[发明专利]一种分析和提取电子邮件客户端证据的方法

权利要求书

1.一种分析和提取电子邮件客户端证据的方法，其特征在于该方法包括以下步骤：

步骤(1)读取电子邮件客户端数据文件，先根据计算机中的操作系统、电子邮件客户端软件、以及待取证用户信息，获取电子邮件客户端数据的存放位置，然后读取相应的电子邮件数据文件；读取时，取证机构操作人员根据取证调查的具体需要，对指定的电子邮件客户端程序和用户账号进行取证；

步骤(2)对数据文件进行解析和预处理，将电子邮件客户端存储数据文件进行解析，分离出每一封邮件，然后解析、解码出每封邮件的头部、邮件正文、内嵌资源和附件信息，并将得到的各个信息分别存放到邮件记录相应变量中；预处理时，对邮件中解析出来的文本信息，若为html格式则转化为Text格式；对邮件中解析出来的附件，若为压缩格式则先解压缩，若为Word、PDF和html格式文件则转化成text格式；

步骤(3)利用邮件的会话内容、相互回复与引用关系进行成组分类，就是以Message-ID、In-Reply-To、References、Subject以及邮件内容引用的信息构建邮件会话线程；

步骤(4)利用取证人员输入的关键词进行智能搜索相关邮件，采用智能搜索算法搜索匹配出敏感关键词及其变形；所述的智能搜索算法的步骤是：

①搜索关键词获取与预处理：获取搜索关键词T，记录此词所含的汉字个数n，根据关键词T所含的汉字生成汉字集{S_i}，及各汉字对应的拼音集{U_i}，0＜i＜n+1；初始化计数变量：count←0；

②自数据库Email表中读取一条邮件记录的Subject、Body、Attachment信息放入内存变量；

③标记此信息变量的起始位置P，初始化循环变量：j←1，相关系数c＝0；

④自P位置开始，取length(S_j)长度的文本内容与S_j比较，若结果一致，P←P+length(S_j)，j++，转⑥；若结果不一致则转⑤；

⑤自P位置开始，取length(U_j)长度的文本内容与U_j比较，若结果一致，P←P+length(U_j)，j++，转⑥；否则P++，若P位置内容代表汉字内码，重置j＝1，转⑥；

⑥若j＜n+1直接转⑦，若j≥n+1则认为搜索到一个关键词，令计数变量count加1，判断P所处的位置，分别统计并记录关键词在Subject/Body/Attachment中匹配出现的次数；

⑦若P未指向信息变量的末尾，则转④继续检索；否则保存该邮件匹配的次数、位置和相关系数c并结束此条邮件信息检索，判断Email数据表中记录是否取完，若未取完则转②，否则智能搜索结束；

步骤(5)对相关的邮件、邮件线程和涉及的用户进行内容分析，根据步骤(4)中智能搜索得到的结果，根据匹配的位置和次数对相关邮件进行相关程度计算，并按与敏感关键词的相关程度进行排序；根据线程中与敏感关键词相关的邮件个数、比率、以及涉及邮件的相关程度，计算邮件会话线程与关键词的相关程度，并按与敏感关键词的相关程度对线程进行排序；对相关的用户，根据该用户涉及的匹配邮件数量、比率、以及参与程度等信息进行相关程度计算，并按与敏感关键词的相关程度对涉及用户进行排序；

步骤(6)生成最终电子邮件取证报告供用户浏览；生成的电子邮件取证报告包括按相关程度排序的电子邮件、电子邮件线程和涉及的用户。