数据备份与恢复 第2版教学课件复合文档头分析.pptxVIP

复合文档头分析主讲人：周宝 复合文档总体结构复合文档头分析 复合文档由复合文档头（header）和扇区列表组成，其中复合文档头的大小为512字节，扇区列表是由很多扇区组成，大小一致，扇区的大小在复合文档头中定义，通常为512字节。文档头扇区0扇区1扇区2扇区3扇区4… MSAT第一个扇区的SID文档文件标识SAT的总扇区数MSAT的总扇区数MSAT的第一部分复合文档头复合文档头分析 字节序复合文档头分析 目前在各种体系的计算机中通常采用的字节存储机制主要有两种：大端模式（Big-Endian）和小端模式（Little-Endian），在复合文档中采用的是小端模式进行存储。 小端模式：是指低位字节排放在内存的低地址端，高位字节排放在内存的高地址端。 大端模式：是指高位字节排放在内存的低地址端，低位字节排放在内存的高地址端。 例如： 以Little-Endian（小端模式）：DF 9B 57 13H 以Big-Endian（大端模式）： 13 57 9B DFHOffset(偏移) 0 1 2 3000000040 13 57 9B DF 偏移大小（字节）含义0x00-Ox078复合文档文件标识：D0 CF 11 E0 A1 B1 1A E1（十六进制值）0x08-0x01716此文件的唯一标识（一般情况下都为0）0x18-0x192文件格式修订