版主请进，新手关于DOC文档数据恢复讨论！！！（WINHEX）
大家好，我是一名WINHEX初学者，关于DOCXLS文档，向大家请教！！！想知道，一DOC文档删除后，其在目录顼写入E5删除标记，接着其FAT表顼也被清空， 这种情况下，如果我们要恢复数据的话，大家有什么方法？我们只能在文件目录顼中找到该文件的起始簇和文件大少，但是如果要恢复数据，我们怎么找它的下一簇呢？这是个很头痛的问题，小弟想了很久都想不出好方法，当然，如果它的文件簇如果是继续连接的那才好办，但是如果不是，想问一下版主和各位老大，你们是怎么把数据恢复出来的？ 期待高手回答.. 你用不用这么大个字啊，吓死俺了~ 字大好引起高手的注意嘛
呵呵
不过我知道答案了，不连续的和覆盖的是无法恢复的，只有连续的才能恢复 但是我不理解的是 如果一个DOC文件是连续的，以删除了，现在、、FAT表也清了，现在我们要把他恢复出来，知道了第一簇，但是我们应该怎么确定它的最后一簇呢？
还请版主和高手们指点指点，谢谢~~~ 但是我不理解的是 如果一个DOC文件是连续的，以删除了，现在、、FAT表也清了，现在我们要把他恢复出来，知道了第一簇，但是我们应该怎么确定它的最后一簇呢？
还请版主和高手们指点指点，谢谢~~~
rma77 发表于 2009-12-17 20:27 http://bbs.intohard.com/images/common/back.gif
看目錄不就知道它的大小了?直接選取開始到結束扇區,然後另存成一個文件,然後改成 *.doc就ok
看目錄不就知道它的大小了?直接選取開始到結束扇區,然後另存成一個文件,然後改成 *.doc就ok
dgtan 发表于 2009-12-18 15:40 http://bbs.intohard.com/images/common/back.gif
我是按照目录上的文件大小找的，如上面大小16进为00 40 02 00换为十进为576 字节，起始簇为7簇，转到7簇下面，换到了576个字节，另存为。DOC
但是打五一节乱七八糟的，根本不对
因为我在删除之前知道它占有42个簇， 不知道是不是我大小搞错了，还是什么原因，应该是576字节才对呀。请教~~ 如果文件存放在硬盘中不是在连续的扇区中，就形成了所谓的“碎片”，恢复的方案要结合文件的结构来找其它的碎片，最后把碎片合并。
我是按照目录上的文件大小找的，如上面大小16进为00 40 02 00换为十进为576 字节，起始簇为7簇，转到7簇下面，换到了576个字节，另存为。DOC
但是打五一节乱七八糟的，根本不对
因为我在删除之前知道它占有42 ...
rma77 发表于 2009-12-18 16:59 http://bbs.intohard.com/images/common/back.gif
你算错了吧，“00 40 02 00”是147456字节 路过，来学习的