此例要恢復(fù)的Excel電子表格大小為3.7M，去到WINHEX里面首先要確定文件的頭對(duì)不對(duì)

在這里可以看到文件大小為3.7M，初步看文件頭大小是對(duì)的

可以看到上圖標(biāo)記位置大小為3B000000=59，那么按照經(jīng)驗(yàn)可能估算文件大小約為60KB*59=3540KB，這跟目錄項(xiàng)的大小相近，那么這個(gè)頭應(yīng)該是對(duì)的。
接下來根據(jù)文檔MSAT（下圖標(biāo)記位置）去尋找文件的結(jié)尾

可以看到在最后一個(gè)MSAT為681D0000=7528，因?yàn)槲募﨧SAT的標(biāo)記為FDFFFFFF，他的相應(yīng)的偏移量為7528 MOD 128=104*4=416,于是可以搜索偏移量為416的地方搜索標(biāo)記FDFFFFFFFEFFFFFF（因?yàn)樽詈笠粋€(gè)主MSAT過后肯定是一個(gè)流的標(biāo)記，而流的標(biāo)記為FEFFFFFF，于是我們可以增加這個(gè)標(biāo)識(shí)來增大搜索的精準(zhǔn)度），如下圖所示：

一般搜索從文件頭的位置開始向下搜索。搜索到符合條件再要判斷他的扇區(qū)對(duì)應(yīng)位置對(duì)不對(duì)

如上圖，可以看到標(biāo)記位置ID為7469,那么第一個(gè)MSAT的位置則為7471（隔了8個(gè)字節(jié)），這時(shí)再看文件頭看是否第一個(gè)MSAT指向7471扇區(qū)。

如上圖第一個(gè)MSAT位置為7470，所對(duì)應(yīng)扇區(qū)為7471（因?yàn)槭窍鄬?duì)位置，所以要加1才是對(duì)應(yīng)的扇區(qū)位置），因此找到的這個(gè)位置有可能是文檔的尾巴，針對(duì)U盤做碎片重組，F(xiàn)AT32的文件系統(tǒng)里的XLS文檔多數(shù)是由兩個(gè)碎片組成，其中一個(gè)碎片一個(gè)是文件頭，由一個(gè)簇組成，除文件頭其它部分則為第二個(gè)碎片。因?yàn)榇朔N結(jié)構(gòu)的文檔最后一個(gè)扇區(qū)是目錄流，結(jié)構(gòu)如下圖：

可以看到最后一個(gè)扇區(qū)位置為146662，這個(gè)是該文檔的最后一個(gè)扇區(qū)，文件的第一個(gè)碎片為文檔頭開始的8個(gè)扇區(qū)，第二個(gè)碎片的大小則為除去文件頭后的大小，結(jié)束位置為146662扇區(qū)。而從文檔頭可以知道文檔的總大小。

從上圖可以看到文件的最后一個(gè)扇區(qū)為為7530，那么大小為7531（因?yàn)閺?開始計(jì)扇區(qū)），則碎片分為兩部分，分別是0-7，8-7530。于是第二個(gè)碎片的開始位置就可以算出來了，為146662-（7530-8）=139140，現(xiàn)在跳到這個(gè)扇區(qū)

可以看到139140扇區(qū)內(nèi)容明顯是Excel電子表格的頭內(nèi)容，那么把139140-146662的扇區(qū)段保存為另一個(gè)碎片，再跟第一段組合起來文件就可以正常打開了。

轉(zhuǎn)載請(qǐng)注明：成都千喜數(shù)據(jù)恢復(fù)中心 » Excel電子表格碎片手工重組詳解