯示模塊中負責將結果顯示給用戶。該系統(tǒng)能以較高的準確率恢復內(nèi)存鏡像中的web郵件信息，并將恢復的郵件頭內(nèi)容、郵件主體內(nèi)容以及兩者的匹