[发明专利]基于Foxmail客户端程序的脱机文件痕迹提取的方法

权利要求书

1.一种基于Foxmail客户端程序的脱机文件痕迹提取的方法，其特征在于,包括如下步骤：

S1定位文件位置，获取邮件客户端程序产生的原始数据，并从中抽取与邮件痕迹信息相关的数据；

S2判断S1中抽取的数据是否符合邮件客户端程序产生的数据文件格式，若符合则跳至S3，不符合跳至S4；

S3解析从邮件客户端产生的原始数据中抽取出的痕迹文件；

S4根据解析出的痕迹文件的数据，即可提取出该磁盘中邮件痕迹的所有数据和信息。

2.根据权利要求1所述的基于Foxmail邮件客户端应用程序的脱机文件痕迹提取检测的方法，其特征在于,所述的S1邮件客户端程序产生的原始数据文件存放的目录路径为：安装目录下的storage文件夹中的以邮箱地址为文件夹名称的文件夹内，在该文件夹下分门别类的存放着邮件相关的各项数据文件。

3.根据权利要求1或2所述的基于Foxmail邮件客户端应用程序的脱机文件痕迹提取检测的方法，其特征在于,所述的S2判断S1中抽取的数据是否符合邮件客户端应用程序产生的数据文件格式，判断的规则有如下两条：

规则一：在S1中描述的文件夹内包含mails文件夹，且在mails的目录下包含有名为index的文件；

规则二：在S1中描述的文件夹内含有box文件夹，且在box文件夹中含有后缀为.box的文件；

上述规则中若符合其中一条则跳至S3，否则跳至S4。

4.根据权利要求1或2所述的基于Foxmail邮件客户端应用程序的脱机文件痕迹提取检测的方法，其特征在于,S3解析从邮件客户端产生的原始数据中抽取出的痕迹文件，解析的主要信息包括邮件发送者、邮件接受者、邮件发送时间、邮件主题、邮件的状态信息。

5.根据权利要求1或2所述的基于Foxmail邮件客户端应用程序的脱机文件痕迹提取检测的方法，其特征在于,S4根据S3中描述的index文件结构，按照邮件类型分别读取邮件的痕迹信息，并按照对应的编码格式进行编码转换，并分别对各类型的邮件进行统计。

6.根据权利要求3所述的Foxmail邮件客户端应用程序的脱机文件痕迹提取检测的方法，其特征在于,S2中描述的规则一中涉及到的文件index文件为该邮件客户端程序记录所有邮件痕迹信息的存储文件，该文件的中包含了邮件客户端收发邮件的痕迹，index文件结构是文件头+邮件头*N的模式，其中N表示邮件头的总个数，index文件的文件头的特征标记为0x46584953，文件头数据长度为0x200，在相对头部起始地址偏移0x08处记录的值表示邮件头的总个数N，index文件中每个邮件头结构是相同的，且长度为0x200，针对上述表中邮件类型的区分，0x01080000表示发送的邮件，0x01200000表示垃圾邮件，0x010C0000表示草稿邮件，0x03000000表示已回复的邮件，其余的表示接收的邮件。