浅析邮件日志(1)
邮件跟踪日志的文件格式
要对邮件日志进行分析，首先需要对邮件日志文件的格式了解得非常清楚。下面，我们将以Exchange 2003的日志文件为例，详细解释其格式。（Exchange 2000的日志文件格式和Exchange 2003是相同的。）
实际上，邮件跟踪日志文件是以文本的形式存放在Exchsrvr
317700 How to change the location of the message tracking logs in Exchange 2000 Server
http://support.microsoft.com/default.aspx?scid=kb;EN-US;317700
日志文件的命名格式也相对简单，就以日志生成的日期为名，其格式为YYYYMMDD.log。注意，日志中包含的数据是从格林威治标准时间0:00到23:59发生在该服务器上的邮件记录。因此，对于不在GMT +00时区的服务器而言，日志文件名中的日期和实际我们要查询的日期并非完全匹配。
对于熟悉W3C格式的IIS日志的朋友，邮件跟踪日志对你们来说就不是什么新鲜事了。他们在格式上基本相同。下面我们将打开一个Exchange 2003的邮件跟踪日志文件，来阐述其文件格式。
# Message Tracking Log File
# Exchange System Attendant Version 6.5.7226.0
# Date Time client-ip Client-hostname Partner-Name Server-hostname server-IP Recipient-Address Event-ID MSGID Priority Recipient-Report-Status total-bytes Number-Recipients Origination-Time Encryption service-Version Linked-MSGID Message-Subject Sender-Address
通常我们可以看到文件的头三行以#标识。第一行指明这是一个邮件跟踪日志文件。第二行指明了当前服务器的版本。第三行则是最关键的一行。它给出了当前日志文件的每一条记录所包含的列以及相应的顺序。列名和列名之间以Tab键分隔开。
在文件头之后是两个空行，然后紧接着就是邮件跟踪记录。记录以行为单位，每一行给出了第三行列出的所有列的数据。如果某一列的值不存在，就以”-“代替。列和列之间依然以Tab键分隔。
2007-1-29 12:24:32 GMT - - - TEST01 - /O=TEST GTSC/OU=FIRST ADMINISTRATIVE GROUP/CN=RECIPIENTS/CN=Administrator 1027 E830238C2711FB4BA337AD16A10C626F57CF@TEST01.TEST.GTSC 0 0 2087 3 2007-1-29 12:24:32 GMT 0 - c=US;a= ;p=TEST GTSC;l=TEST01-070129122431Z-1 TEST EMAIL EX:/O=TEST GTSC/OU=FIRST ADMINISTRATIVE GROUP/CN=RECIPIENTS/CN=ADMINISTRATOR -
2007-1-29 12:24:32 GMT - - - TEST01 - /O=TEST GTSC/OU=FIRST ADMINISTRATIVE GROUP/CN=RECIPIENTS/CN=EVANWANG 1027 E830238C2711FB4BA337AD16A10C626F57CF@TEST01.TEST.GTSC 0 0 2087 3 2007-1-29 12:24:32 GMT 0 - c=US;a= ;p=TEST GTSC;l=TEST01-070129122431Z-1 TEST EMAIL EX:/O=TEST GTSC/OU=FIRST ADMINISTRATIVE GROUP/CN=RECIPIENTS/CN=ADMINISTRATOR -
对于每一列的含义，这里作一个简要的说明：
|
Date |
事件发生的日期 |
|
Time |
事件发生的时间 |
|
client-ip |
客户端IP地址 |
|
Client-hostname |
客户端名字 |
|
Server-hostname |
当前服务器的名字 |
|
server-IP |
服务器端IP地址 |
|
Recipient-Address |
邮件接收人的地址 |
|
Event-ID |
当前所记录事件的类型 |
|
MSGID |
当前邮件的标识 |
|
Priority |
邮件优先级，0为普通 |
|
total-bytes |
当前邮件的大小 |
|
Number-Recipients |
当前邮件所有接收人的数目 |
|
Origination-Time |
邮件发送的时间 |
|
Encryption |
邮件的加密方式 |
|
Message-Subject |
邮件标题 |
|
Sender-Address |
邮件发送人的地址 |
网友评论