復(fù)合文檔修復(fù)

1、復(fù)合文檔的修復(fù)復(fù)合文檔的修復(fù)16/16復(fù)合文檔的修復(fù)2012-07-0410:44手工重修復(fù)合文檔(.doc;xls,ppt)文件頭,修復(fù)文件全過程手工重修復(fù)合文檔(.doc;xls,ppt)文件頭,修復(fù)文件全過程近來學(xué)習(xí)了復(fù)合文檔的格式,在修復(fù)復(fù)合文檔頭方面做了許多實踐,有了一些心得,經(jīng)過梳理,做了個例子,把思路和過程介紹給大家,希望能解決你的不時之需!例子頂用的文件以以下圖：名為“實驗文檔”，是個空文檔，里面沒有內(nèi)容，看屬性，10，752字節(jié)，恰巧21扇區(qū)，復(fù)合文檔的文件大小必定是512字節(jié)的整數(shù)倍，這跟復(fù)合文檔的設(shè)計有關(guān)系。EXCEL，PPT等文件也屬于復(fù)合文檔，也符合這樣的特色。此后我

2、又想，可能有網(wǎng)友會對修復(fù)后的文件產(chǎn)生思疑，沒有內(nèi)容的文件可能說明不了問題，所以我在文件中輸入了很短的文本內(nèi)容！以以下圖：實驗文檔是一個正常的文件，其余我用Winhex把該文件的文件頭（前面512字節(jié)）所有寫成了0，最完全的損壞，保存為“損壞的實驗文檔”，大家可以用現(xiàn)有的修復(fù)軟件試一試看，能不可以修復(fù)，我用EasyRecoveryProfessional沒有修復(fù)成功！其余的軟件沒有試過！下邊，就請大家跟我一起看，如何把“損壞的實驗文檔”修復(fù)成功！先介紹用到的工具軟件Winhex,功能很強盛，可以用二進制的方式打開文件，并進行編寫，保存！該軟件不但可以打開文件，還可以打開硬盤，對硬盤數(shù)據(jù)進行編寫，

3、找尋功能什分強盛，用起來特別方便，同時支持腳本，供給API函數(shù)。軟件界面以以下圖：用該軟件打開“實驗文檔”和“損壞的實驗文檔”，可以比較一下前字節(jié)，為了便于操作，我們需要將文件解說為硬盤，讓軟件以扇區(qū)的方式顯示文件內(nèi)容，看起來直觀些！兩個文件的在軟件里顯示以以下圖：可見，“損壞的實驗文檔”前面的512字節(jié)所有是0，文件頭被所有損壞，文件沒法用office打開！復(fù)合文檔文件頭的定義：OffsetSizeContents08復(fù)合文檔文件表記：D0CF11HHHE0HA1HB1H1AHE1H816此文件的獨一表記(不重要,可全部為0)242文件格式訂正號(一般為003EH)262文件格式版本號(一般

4、為0003)H282字節(jié)序次規(guī)則表記(見3.2):：FEHFF=Little-EndianHFFHFEH=Big-Endian302復(fù)合文檔中sector的大小(ssz)，以2的冪形式儲存,sector實質(zhì)大小為s_size=2ssz字節(jié)(一般為9即512字節(jié),最小值為7即128字節(jié))322short-sector的大小(見5.1)，以2的冪形式儲存,short-sector實質(zhì)大小為s_s_size=2sssz字節(jié)(一般為6即64字節(jié)，最大為sector的大小)3410Notused444用于存放扇區(qū)配置表（SAT）的sector總數(shù)484用于存放目錄流的第一個sector的SID(見6)5

5、24Notused564標(biāo)準(zhǔn)流的最小大小(一般為4096bytes),小于此值的流即為短流。604用于存放短扇區(qū)配置表（SSAT）的第一個sector的SID(見5.2),或為2(EndOfChainSID)如不存在。644用于存放短扇區(qū)配置表（SSAT）的sector總數(shù)684用于存放主扇區(qū)配置表（MSAT）的第一個sector的SID(見4.1),或為2(EndOfChainSID)若無附帶的sectors。724用于存放主扇區(qū)配置表（MSAT）的sector總數(shù)76436存放主扇區(qū)配置表（MSAT）的第一部分，包含109個SID?？雌饋碛行?fù)雜！修復(fù)文件頭的數(shù)據(jù)只要要計算并填寫幾項，一是

6、扇區(qū)分配表（SAT）所占的扇區(qū)數(shù)，二是目錄初步扇區(qū)號，三是短流扇區(qū)分配表的初步扇區(qū)號及占用扇區(qū)數(shù)，四是主扇區(qū)分配表的初步扇區(qū)號及頂用扇區(qū)數(shù)，五是扇區(qū)分配表的扇區(qū)號，其余內(nèi)容所有的復(fù)合文檔都是相同的，從正常文件中拷過來就行。以上所說五項內(nèi)容需要計算，此刻介紹方法一：確立目錄初步扇區(qū)號打開“損壞的實驗文檔”，將文件解說為硬盤，找尋字符串“ROOT(52006F)”unicode）如圖：找尋到結(jié)果，軟件自動定位到字符串的地址，如圖：看狀態(tài)欄：該字符串地址是43扇區(qū)，第一個值確立了，目錄初步扇區(qū)是43，第一項完成。因為復(fù)合文檔在扇區(qū)編號時不包含文件頭，0扇區(qū)從512字節(jié)處開始，所以目錄初步扇區(qū)應(yīng)該是4

7、2，下邊就不再進行說明。二：確立扇區(qū)分配表（SAT）我們需要經(jīng)過扇區(qū)的內(nèi)容來確立某個扇區(qū)是否是扇區(qū)分配表（SAT）該文件總合有47個扇區(qū)，文件頭占一個扇區(qū)，剩下46扇區(qū)，所以，扇區(qū)分配表中的值應(yīng)該大于0小于等于46，其余還有一些特別的值，值FEFFFFFF表示扇區(qū)鏈結(jié)束，值FDFFFFFF表示該扇區(qū)被SAT占用，值FFFFFFFF表示該扇區(qū)為悠閑?？次募?扇區(qū)：數(shù)據(jù)以下：該扇區(qū)是否是扇區(qū)分配表（SAT）呢？分析里面的數(shù)據(jù)（4個字節(jié)一個項，因為扇區(qū)編號是用4個字節(jié)來存放的），第一項為哪一項ECA5C100，低位在前高位在后，換過來就是00C1A5EC，換成十進制為12690924，文件最大為4

8、6扇區(qū)，所以該扇區(qū)不行能是扇區(qū)分配表（SAT）。看第2扇區(qū)，第三項00007A03不滿足條件，所以不是扇區(qū)分配表。重復(fù)該過程，1-41扇區(qū)均不符合條件，分析到42扇區(qū)，看該扇區(qū)數(shù)據(jù)：第一項0100000，第二項02000000，第三項03000000，等等，該扇區(qū)內(nèi)的所有項的值要么小于46，要么是FEFFFFFF，要么是FDFFFFFF，要么是FFFFFFFF，符合扇區(qū)分配表的特色！記下該扇區(qū)號。連續(xù)分析剩下的扇區(qū)，直到結(jié)束！在本例中，文件總合47扇區(qū)大小，而每個扇區(qū)512字節(jié)，4個字節(jié)放一個扇區(qū)編號，所以，一個扇區(qū)分配表可以存放128個扇區(qū)編號，所以說該文件只有一個扇區(qū)用來存放扇區(qū)分配表（S

9、AT）。第二項完成。第三：確立主扇區(qū)分配表（MSAT）的初步扇區(qū)號主扇區(qū)分配表（MSAT）中存放的是扇區(qū)分配表（SAT）所在的扇區(qū)號，本例中，扇區(qū)分配表（SAT）只有一個，依據(jù)復(fù)合文檔的格式定義，文件頭中可以存放109項SAT值，也就是說，只要文件的扇區(qū)分配表不大于109個，就不需要主扇區(qū)分配表，嚴(yán)格的說是不需要額外的主扇區(qū)分配表，因為文件頭就可以容納下了，主扇區(qū)分配表（MSAT）是在SAT多于109項時，剩下的值用指定的扇區(qū)來記錄！依據(jù)定義，無額外主扇區(qū)分配表（MSAT）時，主扇區(qū)分配表的初步扇區(qū)號為-2，十六進制表示為FEFFFFFF，它占用的扇區(qū)數(shù)為0，第三項完成第四：確立短流扇區(qū)分配表

10、的初步扇區(qū)號及占用的扇區(qū)數(shù)短流扇區(qū)分配表（SSAT）是復(fù)合文檔中的另一個看法，短流數(shù)據(jù)用短流扇區(qū)來存放，短流數(shù)據(jù)存放的地址通很短流扇區(qū)分配表來確立。一個文件有沒有短流數(shù)據(jù)可以查察目錄，如圖：依據(jù)復(fù)合文檔定義，目錄的第一表項0X74處的4個字節(jié)表示的是短流的初步扇區(qū)（十六進制2D000000值為45），0X48處的4個字節(jié)為短流的大?。ㄊM制800000值為128）。而短流扇區(qū)分配表（SSAT）一般位于短流初步扇區(qū)的前一個扇區(qū)，所以短流扇區(qū)分配表的初步扇區(qū)為45-1=44扇區(qū)，它只占用一個扇區(qū)。44扇區(qū)的內(nèi)容以以下圖：第四項完成。第五：確立文件頭中的扇區(qū)分配表編號本例子只有一個扇區(qū)分配表（SA

11、T），所以文件頭中只用填寫一個值。到此，需要重修文件頭的所有值基本都確立了，下邊的工作就是改寫文件頭。定位到0X2C處，2C-2F為扇區(qū)分配表（SAT）所占用的扇區(qū)數(shù)，本例占用1個扇區(qū)，變換成十六進制為（01000000，低位在前高位在后），操作完成后以以下圖：定位到0X30處，4字節(jié)表示目錄所在的扇區(qū)編號，經(jīng)前面的計算，目錄所在的扇區(qū)編號為42，換成十六進制為2A000000，把該值寫到此處，操作完成后以以下圖：定位到0X3C處，4字節(jié)表示短流扇區(qū)分配表（SSAT）的初步扇區(qū)號，本例短流扇區(qū)為44，十六進制值為2C000000，改寫后，以以下圖：定位到0X40，4字節(jié)表示短流扇區(qū)分配表占用的扇區(qū)數(shù)，本例占用1個扇區(qū)，應(yīng)填寫01000000，操作完成后以以下圖：定位到0X44處，4字節(jié)表示MSAT初步扇區(qū)編號，本例沒有MSAT，填寫-2，十六進制值為FEFFFFFF，定位到0X48處，4字節(jié)表示MSAT占用的扇區(qū)數(shù)，本例為0，填寫00000000操作完成后以以下圖：定位到0X4C處，此處后的每4個字節(jié)填寫一項SAT扇區(qū)編號，本例只有一個SAT，地址為41，變換成十六進制為29000000，剩下的填寫成FFFFFFFF，也許不填寫也行！操作完成后以以下圖：到此，所有