复合文档不明白

lhw8033 · 发表于 2009-7-8 16:14:08

小生这厢先有礼了，有几个问题始终不太明白，请教了：
1，如果文件头坏了，怎样判断这个文件是否有SSAT存放扇区呢？根据什么来找呢？
2，目录结构还是不太明白，怎么知道各个目录和流是存在SAT表里，还是存放于SSAT当中？
3，复合文档的碎片重组根据什么来实现呢？

真的令我头痛！谢谢！

lhw8033 · 发表于 2009-7-8 16:44:57

沙发自己坐，顶一下！

dgtan · 发表于 2009-7-8 20:35:49

如果可以的话，华山出来讲解一下最好不过了。找FDFFFFFF可得知SAT，找FCFFFFFF可知MSAT，SSAT第一个SECTOR可由目录入口得知，sid链可由SAt得知，其他的就不知道了。碎片重组那更是高一级的技术，慢慢研究。

nhqwsj · 发表于 2009-7-9 07:24:40

除了碎片重组，其它的问题找一下华山的关于复合文档的贴子，研究后可以解决你的问题

sunfuxin · 发表于 2009-7-9 07:36:24

复合文档?我得找找看看...

xulemeng · 发表于 2009-7-9 08:43:47

如果可以的话，华山出来讲解一下最好不过了。找FDFFFFFF可得知SAT，找FCFFFFFF可知MSAT，SSAT第一个SECTOR可由目录入口得知，sid链可由SAt得知，其他的就不知道了。碎片重组那更是高一级的技术，慢慢研究。
dgtan 发表于 2009-7-8 20:35

登录/注册后可看大图

学习一下。。。。。。。。。。。。。。。

sbcelsbcel · 发表于 2009-7-9 10:06:19

你以为华山会告诉你吗

tclrz100e · 发表于 2009-7-9 10:56:13

7# sbcelsbcel

你说的很对！！关于复合文档的结构和文件头的修复方法，我在论坛上已有相关的贴子，各位自己能不能理解，就要看各人自己的造化了！至于更深一层的碎片提取技术，好像我没有义务（不要什么都是“拿来主义”）！！我能说的只有一句：如果你把复合文档结构弄清楚了，然后稍加研究，碎片的提取技术你有可能就掌握了。

lhw8033 · 发表于 2009-7-9 10:59:40

谢谢各位大大的指教。小生受益了，“SSAT第一个SECTOR可由目录入口得知”，很重要，我找找看！谢谢！哦，目录入口指定的地址不用+1。

lhw8033 · 发表于 2009-7-9 11:32:18

小弟在此只是想请教一些问题，不想引发口水之争。其实人都是懒与勤之分，没有笨与聪明之分。我应该属于懒人之列。惭愧呀！不过还是很感谢各位的赐教。谢谢了！