diskgenius
硬盘数据恢复基地 门户 数据恢复 文档 查看内容

XLS数据恢复之碎片重组

2015-4-2 10:52| 发布者: 蝴蝶| 查看: 11729| 评论: 29

摘要: Excel文档误删除或误操作导致后用数据恢复软件找回来发现文件打不开,为什么恢复的Excel文档打开是乱码或者不对呢?下面一例Excel文档碎片数据恢复文件头损坏导致损坏是其中的一种。 此例要恢复的XLS大小为3.7M ...
       Excel文档误删除或误操作导致后用数据恢复软件找回来发现文件打不开,为什么恢复的Excel文档打开是乱码或者不对呢?下面一例Excel文档碎片数据恢复文件头损坏导致损坏是其中的一种。

       此例要恢复的XLS大小为3.7M,去到WINHEX里面首先要确定文件的头对不对

001.png

       在这里可以看到文件大小为3.7M,初步看文件头大小是对的

002.png

       可以看到上图标记位置大小为3B000000=59,那么按照经验可能估算文件大小约为60KB*59=3540KB,这跟目录项的大小相近,那么这个头应该是对的。

       接下来根据文档MSAT(下图标记位置)去寻找文件的结尾

003.png

       可以看到在最后一个MSAT为681D0000=7528,因为文件MSAT的标记为FDFFFFFF,他的相应的偏移量为7528 MOD 128=104*4=416,于是可以搜索偏移量为416的地方搜索标记FDFFFFFFFEFFFFFF(因为最后一个主MSAT过后肯定是一个流的标记,而流的标记为FEFFFFFF,于是我们可以增加这个标识来增大搜索的精准度),如下图所示:

004.png

       一般搜索从文件头的位置开始向下搜索。搜索到符合条件再要判断他的扇区对应位置对不对

005.png

如上图,可以看到标记位置ID为7469,那么第一个MSAT的位置则为7471(隔了8个字节),这时再看文件头看是否第一个MSAT指向7471扇区。

006.png

       如上图第一个MSAT位置为7470,所对应扇区为7471(因为是相对位置,所以要加1才是对应的扇区位置),因此找到的这个位置有可能是文档的尾巴,针对U盘做碎片重组,FAT32的文件系统里的XLS文档多数是由两个碎片组成,其中一个碎片一个是文件头,由一个簇组成,除文件头其它部分则为第二个碎片。因为此种结构的文档最后一个扇区是目录流,结构如下图:

007.png

       可以看到最后一个扇区位置为146662,这个是该文档的最后一个扇区,文件的第一个碎片为文档头开始的8个扇区,第二个碎片的大小则为除去文件头后的大小,结束位置为146662扇区。而从文档头可以知道文档的总大小。

008.png

       从上图可以看到文件的最后一个扇区为为7530,那么大小为7531(因为从0开始计扇区),则碎片分为两部分,分别是0-7,8-7530。于是第二个碎片的开始位置就可以算出来了,为146662-(7530-8)=139140,现在跳到这个扇区

009.png

       可以看到139140扇区内容明显是XLS的头内容,那么把139140-146662的扇区段保存为另一个碎片,再跟第一段组合起来文件就可以正常打开了。
3

开心
1

鄙视
5

鼓掌

愤怒

可怜

刚表态过的朋友 (9 人)

发表评论

最新评论

引用 heyun234 2014-12-23 09:01
不错  谢谢楼主了
引用 英胜数据恢复 2014-12-23 11:43
恩。。。。。
只有两个,运气好。。。
引用 15770134380 2014-12-23 15:42
如果多个文件碎片呢?请教高手
引用 happy2011 2014-12-24 08:41
good~~~~~~~~~~~~~~~~~
引用 laxiaota 2014-12-25 01:32
备受启发,好帖子已经收藏,非常感谢楼主的高技术含量帖子!
引用 puteng 2014-12-27 17:20
写得太好。。但还没看懂。。新手。。。
引用 xiongdeyuan 2014-12-28 10:59
不错,谢谢分享
引用 jhg315806721 2015-1-17 16:48
好贴  必顶
引用 pgxp 2015-1-18 20:54
谢谢楼主提供,学习了
引用 q837766242 2015-1-19 16:42
厉害。学习了。
引用 doolittle 2015-1-31 11:13
顶顶顶顶顶顶顶顶顶顶顶顶
引用 cheshi88 2015-2-11 18:41
感谢,得仔细学习下。
引用 ltqbbs 2015-2-21 09:37
学习。。。。。学习。。。。。学习。。。。。
引用 exlshi 2015-2-27 10:27
感谢楼主分享
引用 doolittle 2015-3-5 13:50
顶顶顶顶顶顶顶
引用 the263 2015-3-26 16:58
很不错的文章,收藏了。
引用 xjtpolice 2015-3-29 14:14
备受启发,好帖子已经收藏,非常感谢楼主的高技术含量帖子!
引用 nanflynoob 2015-4-6 09:13
帖子是好贴呀
引用 ch7213851 2015-9-3 11:21
电脑维修,网络维护,手机刷机救砖,文件丢失数据恢复,打印机加粉!

查看全部评论(29)

返回顶部