计算机与网络已融入到社会生产和个人生活的方方面面，极大地提高了生产效率和生活质量，同时也带来了一些传统手段无法应对的新型犯罪活动。作为打击这类犯罪的重要手段之一，计算机取证技术成为当前计算机界和法学界研究和关注的一个重点和热点问题。本文主要研究了内存web邮件取证技术，并实现了一个WinWebMail取证系统。首先，提出了一种面向内存的web邮件取证方法。在利用虚拟机技术获取完整的内存数据镜像文件并进行预处理的基础之上，提出了基于字符串匹配的邮件头完整性判定与定位方法；凭借特定Web邮件的html框架特征进行邮件体的完整性判定与定位；并通过引入基于日期、Email地址和主题关键关键词的邮件头与邮件主体匹配算法进行的web邮件的恢复。提出的Web邮件恢复方法可以在不依赖于操作系统的内核、进程和内存的数据结构先验知识的前提下，恢复内存中的Web邮件。Windows Xp平台上的实验结果表明文中所提出的方法可行且具备较高的正确率。其次，在windows平台下设计并实现了一个WinWebMail取证系统。该系统设计为四个模块：内存镜像获取模块、预处理模块、恢复与分析模块、结果显示模块。内存镜像获取模块采用内核空间驱动程序获取内存数据；预处理模块采用zlib库来对镜像文件的gzip数据进行解压；恢复与分析模块实现文中提出的算法，并将取证结果保存到数据库；结果显示模块中负责将结果显示给用户。该系统能以较高的准确率恢复内存镜像中的web邮件信息，并将恢复的邮件头内容、邮件主体内容以及两者的匹配度显示给用户。综上所述，本文以计算机内存取证和分析技术为基础，针对内存中web邮件取证提出了一种取证方法，并在windows平台下设计并实现一个web邮件取证系统。