面向內(nèi)存的Web郵件取證技術(shù)研究與系統(tǒng)實(shí)現(xiàn).pdf

1、計(jì)算機(jī)與網(wǎng)絡(luò)已融入到社會(huì)生產(chǎn)和個(gè)人生活的方方面面，極大地提高了生產(chǎn)效率和生活質(zhì)量，同時(shí)也帶來(lái)了一些傳統(tǒng)手段無(wú)法應(yīng)對(duì)的新型犯罪活動(dòng)。作為打擊這類(lèi)犯罪的重要手段之一，計(jì)算機(jī)取證技術(shù)成為當(dāng)前計(jì)算機(jī)界和法學(xué)界研究和關(guān)注的一個(gè)重點(diǎn)和熱點(diǎn)問(wèn)題。本文主要研究了內(nèi)存web郵件取證技術(shù)，并實(shí)現(xiàn)了一個(gè)WinWebMail取證系統(tǒng)。
　　首先，提出了一種面向內(nèi)存的web郵件取證方法。在利用虛擬機(jī)技術(shù)獲取完整的內(nèi)存數(shù)據(jù)鏡像文件并進(jìn)行預(yù)處理的基礎(chǔ)之上，提出

2、了基于字符串匹配的郵件頭完整性判定與定位方法；憑借特定Web郵件的html框架特征進(jìn)行郵件體的完整性判定與定位；并通過(guò)引入基于日期、Email地址和主題關(guān)鍵關(guān)鍵詞的郵件頭與郵件主體匹配算法進(jìn)行的web郵件的恢復(fù)。提出的Web郵件恢復(fù)方法可以在不依賴(lài)于操作系統(tǒng)的內(nèi)核、進(jìn)程和內(nèi)存的數(shù)據(jù)結(jié)構(gòu)先驗(yàn)知識(shí)的前提下，恢復(fù)內(nèi)存中的Web郵件。WindowsXp平臺(tái)上的實(shí)驗(yàn)結(jié)果表明文中所提出的方法可行且具備較高的正確率。
　　其次，在windows

3、平臺(tái)下設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)WinWebMail取證系統(tǒng)。該系統(tǒng)設(shè)計(jì)為四個(gè)模塊：內(nèi)存鏡像獲取模塊、預(yù)處理模塊、恢復(fù)與分析模塊、結(jié)果顯示模塊。內(nèi)存鏡像獲取模塊采用內(nèi)核空間驅(qū)動(dòng)程序獲取內(nèi)存數(shù)據(jù)；預(yù)處理模塊采用zlib庫(kù)來(lái)對(duì)鏡像文件的gzip數(shù)據(jù)進(jìn)行解壓；恢復(fù)與分析模塊實(shí)現(xiàn)文中提出的算法，并將取證結(jié)果保存到數(shù)據(jù)庫(kù)；結(jié)果顯示模塊中負(fù)責(zé)將結(jié)果顯示給用戶(hù)。該系統(tǒng)能以較高的準(zhǔn)確率恢復(fù)內(nèi)存鏡像中的web郵件信息，并將恢復(fù)的郵件頭內(nèi)容、郵件主體內(nèi)容以及兩者的匹