】復合文檔損壞，如何快速手動修復？

　　俗話說，學以致用，知行合一。本期源妹除了分享實操方法，實操練習題也給大家安排上了：

　　關于復合文檔

　　復合文檔是一種多元化文檔，不僅包含傳統意義上的文本，還包括圖形、電子表格數據、聲音、視頻圖像以及其他信息，它的廣泛應用極大的滿足了現代化辦公需求，同時復合文檔的數據恢復已經成為現在數據恢復領域中一項重要內容，尤其是以文件頭故障最為普遍。

　　當然，不同版本文件結構不同，本期#技術實戰#源妹從具體實際案例出發，給大家分享有關手動修復損壞復合文檔的其中一種方法，希望對你有一定參考價值！

　　一

　　案件詳情

　　在一次案件偵破中，辦案人員需要恢復嫌疑人計算機中的文檔文件，通過數據恢復工具恢復了所需文檔文件，但是部分office文件無法打開或者打開亂碼，如下圖1、圖2所示：

　　圖1 文件無法打開

　　圖2 文件打開亂碼

　　二

　　恢復思路

　　我們首先來對比分析損壞文檔的文件頭，如圖3所示，用winhex打開后將其轉換成扇區進行分析，通過對比初步判斷是復合文件頭結構損壞導致文檔無法打開。

　　圖3 復合文件頭結構對比

　　三

　　恢復方法

　　確認是由于文件頭結構損壞導致文件無法打開，我們接下來就可以分析復合文檔結構，通過手動重建復合文件頭達到修復損壞復合文件的目的。

　　修復文件頭的數據只需計算填寫以下幾項：

　　?扇區分配表（SAT）所占的扇區數；

　　?目錄流的起始扇區數；

　　?短流扇區分配表（SSAT）的起始扇區號及占用扇區數；

　　?主扇區分配表（MSAT）的起始扇區號及占用扇區數；

　　?扇區分配表的扇區號。

　　其他內容所有的復合文檔都是一樣，從正常文件拷貝過來即可。

　　四

　　具體恢復步驟

　　1、打開復合文檔

　　使用winhex工具打開損壞復合文檔以及正常復合文檔；

　　圖4 打開復合文檔

　　2、將頁轉換成扇區

　　winhex打開之后將頁轉換成扇區進行分析；

　　圖5 將頁轉換成扇區

　　3、復制文件頭

常州數據恢復

　　復制正常復合文檔的文件頭覆蓋掉損壞的文件頭，然后逐一修改相應參數；

　　圖6 復制文件頭

　　4、定位目錄流扇區起始扇區

　　目錄流標志是“root entry”，十六進制搜索“52006F00”，偏移位置512=0，如圖5所示，在41扇區找到目錄流起始扇區，確定了目錄流的起始扇區的參數為41-1=40，用十六進制表示就是28；

　　圖7 定位目錄流起始扇區

　　5、短流開始位置及大小

　　接著我們找短流（SSAT）。根據復合文檔定義，目錄流的第一表項0x74處的4個字節表示的是短流的起始扇區，如圖6中十六進制2B000000值為43，就是短流的開始。

　　開始扇區為43-1=42，十六進制值為2A，0x78處的4個字節表示的是短流的大小，大小就是十六進制800000，等于128/64=2，只有兩項就是占用一個扇區，大小就是1；

　　圖8 短流開始位置及大小

　　6、確定扇區分配表（SAT）

　　通過十六進制搜索“01000000”，偏移位置為512=0，如圖9所示，在40扇區找到標準扇區配置表，看到扇區中有一個“FDFFFFFF”,就可以確定就是SAT了。

　　最后一項SAT配置表中會有FDFFFFFF的值，表示這是一個SAT配置表的結束，并且有幾個FDFFFFFF就代表有幾個SAT配置表。本案例中只有一個FDFFFFFF那就只有一項SAT配置表；

　　圖9 確定扇區分配表

　　7、確定主扇區分配表（MSAT）的起始扇區號

　　主扇區分配表（MSAT）中存放的是扇區分配表（SAT）所在的扇區號。

　　本例中，扇區分配表（SAT）只有一個，根據復合文檔的格式定義，文件頭中可以存放109項SAT值，也就是說，只要文件的扇區分配表不大于109個，就不需要主扇區分配表。（嚴格的說是不需要額外的主扇區分配表，因為文件頭就可以容納下了，主扇區分配表（MSAT）是在SAT多于109項時，剩下的值用指定的扇區來記錄！）

　　根據定義，無額外主扇區分配表（MSAT）時，主扇區分配表的起始扇區號為-2，十六進制表示為FEFFFFFF，它占用的扇區數為0；

　　8、修復文件頭

　　關鍵值都計算出來后總結一下算好的值，然后手動填寫文件頭信息，修復后文件頭如圖10所示，保存文件，此時文檔仍然無法打開；

　　圖10 修復文件頭

　　9、修復文件內容

　　“