X-Mailer: Microsoft Outlook Express 6.00.2900.2180 Subject: Hi！在邮件头的各行中值得一提的是“Message-Id”，这是由发件方的邮件服务器赋给这封邮件的编号。与其他编号不同，这个编号自始至终跟随邮件，这就表示了这封电子邮件的惟一性，在取证过程中也具有特殊意义。 3 电子邮件的编码方式
3.1对电子邮件进行编码的意义 电子邮件一般在传输过程中都要对文件进行编码，因为电子邮件只能传送ASCII码格式的文字信息，ASCII码为7位代码。非ASCII格式的文件在传送中必须经过编码工具编成相应的ASCII 码进行传输，在接收到后接收端再根据编码规则进行解码。由于国内通行的大部分邮件服务器都能够处理GB内码文件，所以可以直接传送文件而不需要编码，但如果要将中文邮件发到国外或在某些不支持8位（非标准ASCII码格式）的某些邮件主机上传输，就会产生乱码。具体地说就是在直接发送中文或非ASCII码的邮件时邮件主机无法处理，便会把文件中每个字符的第八位都滤掉（截去第八位）从而使一些信息和原始信息截然不同，或邮件完全损坏成为乱码无法阅读。这也是目前造成邮件乱码的主要原因之一。
3.2 常用的编码标准 MIME（Multipurpose Internet Mail Extensions）多用途互联网邮件扩展是一个互联网标准，它扩展了电子邮件标准，使其能够支持非ASCII
字符、二进制格式附件等多种格式的邮件消息。
MIME标准现已成为Internet电子邮件的主流。使用这种标准，用户根本不需要知道它是如何编码／解码的，所有工作由电子邮件软件自动完成。由于MIME的方便性，愈来愈多的电子邮件软件采用这种方式。
使用MIME标准进行传送的邮件一般包含MIME头（MIME Header）。 4 电子邮件的取证
电子邮件取证是计算机取证的一个分支，是指按照法律的要求提取电子邮件证据的方法和过程，是运用技术的手段识别一个电子邮件真正的发送者、接收者以及邮件发送的时间和发出地址的过程。电子邮件的证据来源主要包括：用户的邮箱，网络上传输数据的记录，服务器上的记录，用户使用的硬盘等，以及对于使用web方式的发送和接收邮件的网页历史记录、Internet的临时文件、网页缓存以及Cookie等。对于司法鉴定取证工作，涉及最多也是最重要的是用户使用的硬盘和邮件服务器的硬盘，因为在这两个地方往往有整个邮件的完整内容。以下主要讨论对用户使用的硬盘所进行的电子邮件取证。
4.1 电子邮件的存储形式和存储位置 用户使用电子邮件收发邮件的方式主要有两种：一种是使用邮件客户端软件进行收发，目前使用的最为广泛的邮件客户端为Outlook、Outlook Express 6、Foxmail等；一种是通过网页浏览器进行在线的邮件收发。
使用Outlook 进行收发的邮件通常以扩展名为.pst的库文件形式存储，默认的存储路径为“＼Documents and Settings\\(User Name)＼Local Settings＼Application Data\\Microsoft＼Outlook”。
使用Outlook 进行收发的邮件通常以扩展名为.dbx的库文件形式存储，默认的存储路径为“\\Documents and Settings\\(User Name)\\Local Settings＼Application Data＼Identities＼( User ID}\\Microsoft＼Outlook Express”。
使用Foxmail进行收发的邮件通常以扩展名为.box的库文件形式存储，默认的存储路径为“\\Documents and Settings\\(User Name)\\Local Settings＼Application Data＼Identities＼( User ID}\\Microsoft＼Outlook Express”。
使用网页浏览器进行在线收发的邮件以网页历史记录的形式存储。不同的操作系统，其存储位置不同。以Microsoft Windows XP操作系统为例，其网页历史记录的存储路径为“\\Documents and Settings\\（User Name）\\Local Settings\\Temporary Internet Files”。
通常情况下，根据邮件的存储的形式，使用过滤文件扩展名的方法，可初步确认该邮件客户端使用者收发邮件的使用习惯。
4.2 电子邮件的提取 确定了邮件的位置，下一步的工作就是对其进行提取，查看邮件中的具体内容。根据用户使用电子邮件收发方式的不同，电子邮件的提取方法也主要有两类。
一类是存储在邮件客户端软件中邮件的提取。对于主流客户端软件（Outlook、Outlook Express 6、Foxmail）的提取，可采用将用户使用的硬盘搜索到的中存储的库文件，导入取证机中所安装的，与该库文件对应的邮件客户端软件的存储路径下。
在线收发的邮件，由于其特殊性，有些以网页形式存储的邮件在打开后并不能浏览邮件内容。再加上网页历史记录的文件夹中存储的文件量较大，如简单的使用浏览器进行人工查看的方法，工作量大。因而可使用查找目标邮箱的地址作为关键字，对其进行筛选。该方法亦适用于已删除，需要恢复邮件的查找和提取。
4.3 电子邮件头的分析 电子邮件中总会包含发件人身份的有效信息，Received头和Massage-ID，以及在使用MIME编码后进行传送的邮件，Content-Transfer-Encoding是追踪电子邮件的最有用的电子邮件信息。
Received头和Massage-ID通常是由邮件服务器添加的，除非使用转发服务器等高级技术，一般情况下它们是包含了发件人有效的身份信息。
Received头一般包括，邮件的发送时间，邮件发送的IP地址，以及发件方邮件服务器的IP地址。
Massage-ID这是由发件方邮件服务器赋给这封邮件的编号。与其它编号不同，这个编号自始至终跟随邮件，是唯一的，两个不同的电子邮件不会有相同的Massage-ID。有时候Massage-ID包含了发送者邮件地址在其中。
Content-Transfer-Encoding，使用MIME编码后进行传送的邮件所具有的特征信息。其意义在于，对于邮件已删除以及目标邮箱地址未知的情况下，邮件的定位。
4.4 电子邮件的恢复 前文已经提到对于已删除邮件的搜索和定位，通常使用关键字进行数据搜索。搜索到的已删除邮件内容，通常是使用MIME进行编码后的代码，而不能正常显示中文内容。使用乱码查看器来解码。 使用该方法，可有效获取已删除邮件的信息。 5 电子邮件取证所面临的困难
目前越来越多的web邮件（通过浏览器在线收发的邮件）服务商，对用户提供了加密的登录方式（如https），这对于离线的取证工作，无疑增加了很大的难度。取证人员在使用者的硬盘中往往只能够看到用户所使用邮件服务商的网页框架，而无法看到其邮件内容。这也是今后日趋成熟的电子邮件取证技术所需要研究的内容之一。此外，邮件真实性认定的技术，随着邮件发送者使用工具修改邮件头内容，以及使用邮件转发服务器伪造邮件等的出现，也需要进一步的提升。 参考文献：
[1]刘彩虹，陆调.Internet E-mail的核心协议研究与实现，计算机工程与应用. [2]杨泽明等.电子邮件取证技术. [3]刘浩阳.电子邮件的调查与研究.
[4][美]Warren G Kruse Ⅱ.，计算机取证：应急响应精要.
