基于NDIS的Web邮件监控

罗利明 伍淳华 袁开国

北京邮电大学信息安全中心 北京 100876

0 引言

本文在吸收前人研究的成果上，设计了一个Windows下的基于NDIS(Network Driver Interface Specification)的Web邮件发送和接收监控系统。鉴于监控通过Web进行邮件接收的研究目前较少，本文重点针对Web邮件接收内容的特点，提出了对Web接收邮件内容监控的解决方案。针对Web服务器在发送或接收一封 Web邮件时，一封邮件会分多次 TCP传输的难题，本文提出通过他们内在的标识 ID将多次传输的TCP连接组合成同一封邮件。实验结果表明了该系统的有效性。

图1 系统基本模型图

1 Web邮件监控系统的实现

1.1 系统框架图

图1是基于NDIS的Web邮件获取的系统框架图。由图可知，最底层NIC是本机的网卡，数据包经过网卡时由装在网卡上的NDIS过滤驱动截取到，然后传给应用层进行TCP数据包的重组。在NDIS过滤驱动中可以设置要过滤的端口，本文设计的系统过滤了除源端口或目的端口为80的TCP包。接着进行HTTP协议的还原和Web邮件的提取。Web邮件模板库是事先保存的识别各类邮箱的邮件服务器、发送者、接收者、内容、附件等关键字的知识库，在进行邮件信息提取的时候通过匹配 Web邮件模板库中的信息，提取出邮件信息。Web邮件的发送或接收在有多条TCP连接时，还需要将多条TCP连接的信息组合成一封邮件。

1.2 TCP数据重组的实现

由于网络状况问题，在网络中传输的数据包不一定会按照顺序到达，本文根据TCP包的序列号和确认号将乱序的包进行重组。本文使用二维链表将获得的包缓存起来，可以将此链表的结构看成是一个二维数组。……