excel碎片重组

会员302969 · 发表于 2014-8-18 02:09:05

马上注册，获取阅读精华内容及下载权限

您需要登录才可以下载或查看，没有帐号？注册

x

本帖最后由 zhy123 于 2014-8-18 02:10 编辑

Excel碎片重组实验

H盘是fat32系统，簇大小8 。根目录下有一个123.xls文件，winhex下查看文件共有7个碎片。现在删除这个文件，再用winhex分析查找到所有碎片，提取出来，最后在重组为一个文件，就是原来删除的123.xls 。

登录/注册后看高清大图

下面是恢复过程：打开winhex，根据目录项定位到他的文件头扇区。1591240 。

登录/注册后看高清大图

根据文件头中的参数跳转到ROOT所在扇区，查看workbook流的起始位置，为08 00 00 00，

登录/注册后看高清大图

跳转过去，

登录/注册后看高清大图

然后根据workbook流的结构关键字标识（比如字体，格式，样式，调色板，SST，sheet表等等）来分析当前碎片的结束位置和下一个碎片的开始位置。

当分析到1591271扇区时，发现下一扇区明显是另外一个复合文档的文件头，这说明1591271扇区就是第一个碎片的结束扇区，经过计算，这个扇区正好是198404号簇的最后一个扇区。

登录/注册后看高清大图

这样第一个碎片就确定了，1591240---1591271 ，提取出来保存为1.dat 。现在查找第二个碎片，我们利用下一个碎片第一个关键字标识距离碎片开始的字节长度为线索来查找。期间排出了几个错误的搜索结果，最后确认1591280扇区为下一个碎片的开始扇区。

登录/注册后看高清大图

下面继续分析，查找是碎片的结尾。通过分析搜索，在1592143扇区找到了碎片尾部，如图：

登录/注册后看高清大图

这样，第二个碎片就确定了，1591280---1592143。提取出来保存为2.dat。

下面查找第三个碎片的开始扇区，同样的思路。最终在1593840扇区找到了下一个碎片的开始扇区。如图：

登录/注册后看高清大图

继续分析查找碎片的结尾，在1594191扇区找到了碎片的结束扇区，如图：

登录/注册后看高清大图

这样，第三个碎片就确定了大小范围，1593840---1594191 。提取出来保存为3.dat 。继续分析搜索第四个碎片。我就不一一贴图了，以下是分析出的各碎片的范围：

4. 1595128---1596183

5. 1669056---1669631

6. 1745208---1745623

7. 1761672---1762887

最后把这提取出来的7个碎片文件合并成一个excel文件：recovery.xls 。然后打开验证

一下，如图：

登录/注册后看高清大图

没有任何问题，文件重组成功！

以上是我自己做的实验，在实际的重组过程中可能会碰到一些其他的问题。在这就不探讨了。此实验只是提供一种思路供大家参考，前提是要对workbook流的结构要有一定的了解才行。好了，就到这里，下次见！

会员839143 · 发表于 2014-8-18 05:26:59

好强大的说，我表示看不懂原理

会员836654 · 发表于 2014-8-18 06:13:20

如此牛叉，看我我的好好学学数据恢复。。。。。

会员877166 · 发表于 2014-8-18 07:03:55

呵，还真的，没有看懂啊，呵，太深了！！

会员653052 · 发表于 2014-8-18 08:16:57

只用过简单的数据恢复，重组这个鸟东西还真没弄过

会员893841 · 发表于 2014-8-18 08:32:14

这种数据修复方法有点复杂

会员683538 · 发表于 2014-8-18 08:44:07

这个真的要高手才能看懂啊。

会员255232 · 发表于 2014-8-18 09:11:23

真是遇到高手啊，太厉害了，羡慕啊

会员803171 · 发表于 2014-8-18 09:18:19

虽然看不懂但是感觉很厉害的样子

会员845190 · 发表于 2014-8-18 09:21:43

我觉的还是恢复工具好用！呵呵呵

会员669884 · 发表于 2014-8-18 09:40:27

这就是传说中的大神了。

会员774495 · 发表于 2014-8-18 10:29:49

哎，看不明白，也没有门路去学习

会员575828 · 发表于 2014-8-18 11:16:29

好的NB的样子，但看不懂啊。呵呵

会员302969 · 发表于 2014-8-18 11:19:32

yangchaoweixiu 发表于 2014-8-18 11:16
好的NB的样子，但看不懂啊。呵呵

仔细看看应该没问题。

会员302969 · 发表于 2014-8-18 11:20:01

鄢俊532245725 发表于 2014-8-18 10:29
哎，看不明白，也没有门路去学习

论坛就是很好的学习的地方。

会员302969 · 发表于 2014-8-18 11:21:21

honghai0605 发表于 2014-8-18 09:21
我觉的还是恢复工具好用！呵呵呵

恢复工具是程序是死的遇到解决不了的问题还是要手工解决。

会员302969 · 发表于 2014-8-18 11:21:47

xhnzxb 发表于 2014-8-18 09:18
虽然看不懂但是感觉很厉害的样子

这个不是这么复杂。

会员302969 · 发表于 2014-8-18 11:22:21

hxlzhwxzhan 发表于 2014-8-18 08:32
这种数据修复方法有点复杂

能否提供简单一些的方法。

会员871550 · 发表于 2014-8-18 13:35:42

牛叉的说。

会员934423 · 发表于 2014-8-31 23:21:47

取消文件删除标志，或者按FAT中的文件块的指针来查找下一个文件存储区。很久没玩FAT了，思路大概这样子的。写过ARM的SD 卡的 FAT驱动，搞这个就简单多了。

excel碎片重组

马上注册，获取阅读精华内容及下载权限

评分

相关帖子

点评

点评

点评

点评

点评

点评

浏览过的版块