数据恢复 复合文件头

符合文件文件头

村口曹师傅发表于2020-08-07 16:05:46 浏览2170 评论0

符合文件文件头


 <img src=/zb_users/upload/2020/08/wps1.jpg width=554 height=516 title="">


   


 这是一个DOC文件的文件头


 其中<img src=/zb_users/upload/2020/08/wps2.jpg width=554 height=34 title="">从汇编语言看出总是一样的


 <img src=/zb_users/upload/2020/08/wps3.jpg width=554 height=209 title=""> 


 接下来的（先图片后注释）


 <img src=/zb_users/upload/2020/08/wps4.jpg width=485 height=112 title=""> 


 1.分别代表着复合文档的，每扇区字节数2的9次方=512字节


 2.以及每短扇区字节数2的6次方=64字节


 <img src=/zb_users/upload/2020/08/wps5.jpg width=554 height=493 title=""> 


 3. 04 00 00 00代表这一共占用着多少项扇区配置表项，因为一项扇区配置表为4字节FF FF FF FF为不使用，图中用了扇区配置表只有16字节，16/4=4 所以所指位置为4


  


 <img src=/zb_users/upload/2020/08/wps6.jpg width=554 height=100 title=""><img src=/zb_users/upload/2020/08/wps7.jpg width=554 height=529 title=""> 


 4.指向ROOTENTry，用WinHex搜索ROOT找到如图所示，当前值指向的是477扇区，但是实际是在478扇区，经过多次计算，都是同样的结果，目前没有了解到为什么所指扇区数比实际扇区数少1个扇区 


 <img src=/zb_users/upload/2020/08/wps8.jpg width=554 height=117 title="">5标准流最小大小，说明一流最小为4096字节。


  


  


 <img src=/zb_users/upload/2020/08/wps9.jpg width=554 height=84 title=""> 


 <img src=/zb_users/upload/2020/08/wps10.jpg width=554 height=537 title=""> 


 6.箭头所指处为Item位置（WPS分的DOC和这里的有不同）


 <img src=/zb_users/upload/2020/08/wps11.jpg width=554 height=93 title=""> 


 7.这里表示的是Item的大小，基本上是1个扇区。


 <img src=/zb_users/upload/2020/08/wps12.jpg width=493 height=111 title=""> 


 8.这里的32Bit指的是短文件扇区表总数，但是在文件扇区表占用较小时为-2，表示只有一个短文件扇区表总数。


 <img src=/zb_users/upload/2020/08/wps13.jpg width=554 height=91 title=""> 


 9. 目前只知道文档大于6.8M时用这里的数值。


 <img src=/zb_users/upload/2020/08/wps14.jpg width=554 height=543 title=""> 


 10.这里用了14项扇区配置表项，最后一个表项的大小和实际文件大小，小8个扇区


 并且倒数第二项扇区配置表项的数值=最后一项扇区配置表项的数值-1，以此类推。