EXCHANGE登录IP记录，事关名誉的重大问题，请高手帮忙！

太空漫游

事情的经过是这样的：

我的一个弟弟在某大型国企的地方分局工作，总局有一台EXCHANGE2003的服务器，每个分局的职工都有自己的信箱，但是由于管理松散，从开始建完帐号之后，所有的帐号都没有设置密码，大部分职工都属于对电脑不太熟悉，所以也没有人去更改密码，就这样一直用着。

突然有一天，临近一个城市的分局有人用我弟弟的信箱发了一封匿名举邮件（举报的内容都是另外那个分局的事情，与我弟弟的分局无关）。紧接着总局就派了公安处的人来调查这件事，并且事先找了维护EXCHANGE服务器的人，说经过鉴定，在当时几点几分就是我弟弟那台机器的IP地址登录了服务器，发出的这封匿名举报邮件。

现在我和弟弟分析是这样的：

如果总局那边鉴定的结果是准确的，那么只有一种可能，就是我弟弟他们单位内部有人盗用他的IP地址和帐号，但是就在当时，我弟弟的机器是开着的（整个单位的局域网是一个网段的，每个分局通过路由连接到总局），而且如果有人盗用他的IP，WINDOWS系统日值必然有IP冲突记录，但是并没有这样的记录，所以我们的结论是，肯定还是另外那个分局有人干的，嫁祸给我弟弟的。那么总局那边查的结果肯定不准确。

我弟弟的机器在那封匿名邮件发出后的两分钟内，还登录过一次信箱。现在总局已经认定这件事就是我弟弟干的，并且说如果他不承认，态度不好的话，就会丢饭碗。但是这事肯定不是我弟弟干的，笨脑子都能想到，谁无聊到发举报信去说跟自己单位无关的事，然后还公开用自己的信箱去做。

现在总局说给我弟弟一个机会，可以让他跟总局的公安去看那台EXCHANGE服务器的日志，现在这是最后的机会能找到洗刷罪名的证据了，但是我都对EXCHANGE没接触过，昨天上网查了很多资料，但是还是一片空白，现在就怕去了说不出一二三来，人家那个管理员再一不高兴，把我们赶出去，那就彻底没戏了，所以请论坛里的各位高手给帮忙提供一些查找登录记录的线索和方法，主要就是想知道怎么样才能准确第查找到在确定时间内，都有哪个IP地址登录过某个特定的帐号，如果不能准确查找，那么是否存在错误鉴定的可能（比如说我弟弟在事情发生后的两分钟还登录过，那么是否可能将上一次登录记录冲掉了）。请各位高手帮忙！多谢了！

[ 本帖最后由 太空漫游 于 2006-7-26 11:39 编辑 ]

jaffas1101

涉及到敏感问题了！
可以找计算机安全中心协助呀！

太空漫游

计算机安全中心是什么机构啊？需要费用吗？
另外能能否告知如何在EXCHANGE上查找各种记录，我想那个管理员一定是遗漏了什么。

chrisqian

如果安全发件人地址是你弟弟的信息，那么可以寻求公安机关调查你弟弟不在场的时间。
如果非安全发件人那么事情就好办多了。其次如果确实邮件是来自你弟弟的帐号以及你弟弟的电脑，那么既不能证明不在场的时间，那么只能借助于测谎仪了。

chrisqian

原帖由 太空漫游 于 2006-7-26 11:55 发表
计算机安全中心是什么机构啊？需要费用吗？
另外能能否告知如何在EXCHANGE上查找各种记录，我想那个管理员一定是遗漏了什么。

用你弟弟的电脑以及帐号发送邮件对于系统来说这就是你弟弟发的这封邮件。

太空漫游

原帖由 chrisqian 于 2006-7-26 12:12 发表


用你弟弟的电脑以及帐号发送邮件对于系统来说这就是你弟弟发的这封邮件。

现在有一点可疑的，就是刚才我描述的时候说，上级认定是我弟弟的帐号以及IP地址登陆了信箱并且发送了这封邮件，但是来的这个人在说的时候开始只是说，查到是他的帐号发的（这一点不用查也知道，一看发件人就知道了），当问他是不是确定就是我弟弟的IP地址时，他也没十分肯定，可能他并没有想到查IP，就匆忙认定了。在EXCHANGE的哪里能查到登录的IP记录呢？

feitianxiang

如果电脑开着的话，不可能有其他人使用同样的ip地址的，你说日志里没有ip冲突记录。
单位电脑的ip地址是自动分配的还是手工指定的？ 这个要弄清楚的。
如果事关重大的话，还是建议找权威部门去做这个事情。

zfzy

如果是用Microsoft Outlook，请打开邮件，再视图的选项可以看到internet邮件头，这上面有记录详细的发出IP地址及发出邮件服务器等。希望你有好运能证明不是你弟的那台地址发出的。
EX服务器里没有这么详细的记录。

zfzy

局域网内的所有人都可以将你弟弟的邮箱设在任何一台机器上匿名去发邮件。
关键是收到邮件时打开邮件头查看邮件的整个发送经过的地方。
如果别人是用你弟弟的IP及这台机器发送，那只能用证明其当时不在电脑的方法了。

james_li

去找那位网管啊!要他拿出你弟弟计算机IP在发出信件的同时,的确是你弟弟的计算机发送的具体证据,如果EXCHANGE服务器里开启连接日志备份的话,是绝对看的到的!如果的确拿出来证明了这个问题,那就查时间和不在场的证据,人证物证!都找就是了,在否则,大不了不干了,但要把问题坚持到底!!