子任務(wù)2利用WinHex恢復(fù)DOC文件任務(wù)1DOC文件恢復(fù)項(xiàng)目8文件恢復(fù)恢復(fù)受破壞DOC文件01任務(wù)實(shí)施2（一）恢復(fù)受破壞DOC文件（共有3個(gè)步驟）步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它步驟二：確認(rèn)DOC文件頭被破壞步驟三：恢復(fù)DOC文件頭一步驟一：附加虛擬磁盤，運(yùn)行Winhex并打開它在素材文件夾中，雙擊“8任務(wù)1-1-1.vhd.vhd”，然后運(yùn)行Winhex，打開“HD1”，界面顯示該硬盤信息，此虛擬磁盤有個(gè)分區(qū)1。恢復(fù)受破壞DOC文件步驟二：確認(rèn)DOC文件頭被破壞點(diǎn)開分區(qū)1，進(jìn)入分區(qū)1，在根目錄下雙擊打開用戶文件“8任務(wù)1-2-1.DOC”，利用“專業(yè)工具”中“文件轉(zhuǎn)換為磁盤”功能把要讀取的文件“8任務(wù)1-1-1.DOC”轉(zhuǎn)換成磁盤來(lái)讀取。發(fā)現(xiàn)文件“8任務(wù)1-2-1.DOC”的文件頭所在扇區(qū)0全被清零。一步驟三：恢復(fù)DOC文件頭1.修復(fù)扇區(qū)分配表（SAT）所占的扇區(qū)總數(shù)扇區(qū)分配表（SAT）類似FAT表，扇區(qū)分配表（SAT）標(biāo)志為“FDFFFFFF”，一個(gè)扇區(qū)分配表（SAT）有一個(gè)標(biāo)志。在需要修復(fù)的文件中使用Winhex搜索“FDFFFFFF”，僅找到一次（相對(duì)扇區(qū)號(hào)1，偏移0X200?0X03），扇區(qū)分配表（SAT）所占的扇區(qū)總數(shù)為1，起始扇區(qū)為0（相對(duì)扇區(qū)號(hào)1-1）。2.修復(fù)短流扇區(qū)分配表目錄起始扇區(qū)號(hào)短流扇區(qū)分配表目錄的標(biāo)志為“RootEntry”，在需要修復(fù)的文件中使用Winhex搜索文本“Root”，在相對(duì)扇區(qū)號(hào)2找到它，得到目錄流的SecID為1(相對(duì)扇區(qū)號(hào)2-1），即目錄流的起始扇區(qū)號(hào)為1。恢復(fù)受破壞DOC文件一步驟三：恢復(fù)DOC文件頭3.修復(fù)短流扇區(qū)分配表的起始扇區(qū)號(hào)及占用扇區(qū)總數(shù)短流扇區(qū)分配表目錄的第一表項(xiàng)0X74?0X07處的4個(gè)字節(jié)表示的是短流的相對(duì)扇區(qū)號(hào)3（3H），0X78?0X7B處的4個(gè)字節(jié)為短流的大小4,672字節(jié)（1240H）。跳轉(zhuǎn)至扇區(qū)3，發(fā)現(xiàn)短流扇區(qū)分配表占292字節(jié)（偏移0X600?0X723），不滿1個(gè)扇區(qū)，按1個(gè)扇區(qū)算。另外，其表項(xiàng)指向73個(gè)扇區(qū)，即短流共4672字節(jié)（73扇區(qū)×64字節(jié)/扇區(qū)=4672字節(jié)），這值與格式參數(shù)一致。短流扇區(qū)分配表的起始扇區(qū)號(hào)為2（相對(duì)扇區(qū)號(hào)3-1=2），短流扇區(qū)分配表占用扇區(qū)總數(shù)為1.4.修復(fù)主扇區(qū)分配表的起始扇區(qū)號(hào)及其占用扇區(qū)總數(shù)因文件只有100個(gè)扇區(qū)，小于13,952個(gè)扇區(qū)，屬于小文件，故主扇區(qū)分配表的起始扇區(qū)號(hào)及其占用扇區(qū)總數(shù)以小文件確定，即主扇區(qū)分配表的起始扇區(qū)號(hào)為-2，及主扇區(qū)分配表占用扇區(qū)總數(shù)為0。恢復(fù)受破壞DOC文件一步驟三：恢復(fù)DOC文件頭5.確定文件頭主要參數(shù)根據(jù)步驟一?步驟五，得出文件頭主要參數(shù)如表8-3所示。恢復(fù)受破壞DOC文件表8-3文件“8任務(wù)1-2-1.DOC”的文件頭參數(shù)表偏移長(zhǎng)度值復(fù)合文件頭主要參數(shù)0X2C40X01扇區(qū)分配表（SAT）所占的扇區(qū)數(shù)總數(shù)為10X3040X01扇區(qū)分配表（SAT）所占的扇區(qū)數(shù)總數(shù)為1,標(biāo)志0XDFFFFFFF，一個(gè)標(biāo)志占一個(gè)扇區(qū)。0X3440X00Notused0X3840X1000標(biāo)準(zhǔn)流的最小值4096bytes0X3C40X02短流扇區(qū)分配表的起始扇區(qū)號(hào)為20X4040X01短流扇區(qū)分配表占用扇區(qū)總數(shù)為10X4440XFFFFFFE主扇區(qū)分配表的起始扇區(qū)號(hào)為-20X4840X00主扇區(qū)配置表占用扇區(qū)數(shù)總數(shù)為04C40X00只有一個(gè)扇區(qū)分配表，扇區(qū)號(hào)為0，其余每4個(gè)字節(jié)全為0XFFFFFFFF，或0X000000。一步驟三：恢復(fù)DOC文件頭6.復(fù)制一個(gè)小文件（DOC)的文件頭，然后按步驟六得的參數(shù)修改復(fù)制一個(gè)小文件（DOC)的文件頭到用戶損壞文件“8任務(wù)1-2-1.DOC”的文件頭處，然后根據(jù)步驟六得到的參數(shù)逐個(gè)對(duì)應(yīng)修改，最后保存，得到修復(fù)到后的文件頭，如圖8-2所示。恢復(fù)受破壞DOC文件圖8-2Winhe