数据恢复实用技术课件：修复常见文件.pptx

修复常见文件

任务8.1修复复合文档

8.1.1复合文档的数据结构复合文档是一种多元化文档，可以包含文本、图形、电子表格数据、声音、视频图像以及其他信息。复合文档分为从大到小三层关系：仓库（Storages）、流（Streams）、数据扇区（sectors），三者关系为树形关系。Sector1Sector2Sector3RootStorageStorage1Stream1Stream2Storage2Stream3Stream4Stream21Stream22Stream23Stream1数据扇区中可能包含控制数据或用户数据。文档头数据扇区1数据扇区2数据扇区3……数据扇区N整个复合文档文件由一个头结构及其后所有数据扇区组成，扇区大小在头结构中定义，且每个扇区大小相同。图8-2复合文档结构

8.1.1复合文档的数据结构扇区与扇区标识文件中的数据扇区（sectors）依次编号（从0开始），扇区的编号称为扇区标识（SID：sectoridentifier）。SID是一个有符号的32位的整型值如果SID的值非负，则表示数据扇区被使用，存有数据；如果为负，就表示特殊含义。SID名称含义–1FreeSID空闲sector，可存在于文件中，但不是任何流的组成部分。–2EndOfChainSIDSID链的结束标记–3SATSID此Sector用于存放扇区配置表（SAT）–4MSATSID此Sector用于存放主扇区配置表（MSAT）表8-1特殊的SID表2.扇区链与扇区标识链用于存储流数据的所有扇区的列表叫做扇区链（SectorChain），扇区可以无序存放。用于存放一个流的扇区顺序的SID数组称为SID链（SIDchain）。扇区链以EndOfChainSID（-2）为结束标记。

8.1.1复合文档的数据结构3.复合文档头复合文档头位于文件的首扇区，占512字节，第一个数据扇区（Sector）的开始相对于文件的偏移量为512字节。偏移量字节大小含义00H-07H8复合文档文件标识：D0CF11E0A1B11AE108H-17H16此文件的唯一标识(不重要,可全部为0)18H-19H2文件格式修订号(一般为003EH)1AH-1BH2文件格式版本号(一般为0003H)1CH-1DH2字节顺序规则标识：FFFEH表示Little-Endian；FFFEH表示Big-Endian1EH-1FH2复合文档中扇区的大小(ssz)，以2的幂形式存储,扇区实际大小为s_size=2ssz字节(一般为9即512字节,最小值为7即128字节)20H-21H2短扇区的大小，以2的幂形式存储,短扇区实际大小为s_s_size=2sssz字节(一般为6即64字节，最大为扇区的大小)22H-2BH10未使用2CH-2FH4用于存放扇区配置表（SAT）的扇区总数30H-33H4用于存放目录流的第一个扇区的SID34H-37H4未使用38H-3BH4标准流的最小值(一般为4096bytes),小于此值的流即为短流。3CH-3FH4用于存放短扇区配置表（SSAT）的第一个扇区的SID,如为–2则表示不存在短扇区。40H-43H4存放短扇区配置表（SSAT）的扇区总数。如3CH-3FH为-2，则此处为0。44H-47H4用于存放主扇区配置表（MSAT）的第一个扇区的SID,，如为–2则表示无附加的扇区。48H-4BH4用于存放主扇区配置表（MSAT）的扇区总数4CH-436存放主扇区配置表（MSAT）的第一部分，包含109个SID。?表8-2复合文档头参数

8.1.1复合文档的数据结构4.主扇区配置表主扇区配置表（MSAT,MasterSectorAllocationTable）是一个SID数组，表示所有用于存放扇区配置表（SAT：sectorallocationtable）的扇区SID。MSAT的大小（SID的个数）就等于存放SAT的扇区数，在文档头中有相关参数存放。MSAT的前109个SID存放于文档头中，如果一个MSAT的SID数多余109个，那么多出来的SID将存放于扇区中，文档头中指明用于存放MSAT的第一个扇区的SID。5.扇区配置表扇区配置表（SAT，sectorallocationtable）是一个SID数组，包含所有用户流（短流除外）和内部控制流的SID链。SAT的大小（SID个数）就等于复合文档中所存在的扇区个数。SAT的建立就是通过按顺序读取MSAT中指定扇区的内容。

8.1.1复合文档的数据结构6.目录目录（directory）是一种内部控制流，由一系列目录入口（directoryentry）组成。每一个目录入口都指向复合文档的一个仓库或流。目录入口以其在目录流