[发明专利]一种网络邮件业务监视方法

摘要

一种网络邮件业务监视方法，通过在出口交换机上设置网络监视服务器对通过出口交换机的邮件进行监视，并将邮件的发件人，收件人，主题，邮件正文及附件还原至镜像服务器。本发明与现有技术相比，可以有效的监控企业所有的邮件内容，本发明使用pf_ring，性能较传统技术提高50％以上，效率较高；响应时间较短，无需较高的服务器配置成本且能够进行标准与非标准的协议扩展。

主权项

1.一种网络邮件业务监视方法，其特征在于，通过在出口交换机上设置网络监视服务器获取通过出口交换机的数据，抛弃非邮件数据，对邮件数据进行分析确定协议ID，根据邮件数据的协议ID获取邮件端口，如果所述邮件端口为25，则通过邮件数据的协议ID加载smtp动态库对邮件还原；如果所述邮件端口为80，则通过邮件数据的协议ID加载http动态库对邮件还原，提取邮件的发件人、收件人、主题、邮件正文及附件，并将邮件的发件人、收件人、主题、邮件正文及附件存储到镜像服务器；/n所述的根据协议ID，对邮件还原，提取邮件的发件人，收件人，主题，邮件正文及附件，当邮件端口为25时，步骤为：/na)通过协议ID，加载smtp动态库；/nb)初始化smtp数据，所述smtp数据包括上行数据和下行数据；/nc)判断上行数据是否压缩，如果压缩则解压，并把解压后的数据和前面未压缩的数据合并，生成新的上行数据，并删除原有的上行数据；/nd)解析用户名和密码，当上行数据出现AUTH LOGIN时，后面即可认为是用户名和密码，数据采用base64解码，即可得到用户名和密码信息；/ne)解析所有收件人，特征字RCPT TO:；/nf)解析内嵌邮件，凡数据中出现特征字Content-Type:message/rfc822均认为该数据为内嵌邮件，具体流程：/ng)解析邮件中所有特征字Content-Type:application/的附件，内部判断是否都含有附件名称，有则处理，没有则丢弃，此外还需判断附件名称和特征字是否在同一个mime片段内，如果不是则丢弃；/nh)解析邮件中所有特征字Content-Type:image/的附件，内部判断是否都含有附件名称，有则处理，没有则丢弃，此外还需判断附件名称和特征字是否在同一个mime片段内，如果不是则丢弃；/ni)解析邮件中所有特征字Content-Type:text/的附件，内部判断是否都含有附件名称，有则处理，没有则丢弃，此外还需判断附件名称和特征字是否在同一个mime片段内，如果不是则丢弃；/nj)解析邮件时间；/nk)解析邮件发件人；/nl)解析邮件收件人；/nm)解析邮件抄送人；/nn)解析邮件密送人；/no)解析邮件主题；/np)解析客户端版本；/nq)解析邮件正文，先识别html格式的正文，如果没有则把text/plain作为正文；/nr)如果发件人为空，则丢弃邮件；/ns)结束；/n或者，所述的根据协议ID，对邮件还原，提取邮件的发件人，收件人，主题，邮件正文及附件，当邮件端口为80时，步骤为：/na)通过协议ID，加载http动态库；/nb)http识别后，进行http协议解析，解析出http的信息，所述信息包括Mail-Upload-size邮件上传附件的关键信息，用于判断此附件内容是否完整，此种格式为“非mime格式”；/nc)通过http具体应用配置文件，识别出webmail的数据，进而调用webmail入口，进行webmail的解析；/nd)进行用户名和id的分析，对符合条件的加入到hash表中；/ne)分析mime格式附件是否完整，完整则继续；否则缓存该附件，退出，同时必须在模板中配置相应的UPLOADSIZE内容；/nf)判断非mime格式附件是否完整，完整则继续；否则缓存该附件，退出；无需配置，自动识别；/ng)解析邮件的其他基本信息，所述其他基本信息包括收件人和抄送人；/nh)识别附件id，解析得到附件id的多个数组；/ni)根据附件id的个数，逐个进行判断；/nj)通过id查找用户缓存，找到对应的附件名称和附件内容，从而添加到webmail结构中；/nk)解析邮件正文，区分mime格式和非mime格式，进行相应mime格式或非mime格式的不同的处理；/nl)解析邮件附件内容跟随邮件正文一起发送的特殊格式，循环处理；/nm)判断如果行为为用户上传或者删除时，清空webmail对象内存，退出；/nn)判断邮箱为163和126时，则会把用户空间缓存的所有附件一并输出；/no)去掉to、cc、bcc最后的“；”号；/np)使http的pGeneralInfo指向webmail对象，退出；/nq)使http的m_nAppID置为webmail的协议ID；/nr)如果在webmail识别过程中发现非webmail，则返回false，否则继续对此http进行解析；/ns)解析http的POST或GET的数据；/nt)将此http的解析的信息拷贝到http入口的参数中；/nu)关闭http解码对象；/nv)检查用户hash表是否超时；/nw)结束。/n