子任務(wù)1利用WinHex讀取DOC文件參數(shù)任務(wù)1DOC文件恢復(fù)項(xiàng)目8文件恢復(fù)讀取DOC文件頭主要參數(shù)01任務(wù)實(shí)施1（一）讀取DOC文件頭主要參數(shù)（共有2個(gè)步驟）步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開(kāi)它步驟二：讀取和記錄DOC文件頭參數(shù)一步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開(kāi)它在素材文件夾中，雙擊“8任務(wù)1-1-1.vhd.vhd”，然后運(yùn)行Winhex，打開(kāi)“HD1”，界面顯示該硬盤信息，此虛擬磁盤有個(gè)分區(qū)1。讀取DOC文件頭主要參數(shù)一1.打開(kāi)DOC文件頭點(diǎn)開(kāi)分區(qū)1，進(jìn)入分區(qū)1，在根目錄下雙擊打開(kāi)用戶文件“8任務(wù)1-1-1.DOC”，利用“專業(yè)工具”中“文件轉(zhuǎn)換為磁盤”功能把要讀取的文件“8任務(wù)1-1-1.DOC”轉(zhuǎn)換成磁盤來(lái)讀取。文件“8任務(wù)1-1-1.DOC”的文件頭如圖8-1所示。讀取DOC文件頭主要參數(shù)步驟二：讀取和記錄DOC文件頭參數(shù)圖8-1Winhex編輯窗口信息（文件“8任務(wù)1-1-1.DOC”的文件頭）圖一2.讀取文件頭參數(shù)根據(jù)表8-1（文件頭參數(shù)表），對(duì)應(yīng)讀取文件“8任務(wù)1-1-1.DOC”文件頭參數(shù)，記錄到表8-1，如表7-2所示。讀取DOC文件頭主要參數(shù)步驟二：讀取和記錄DOC文件頭參數(shù)表8-2文件“8任務(wù)1-1-1.DOC”的文件頭參數(shù)表偏移長(zhǎng)度值復(fù)合文件頭內(nèi)容0X0080XE11AB1A1E011CFD0復(fù)合文件標(biāo)識(shí)（文件頭簽名）0X08160X00該文件唯一性標(biāo)識(shí)（UTD）（不重要可以是全0）0X1820X3E文件格式修訂號(hào)（62）0X1A20X03文件格式版本號(hào)（3）0X1C20XFFFE字節(jié)順序：Little-Endian0X1E20X09復(fù)合文件中的sector的大小為9，即為2的9次冪，512bytes0X2020X06Short-sector的大小為6，即為2的6次冪，64bytes0X22100X00Notused0X2C40X01扇區(qū)分配表（SAT）所占的扇區(qū)數(shù)總數(shù)為10X3040X01扇區(qū)分配表（SAT）所占的扇區(qū)數(shù)總數(shù)為10X3440X00Notused0X3840X1000標(biāo)準(zhǔn)流的最小值4096bytes0X3C40X02短流扇區(qū)分配表的起始扇區(qū)號(hào)為20X4040X01短流扇區(qū)分配表占用扇區(qū)總數(shù)為10X4440XFFFFFFE主扇區(qū)分配表的起始扇區(qū)號(hào)為-2（沒(méi)有）0X4840X00主扇區(qū)配置表占用扇區(qū)數(shù)總數(shù)為0（沒(méi)有）4C40X00只有一個(gè)扇區(qū)分配表，扇區(qū)號(hào)為0感謝觀看THANKSFORWATCHING子任務(wù)2利用WinHex恢復(fù)DOC文件任務(wù)1DOC文件恢復(fù)項(xiàng)目8文件恢復(fù)恢復(fù)受破壞DOC文件01任務(wù)實(shí)施2（一）恢復(fù)受破壞DOC文件（共有3個(gè)步驟）步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開(kāi)它步驟二：確認(rèn)DOC文件頭被破壞步驟三：恢復(fù)DOC文件頭一步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開(kāi)它在素材文件夾中，雙擊“8任務(wù)1-1-1.vhd.vhd”，然后運(yùn)行Winhex，打開(kāi)“HD1”，界面顯示該硬盤信息，此虛擬磁盤有個(gè)分區(qū)1?；謴?fù)受破壞DOC文件步驟二：確認(rèn)DOC文件頭被破壞點(diǎn)開(kāi)分區(qū)1，進(jìn)入分區(qū)1，在根目錄下雙擊打開(kāi)用戶文件“8任務(wù)1-2-1.DOC”，利用“專業(yè)工具”中“文件轉(zhuǎn)換為磁盤”功能把要讀取的文件“8任務(wù)1-1-1.DOC”轉(zhuǎn)換成磁盤來(lái)讀取。發(fā)現(xiàn)文件“8任務(wù)1-2-1.DOC”的文件頭所在扇區(qū)0全被清零。一步驟三：恢復(fù)DOC文件頭1.修復(fù)扇區(qū)分配表（SAT）所占的扇區(qū)總數(shù)扇區(qū)分配表（SAT）類似FAT表，扇區(qū)分配表（SAT）標(biāo)志為“FDFFFFFF”，一個(gè)扇區(qū)分配表（SAT）有一個(gè)標(biāo)志。在需要修復(fù)的文件中使用Winhex搜索“FDFFFFFF”，僅找到一次（相對(duì)扇區(qū)號(hào)1，偏移0X200?0X03），扇區(qū)分配表（SAT）所占的扇區(qū)總數(shù)為1，起始扇區(qū)為0（相對(duì)扇區(qū)號(hào)1-1）。2.修復(fù)短流扇區(qū)分配表目錄起始扇區(qū)號(hào)短流扇區(qū)分配表目錄的標(biāo)志為“RootEntry”，在需要修復(fù)的文件中使用Winhex搜索文本“Root”，在相對(duì)扇區(qū)號(hào)2找到它，得到目錄流的SecID為1(相對(duì)扇區(qū)號(hào)2-1），即目錄流的起始扇區(qū)號(hào)為1?；謴?fù)受破壞DOC文件一步驟三：恢復(fù)DOC文件頭3.修復(fù)短流扇區(qū)分配表的起始扇區(qū)號(hào)及占用扇區(qū)總數(shù)短流扇區(qū)分配表目錄的第一表項(xiàng)0X74?0X07處的4個(gè)字節(jié)表示的是短流的相對(duì)扇區(qū)號(hào)3（3H），0X78?0X7B處的4個(gè)字節(jié)為短流的大小4,672字節(jié)（1240H）。跳轉(zhuǎn)至扇區(qū)3，發(fā)現(xiàn)短流扇區(qū)分配表占292字節(jié)（偏移0X600?0X723），不滿1個(gè)扇區(qū)，按1個(gè)扇區(qū)算。另外，其表項(xiàng)指向73個(gè)扇區(qū)，即短流共4672字節(jié)（73扇區(qū)×64字節(jié)/扇區(qū)=4672字節(jié)），這值與格式參數(shù)一致。短流扇區(qū)分配表的起始扇區(qū)號(hào)為2（相對(duì)扇區(qū)號(hào)3-1=2），短流扇區(qū)分配表占用扇區(qū)總數(shù)為1.4.修復(fù)主扇區(qū)分配表的起始扇區(qū)號(hào)及其占用扇區(qū)總數(shù)因文件只有100個(gè)扇區(qū)，小于13,952個(gè)扇區(qū)，屬于小文件，故主扇區(qū)分配表的起始扇區(qū)號(hào)及其占用扇區(qū)總數(shù)以小文件確定，即主扇區(qū)分配表的起始扇區(qū)號(hào)為-2，及主扇區(qū)分配表占用扇區(qū)總數(shù)為0。恢復(fù)受破壞DOC文件一步驟三：恢復(fù)DOC文件頭5.確定文件頭主要參數(shù)根據(jù)步驟一?步驟五，得出文件頭主要參數(shù)如表8-3所示?；謴?fù)受破壞DOC文件表8-3文件“8任務(wù)1-2-1.DOC”的文件頭參數(shù)表偏移長(zhǎng)度值復(fù)合文件頭主要參數(shù)0X2C40X01扇區(qū)分配表（SAT）所占的扇區(qū)數(shù)總數(shù)為10X3040X01扇區(qū)分配表（SAT）所占的扇區(qū)數(shù)總數(shù)為1,標(biāo)志0XDFFFFFFF，一個(gè)標(biāo)志占一個(gè)扇區(qū)。0X3440X00Notused0X3840X1000標(biāo)準(zhǔn)流的最小值4096bytes0X3C40X02短流扇區(qū)分配表的起始扇區(qū)號(hào)為20X4040X01短流扇區(qū)分配表占用扇區(qū)總數(shù)為10X4440XFFFFFFE主扇區(qū)分配表的起始扇區(qū)號(hào)為-20X4840X00主扇區(qū)配置表占用扇區(qū)數(shù)總數(shù)為04C40X00只有一個(gè)扇區(qū)分配表，扇區(qū)號(hào)為0，其余每4個(gè)字節(jié)全為0XFFFFFFFF，或0X000000。一步驟三：恢復(fù)DOC文件頭6.復(fù)制一個(gè)小文件（DOC)的文件頭，然后按步驟六得的參數(shù)修改復(fù)制一個(gè)小文件（DOC)的文件頭到用戶損壞文件“8任務(wù)1-2-1.DOC”的文件頭處，然后根據(jù)步驟六得到