电子邮件研究与取证.docxVIP

电子邮件的研究与取证1 电子邮件系统组成 　　电子邮件系统的主要组成部分包括,邮件用户代理MUA(Mail User Agent)就是用户与电子邮件系统的接口,提供用户编辑、发送、接收、阅读和处理电子邮件的功能。Outlook,Foxmail等都是很受欢迎的电子邮件用户代理。邮件传送代理MTA(Mail Transfer Agent)是电子邮件系统的核心,运行于后台,主要将邮件通过网络发送给目的MTA、接收邮件并报告邮件传送的情况(己交付、被拒绝、丢失等)。用户不直接和MTA交互,邮件发送队列和邮箱起缓冲的作用,可以使用户收发邮件与实际的邮件传输分开。 　　2 电子邮件的传输原理 　　2.1 电子邮件相关协议 电子邮件是通过SMTP和POP3协议来进行收发的。 　　SMTP(Simple Mail Transfer Protocol)即简单邮件传输协议,是为了保证电子邮件的可靠高效的传送。SMTP协议是存储转发协议,是一组用于由源地址到目的地址传送邮件的规则,由它来控制信件的中转方式意味着它允许邮件通过一系列的服务器发送到最终目的地。SMTP协议属于TCP/IP协议族,将用户收发邮件与Internet的邮件传输区分开。可用图2-1的通讯模型示意图来表示其通讯过程。 　　POP3协议(Post Office Protocol 3)是C/S结构的脱机模型的电子邮件协议,目前已发展到第三版,称POP3。它是规定怎样将个人计算机连接到Internet的邮件服务器和下载电子邮件的电子协议。POP3允许用户从服务器上把邮件存储到本地主机(即自己的计算机)上,同时删除保存在邮件服务器上的邮件。在POP3协议中有三种状态,认可状态,处理状态和更新状态。当客户机与服务器建立联系时,一旦客户机提供了自己身份并成功确认,即由认可状态转入处理状态,在完成相应的操作后客户机发出quit命令,则进入更新状态,更新之后最后重返认可状态。如图2-2。 　　2.2 电子邮件的传输过程以及邮件头在传输过程中的变化 　　下面通过一个例子说明整个邮件传输过程及邮件的信头变化。 　　假设用户A,Email地址为A-Sender@,使用客户端IP地址是[]。用户B,Email地址为B-Receiver@,使用客户端IP地址为[]。 　　如果用户A想给B发送邮件,首先A在客户端上编辑邮件,编辑好的邮件通过MUA从客户端发送到其使用的MTA邮件服务器(),邮件服务器根据邮件头中的传输地址将邮件传到B使用的MTA邮件服务器()并储存在该服务器中,直到B使用自己的客户端与该邮件服务器连接,这时将存储的邮件传送到B的客户端上。 　　在这个过程中,邮件头将三次被加到邮件中:在编辑时由邮件客户程序加入;邮件传输到时被加入;当从传送到时被加入。通常来说客户收取信件时并不添加邮件头。 　　当A使用邮件客户程序编辑邮件并将其发送给时,邮件头内容如下。这些内容都是由邮件编辑程序添加的: 　　From: A-Sender@ (A) 　　To: B-Receiver@ 　　Date: Tue, Jun 1 2009 15:08:17 GMT 　　X-Mailer: Microsoft Outlook Express 6.00.2900.2180 　　Subject: Hi! 　　当邮件从传送到时,,本地MTA就会在邮件的上部加入MTA的名字和当前时间及其他一些技术信息,这些信息被称为Received头。邮件的信头变成: 　　Received: from A-Sender@ (A-Sender@ []) by (8.8.5) id 004A21;Tue, Jun 1 2009 15:08:21 GMT 　　From: A-Sender@ (A) 　　To: B-Receiver@ 　　Date: Tue, Jun 1 2009 15:08:17 GMT 　　Message-Id: 　　X-Mailer: Microsoft Outlook Express 6.00.2900.2180 　　Subject: Hi! 　　当收件人MTA服务器把邮件接收并存储下来,邮件的信头将会再加人一条记录,每个MTA在收到消息时都会在消息的头部添加Received头,这意味着,最后处理邮件的计算机所生成的信息总是处于邮件头的顶部,第一个处理邮件的计算机的信息处于邮件头的底部: 　　Received: from ( []) by (8.8.5/8.7.2) with ESMTP id LAA20869 for B-Receiver@ ;Tue,Jun 1 2009 15:09:27 GMT 　　Received: from A-Sender@ (A-Sender@ []) by (8.8.5) id 004