復(fù)合文檔修復(fù)

1、復(fù)合文檔的修復(fù)復(fù)合文檔的修復(fù)16/16復(fù)合文檔的修復(fù)2012-07-0410:44手工重修復(fù)合文檔(.doc;xls,ppt)文件頭,修復(fù)文件全過程手工重修復(fù)合文檔(.doc;xls,ppt)文件頭,修復(fù)文件全過程近來學(xué)習(xí)了復(fù)合文檔的格式,在修復(fù)復(fù)合文檔頭方面做了許多實(shí)踐,有了一些心得,經(jīng)過梳理,做了個(gè)例子,把思路和過程介紹給大家,希望能解決你的不時(shí)之需!例子頂用的文件以以下圖：名為“實(shí)驗(yàn)文檔”，是個(gè)空文檔，里面沒有內(nèi)容，看屬性，10，752字節(jié)，恰巧21扇區(qū)，復(fù)合文檔的文件大小必定是512字節(jié)的整數(shù)倍，這跟復(fù)合文檔的設(shè)計(jì)有關(guān)系。EXCEL，PPT等文件也屬于復(fù)合文檔，也符合這樣的特色。此后我

2、又想，可能有網(wǎng)友會(huì)對(duì)修復(fù)后的文件產(chǎn)生思疑，沒有內(nèi)容的文件可能說明不了問題，所以我在文件中輸入了很短的文本內(nèi)容！以以下圖：實(shí)驗(yàn)文檔是一個(gè)正常的文件，其余我用Winhex把該文件的文件頭（前面512字節(jié)）所有寫成了0，最完全的損壞，保存為“損壞的實(shí)驗(yàn)文檔”，大家可以用現(xiàn)有的修復(fù)軟件試一試看，能不可以修復(fù)，我用EasyRecoveryProfessional沒有修復(fù)成功！其余的軟件沒有試過！下邊，就請(qǐng)大家跟我一起看，如何把“損壞的實(shí)驗(yàn)文檔”修復(fù)成功！先介紹用到的工具軟件Winhex,功能很強(qiáng)盛，可以用二進(jìn)制的方式打開文件，并進(jìn)行編寫，保存！該軟件不但可以打開文件，還可以打開硬盤，對(duì)硬盤數(shù)據(jù)進(jìn)行編寫，

3、找尋功能什分強(qiáng)盛，用起來特別方便，同時(shí)支持腳本，供給API函數(shù)。軟件界面以以下圖：用該軟件打開“實(shí)驗(yàn)文檔”和“損壞的實(shí)驗(yàn)文檔”，可以比較一下前字節(jié)，為了便于操作，我們需要將文件解說為硬盤，讓軟件以扇區(qū)的方式顯示文件內(nèi)容，看起來直觀些！兩個(gè)文件的在軟件里顯示以以下圖：可見，“損壞的實(shí)驗(yàn)文檔”前面的512字節(jié)所有是0，文件頭被所有損壞，文件沒法用office打開！復(fù)合文檔文件頭的定義：OffsetSizeContents08復(fù)合文檔文件表記：D0CF11HHHE0HA1HB1H1AHE1H816此文件的獨(dú)一表記(不重要,可全部為0)242文件格式訂正號(hào)(一般為003EH)262文件格式版本號(hào)(一般

4、為0003)H282字節(jié)序次規(guī)則表記(見3.2):：FEHFF=Little-EndianHFFHFEH=Big-Endian302復(fù)合文檔中sector的大小(ssz)，以2的冪形式儲(chǔ)存,sector實(shí)質(zhì)大小為s_size=2ssz字節(jié)(一般為9即512字節(jié),最小值為7即128字節(jié))322short-sector的大小(見5.1)，以2的冪形式儲(chǔ)存,short-sector實(shí)質(zhì)大小為s_s_size=2sssz字節(jié)(一般為6即64字節(jié)，最大為sector的大小)3410Notused444用于存放扇區(qū)配置表（SAT）的sector總數(shù)484用于存放目錄流的第一個(gè)sector的SID(見6)5

5、24Notused564標(biāo)準(zhǔn)流的最小大小(一般為4096bytes),小于此值的流即為短流。604用于存放短扇區(qū)配置表（SSAT）的第一個(gè)sector的SID(見5.2),或?yàn)?(EndOfChainSID)如不存在。644用于存放短扇區(qū)配置表（SSAT）的sector總數(shù)684用于存放主扇區(qū)配置表（MSAT）的第一個(gè)sector的SID(見4.1),或?yàn)?(EndOfChainSID)若無附帶的sectors。724用于存放主扇區(qū)配置表（MSAT）的sector總數(shù)76436存放主扇區(qū)配置表（MSAT）的第一部分，包含109個(gè)SID?？雌饋碛行?fù)雜！修復(fù)文件頭的數(shù)據(jù)只要要計(jì)算并填寫幾項(xiàng)，一是

6、扇區(qū)分配表（SAT）所占的扇區(qū)數(shù)，二是目錄初步扇區(qū)號(hào)，三是短流扇區(qū)分配表的初步扇區(qū)號(hào)及占用扇區(qū)數(shù)，四是主扇區(qū)分配表的初步扇區(qū)號(hào)及頂用扇區(qū)數(shù)，五是扇區(qū)分配表的扇區(qū)號(hào)，其余內(nèi)容所有的復(fù)合文檔都是相同的，從正常文件中拷過來就行。以上所說五項(xiàng)內(nèi)容需要計(jì)算，此刻介紹方法一：確立目錄初步扇區(qū)號(hào)打開“損壞的實(shí)驗(yàn)文檔”，將文件解說為硬盤，找尋字符串“ROOT(52006F)”unicode）如圖：找尋到結(jié)果，軟件自動(dòng)定位到字符串的地址，如圖：看狀態(tài)欄：該字符串地址是43扇區(qū)，第一個(gè)值確立了，目錄初步扇區(qū)是43，第一項(xiàng)完成。因?yàn)閺?fù)合文檔在扇區(qū)編號(hào)時(shí)不包含文件頭，0扇區(qū)從512字節(jié)處開始，所以目錄初步扇區(qū)應(yīng)該是4

7、2，下邊就不再進(jìn)行說明。二：確立扇區(qū)分配表（SAT）我們需要經(jīng)過扇區(qū)的內(nèi)容來確立某個(gè)扇區(qū)是否是扇區(qū)分配表（SAT）該文件總合有47個(gè)扇區(qū)，文件頭占一個(gè)扇區(qū)，剩下46扇區(qū)，所以，扇區(qū)分配表中的值應(yīng)該大于0小于等于46，其余還有一些特別的值，值FEFFFFFF表示扇區(qū)鏈結(jié)束，值FDFFFFFF表示該扇區(qū)被SAT占用，值FFFFFFFF表示該扇區(qū)為悠閑。看文件的1扇區(qū)：數(shù)據(jù)以下：該扇區(qū)是否是扇區(qū)分配表（SAT）呢？分析里面的數(shù)據(jù)（4個(gè)字節(jié)一個(gè)項(xiàng)，因?yàn)樯葏^(qū)編號(hào)是用4個(gè)字節(jié)來存放的），第一項(xiàng)為哪一項(xiàng)ECA5C100，低位在前高位在后，換過來就是00C1A5EC，換成十進(jìn)制為12690924，文件最大為4

8、6扇區(qū)，所以該扇區(qū)不行能是扇區(qū)分配表（SAT）?？吹?扇區(qū)，第三項(xiàng)00007A03不滿足條件，所以不是扇區(qū)分配表。重復(fù)該過程，1-41扇區(qū)均不符合條件，分析到42扇區(qū)，看該扇區(qū)數(shù)據(jù)：第一項(xiàng)0100000，第二項(xiàng)02000000，第三項(xiàng)03000000，等等，該扇區(qū)內(nèi)的所有項(xiàng)的值要么小于46，要么是FEFFFFFF，要么是FDFFFFFF，要么是FFFFFFFF，符合扇區(qū)分配表的特色！記下該扇區(qū)號(hào)。連續(xù)分析剩下的扇區(qū)，直到結(jié)束！在本例中，文件總合47扇區(qū)大小，而每個(gè)扇區(qū)512字節(jié)，4個(gè)字節(jié)放一個(gè)扇區(qū)編號(hào)，所以，一個(gè)扇區(qū)分配表可以存放128個(gè)扇區(qū)編號(hào)，所以說該文件只有一個(gè)扇區(qū)用來存放扇區(qū)分配表（S

9、AT）。第二項(xiàng)完成。第三：確立主扇區(qū)分配表（MSAT）的初步扇區(qū)號(hào)主扇區(qū)分配表（MSAT）中存放的是扇區(qū)分配表（SAT）所在的扇區(qū)號(hào)，本例中，扇區(qū)分配表（SAT）只有一個(gè)，依據(jù)復(fù)合文檔的格式定義，文件頭中可以存放109項(xiàng)SAT值，也就是說，只要文件的扇區(qū)分配表不大于109個(gè)，就不需要主扇區(qū)分配表，嚴(yán)格的說是不需要額外的主扇區(qū)分配表，因?yàn)槲募^就可以容納下了，主扇區(qū)分配表（MSAT）是在SAT多于109項(xiàng)時(shí)，剩下的值用指定的扇區(qū)來記錄！依據(jù)定義，無額外主扇區(qū)分配表（MSAT）時(shí)，主扇區(qū)分配表的初步扇區(qū)號(hào)為-2，十六進(jìn)制表示為FEFFFFFF，它占用的扇區(qū)數(shù)為0，第三項(xiàng)完成第四：確立短流扇區(qū)分配表

10、的初步扇區(qū)號(hào)及占用的扇區(qū)數(shù)短流扇區(qū)分配表（SSAT）是復(fù)合文檔中的另一個(gè)看法，短流數(shù)據(jù)用短流扇區(qū)來存放，短流數(shù)據(jù)存放的地址通很短流扇區(qū)分配表來確立。一個(gè)文件有沒有短流數(shù)據(jù)可以查察目錄，如圖：依據(jù)復(fù)合文檔定義，目錄的第一表項(xiàng)0X74處的4個(gè)字節(jié)表示的是短流的初步扇區(qū)（十六進(jìn)制2D000000值為45），0X48處的4個(gè)字節(jié)為短流的大小（十六進(jìn)制800000值為128）。而短流扇區(qū)分配表（SSAT）一般位于短流初步扇區(qū)的前一個(gè)扇區(qū)，所以短流扇區(qū)分配表的初步扇區(qū)為45-1=44扇區(qū)，它只占用一個(gè)扇區(qū)。44扇區(qū)的內(nèi)容以以下圖：第四項(xiàng)完成。第五：確立文件頭中的扇區(qū)分配表編號(hào)本例子只有一個(gè)扇區(qū)分配表（SA

11、T），所以文件頭中只用填寫一個(gè)值。到此，需要重修文件頭的所有值基本都確立了，下邊的工作就是改寫文件頭。定位到0X2C處，2C-2F為扇區(qū)分配表（SAT）所占用的扇區(qū)數(shù)，本例占用1個(gè)扇區(qū)，變換成十六進(jìn)制為（01000000，低位在前高位在后），操作完成后以以下圖：定位到0X30處，4字節(jié)表示目錄所在的扇區(qū)編號(hào)，經(jīng)前面的計(jì)算，目錄所在的扇區(qū)編號(hào)為42，換成十六進(jìn)制為2A000000，把該值寫到此處，操作完成后以以下圖：定位到0X3C處，4字節(jié)表示短流扇區(qū)分配表（SSAT）的初步扇區(qū)號(hào)，本例短流扇區(qū)為44，十六進(jìn)制值為2C000000，改寫后，以以下圖：定位到0X40，4字節(jié)表示短流扇區(qū)分配表占用的扇區(qū)數(shù)，本例占用1個(gè)扇區(qū)，應(yīng)填寫01000000，操作完成后以以下圖：定位到0X44處，4字節(jié)表示MSAT初步扇區(qū)編號(hào)，本例沒有MSAT，填寫-2，十六進(jìn)制值為FEFFFFFF，定位到0X48處，4字節(jié)表示MSAT占用的扇區(qū)數(shù)，本例為0，填寫00000000操作完成后以以下圖：定位到0X4C處，此處后的每4個(gè)字節(jié)填寫一項(xiàng)SAT扇區(qū)編號(hào)，本例只有一個(gè)SAT，地址為41，變換成十六進(jìn)制為29000000，剩下的填寫成FFFFFFFF，也許不填寫也行！操作完成后以以下圖：到此，所有