微软复合文档结构分析及其文件恢复.pdfVIP

—-546—— 2011司孝皇叫釜定-W．论与实践研讨啕崎仑文j‘ 微软复合文档结构分析及文件恢复 沙晶 钱伟 (公安部第三研究所信息网络安全公安部重点实验室，上海200035) 【摘要】本文分析了微软复合文档类型的结构，对于数据恢复中因文件头损坏不能正常打开的情况，可通过分析整个文件 结构，合理重构文件头，修复文件。 【关键词】微软复合文档；文件结构；数据恢复 1 引言 很多情况下，电子数据司法鉴定所分析的关键电子文档由于文件头的损坏，不能正常打开，但可以根据 文件头的特征分析整个文件结构，合理的构造文件头，还原数据的本来面目，这种方式也称为数据雕刻。 2电子文档结构分析 数据雕刻首先要了解各类文档的文件结构，各类电子文档中应用最广泛的是微软的office系列电子文档。 下面简单对Microsoft “doc”，虽然．doc文件是微软的Word程序产生的。但同样用WordPad、OpenOffice等程序也可以打开。同时 Word(97．2003)的．doc文件结构与Word(2007)的．docx是完全不同的。 Microsoft Office的Word(97．2007)生成的文档的结构属于Microsoft CompoundDocument即微软复合文 档类型，微软复合文档这种结构有着广泛的应用，比如WINXP操作系统中的Thumbs文件也是一种微软复 合文档。 目录下面可以有子目录，目录和子目录中包含了文件“stream”。一个stream就相当于磁盘上的一个文件，整 个复合文档就形成了一个类似于磁盘上的目录和文件所组成的树状结构。应用软件对复合文件进行读写，就 像文件系统读写文件和目录一样，可以显示所有的目录和文件，可以打开一个指定的目录，也可以读写其中 的一个“stream”。下图1是微软符合文档结构的示意图。 每个复合文件都有一个根仓库(Root 不能同名，一个流(stream)可以属于多个仓库(storage)。复合文件这些特点与文件系统也是一致的。 圈1复合文档结构示意图 SymposiumonFOmnslcTheoryondPmctIce 复旨文件头文件格式 以上给出的是复合文件攫型的基础知识，复合文档结构比较复杂，但了解这种类型的文件结构对鉴定 数据的控索、数据的提取有实际意义。同时馓软提供了MicrosolEo币cc 用offvis【具分析复合文档结构的示意图。 蚕篓嚣篓 ； 瑟瑟篓 曼瑟瑟篓 ；～曩篓銎= 嚣嚣蠹 ———。!=2=等 圈2 fflf”sl具分析复台i档结构 3微软复合文档结构头部数据重构 下面报据复古文梢的数据结构举耐说田头群数据损坏的数据还原方法，方法是拷贝一十正常的文件头至 文件的】扇区，然后修改相应参数。需要修改的参数有： 2011司*士，皿*屿g；盥目Ht量悖支泰 0000 文件头部偏移量30处应填人的参数为2B 00(为4字节)。 0¨￡et口f34 5口1…自cD￡F 000051D0fFFFFFfrFFFF～FF～H口H