計算機檢測維修與數(shù)據(jù)恢復(fù)（上冊）課件 子任務(wù)2 利用WinHex恢復(fù)DO文件

子任務(wù)2利用WinHex恢復(fù)DOC文件任務(wù)1DOC文件恢復(fù)項目8文件恢復(fù)恢復(fù)受破壞DOC文件01任務(wù)實施2（一）恢復(fù)受破壞DOC文件（共有3個步驟）步驟一：附加虛擬磁盤，運行Winhex并打開它步驟二：確認DOC文件頭被破壞步驟三：恢復(fù)DOC文件頭一步驟一：附加虛擬磁盤，運行Winhex并打開它在素材文件夾中，雙擊“8任務(wù)1-1-1.vhd.vhd”，然后運行Winhex，打開“HD1”，界面顯示該硬盤信息，此虛擬磁盤有個分區(qū)1?；謴?fù)受破壞DOC文件步驟二：確認DOC文件頭被破壞點開分區(qū)1，進入分區(qū)1，在根目錄下雙擊打開用戶文件“8任務(wù)1-2-1.DOC”，利用“專業(yè)工具”中“文件轉(zhuǎn)換為磁盤”功能把要讀取的文件“8任務(wù)1-1-1.DOC”轉(zhuǎn)換成磁盤來讀取。發(fā)現(xiàn)文件“8任務(wù)1-2-1.DOC”的文件頭所在扇區(qū)0全被清零。一步驟三：恢復(fù)DOC文件頭1.修復(fù)扇區(qū)分配表（SAT）所占的扇區(qū)總數(shù)扇區(qū)分配表（SAT）類似FAT表，扇區(qū)分配表（SAT）標志為“FDFFFFFF”，一個扇區(qū)分配表（SAT）有一個標志。在需要修復(fù)的文件中使用Winhex搜索“FDFFFFFF”，僅找到一次（相對扇區(qū)號1，偏移0X200?0X03），扇區(qū)分配表（SAT）所占的扇區(qū)總數(shù)為1，起始扇區(qū)為0（相對扇區(qū)號1-1）。2.修復(fù)短流扇區(qū)分配表目錄起始扇區(qū)號短流扇區(qū)分配表目錄的標志為“RootEntry”，在需要修復(fù)的文件中使用Winhex搜索文本“Root”，在相對扇區(qū)號2找到它，得到目錄流的SecID為1(相對扇區(qū)號2-1），即目錄流的起始扇區(qū)號為1?；謴?fù)受破壞DOC文件一步驟三：恢復(fù)DOC文件頭3.修復(fù)短流扇區(qū)分配表的起始扇區(qū)號及占用扇區(qū)總數(shù)短流扇區(qū)分配表目錄的第一表項0X74?0X07處的4個字節(jié)表示的是短流的相對扇區(qū)號3（3H），0X78?0X7B處的4個字節(jié)為短流的大小4,672字節(jié)（1240H）。跳轉(zhuǎn)至扇區(qū)3，發(fā)現(xiàn)短流扇區(qū)分配表占292字節(jié)（偏移0X600?0X723），不滿1個扇區(qū)，按1個扇區(qū)算。另外，其表項指向73個扇區(qū)，即短流共4672字節(jié)（73扇區(qū)×64字節(jié)/扇區(qū)=4672字節(jié)），這值與格式參數(shù)一致。短流扇區(qū)分配表的起始扇區(qū)號為2（相對扇區(qū)號3-1=2），短流扇區(qū)分配表占用扇區(qū)總數(shù)為1.4.修復(fù)主扇區(qū)分配表的起始扇區(qū)號及其占用扇區(qū)總數(shù)因文件只有100個扇區(qū)，小于13,952個扇區(qū)，屬于小文件，故主扇區(qū)分配表的起始扇區(qū)號及其占用扇區(qū)總數(shù)以小文件確定，即主扇區(qū)分配表的起始扇區(qū)號為-2，及主扇區(qū)分配表占用扇區(qū)總數(shù)為0?；謴?fù)受破壞DOC文件一步驟三：恢復(fù)DOC文件頭5.確定文件頭主要參數(shù)根據(jù)步驟一?步驟五，得出文件頭主要參數(shù)如表8-3所示?；謴?fù)受破壞DOC文件表8-3文件“8任務(wù)1-2-1.DOC”的文件頭參數(shù)表偏移長度值復(fù)合文件頭主要參數(shù)0X2C40X01扇區(qū)分配表（SAT）所占的扇區(qū)數(shù)總數(shù)為10X3040X01扇區(qū)分配表（SAT）所占的扇區(qū)數(shù)總數(shù)為1,標志0XDFFFFFFF，一個標志占一個扇區(qū)。0X3440X00Notused0X3840X1000標準流的最小值4096bytes0X3C40X02短流扇區(qū)分配表的起始扇區(qū)號為20X4040X01短流扇區(qū)分配表占用扇區(qū)總數(shù)為10X4440XFFFFFFE主扇區(qū)分配表的起始扇區(qū)號為-20X4840X00主扇區(qū)配置表占用扇區(qū)數(shù)總數(shù)為04C40X00只有一個扇區(qū)分配表，扇區(qū)號為0，其余每4個字節(jié)全為0XFFFFFFFF，或0X000000。一步驟三：恢復(fù)DOC文件頭6.復(fù)制一個小文件（DOC)的文件頭，然后按步驟六得的參數(shù)修改復(fù)制一個小文件（DOC)的文件頭到用戶損壞文件“8任務(wù)1-2-1.DOC”的文件頭處，然后根據(jù)步驟六得到的參數(shù)逐個對應(yīng)修改，最后保存，得到修復(fù)到后的文件頭，如圖8-2所示?；謴?fù)受破壞DOC文件圖8-2Winhe