无视Winhex脚本——提取DocumentSummaryInformation或者短流（原创）

台州数据恢复 · 发表于 2011-12-14 11:59:39

//作者：台州无视数据恢复 QQ：1396459283
Open H:
Assign n 0
Assign sc 58 //最近的SAT SID与DocumentSummaryInformation相差的扇区数
Assign dsis 3 //DocumentSummaryInformation的扇区数,如DocumentSummaryInformation是短流，则为短流扇区数
Assign sctb (sc*512) //最近的SAT SID与DocumentSummaryInformation(如其是短流，则与短流)相差的字节数
Assign dsistb (dsis*512)
{
Find 0xFEFF0000050102000000000000000000 Down
IfFound
Block1 CurrentPos
Assign my1 CurrentPos
Move (sctb*(-1))
Read my2 4
Move -4
Assign my3 CurrentPos
Move (sctb+511+dsistb)
IfEqual my2 0x010B0000 //SAT SID偏移0字节的4字节16进制值
Block2 CurrentPos
MessageBox my3
EndIf
EndIf
CopyIntoNewFile "D:\wushi\dsi+n"
Inc n
}[unlimited]