计算机检测维修与数据恢复（上册）课件 子任务2 利用WinHex恢复DOC文件.pptx

子任务2利用WinHex恢复DOC文件任务1DOC文件恢复项目8文件恢复

恢复受破坏DOC文件01

任务实施2（一）恢复受破坏DOC文件（共有3个步骤）步骤一：附加虚拟磁盘，运行Winhex并打开它步骤二：确认DOC文件头被破坏步骤三：恢复DOC文件头

一步骤一：附加虚拟磁盘，运行Winhex并打开它在素材文件夹中，双击“8任务1-1-1.vhd.vhd”，然后运行Winhex，打开“HD1”，界面显示该硬盘信息，此虚拟磁盘有个分区1。恢复受破坏DOC文件步骤二：确认DOC文件头被破坏点开分区1，进入分区1，在根目录下双击打开用户文件“8任务1-2-1.DOC”，利用“专业工具”中“文件转换为磁盘”功能把要读取的文件“8任务1-1-1.DOC”转换成磁盘来读取。发现文件“8任务1-2-1.DOC”的文件头所在扇区0全被清零。

一步骤三：恢复DOC文件头1.修复扇区分配表（SAT）所占的扇区总数扇区分配表（SAT）类似FAT表，扇区分配表（SAT）标志为“FDFFFFFF”，一个扇区分配表（SAT）有一个标志。在需要修复的文件中使用Winhex搜索“FDFFFFFF”，仅找到一次（相对扇区号1，偏移0X200?0X03），扇区分配表（SAT）所占的扇区总数为1，起始扇区为0（相对扇区号1-1）。2.修复短流扇区分配表目录起始扇区号短流扇区分配表目录的标志为“RootEntry”，在需要修复的文件中使用Winhex搜索文本“Root”，在相对扇区号2找到它，得到目录流的SecID为1(相对扇区号2-1），即目录流的起始扇区号为1。恢复受破坏DOC文件

一步骤三：恢复DOC文件头3.修复短流扇区分配表的起始扇区号及占用扇区总数短流扇区分配表目录的第一表项0X74?0X07处的4个字节表示的是短流的相对扇区号3（3H），0X78?0X7B处的4个字节为短流的大小4,672字节（1240H）。跳转至扇区3，发现短流扇区分配表占292字节（偏移0X600?0X723），不满1个扇区，按1个扇区算。另外，其表项指向73个扇区，即短流共4672字节（73扇区×64字节/扇区=4672字节），这值与格式参数一致。短流扇区分配表的起始扇区号为2（相对扇区号3-1=2），短流扇区分配表占用扇区总数为1.4.修复主扇区分配表的起始扇区号及其占用扇区总数因文件只有100个扇区，小于13,952个扇区，属于小文件，故主扇区分配表的起始扇区号及其占用扇区总数以小文件确定，即主扇区分配表的起始扇区号为-2，及主扇区分配表占用扇区总数为0。恢复受破坏DOC文件

一步骤三：恢复DOC文件头5.确定文件头主要参数根据步骤一?步骤五，得出文件头主要参数如表8-3所示。恢复受破坏DOC文件表8-3文件“8任务1-2-1.DOC”的文件头参数表偏移长度值复合文件头主要参数0X2C40X01扇区分配表（SAT）所占的扇区数总数为10X3040X01扇区分配表（SAT）所占的扇区数总数为1,标志0XDFFFFFFF，一个标志占一个扇区。0X3440X00Notused0X3840X1000标准流的最小值4096bytes0X3C40X02短流扇区分配表的起始扇区号为20X4040X01短流扇区分配表占用扇区总数为10X4440XFFFFFFE主扇区分配表的起始扇区号为-20X4840X00主扇区配置表占用扇区数总数为04C40X00只有一个扇区分配表，扇区号为0，其余每4个字节全为0XFFFFFFFF，或0X000000。

一步骤三：恢复DOC文件头6.复制一个小文件（DOC)的文件头，然后按步骤六得的参数修改复制一个小文件（DOC)的文件头到用户损坏文件“8任务1-2-1.DOC”的文件头处，然后根据步骤六得到的参数逐个对应修改，最后保存，得到修复到后的文件头，如图8-2所示。恢复受破坏DOC文件图8-2Winhex编辑窗口信息（修复后“8任务1-2-1.DOC”的文件头）图至此，整个文件头部修复完毕，文件被修复还原，能正常打开。

感谢观看THANKSFORWATCHING