版主请进，新手关于DOC文档数据恢复讨论！！！（WINHEX）

rma77 · 发表于 2009-12-18 11:07:52

大家好，我是一名winhex初学者，关于DOC XLS文档，向大家请教！！！

想知道，一DOC文档删除后，其在目录顼写入E5删除标记，接着其FAT表顼也被清空，这种情况下，如果我们要恢复数据的话，大家有什么方法？我们只能在文件目录顼中找到该文件的起始簇和文件大少，但是如果要恢复数据，我们怎么找它的下一簇呢？这是个很头痛的问题，小弟想了很久都想不出好方法，当然，如果它的文件簇如果是继续连接的那才好办，但是如果不是，想问一下版主和各位老大，你们是怎么把数据恢复出来的？

lzlyc · 发表于 2009-12-18 15:06:26

期待高手回答..

carbotex · 发表于 2009-12-18 15:13:09

你用不用这么大个字啊，吓死俺了~

rma77 · 发表于 2009-12-18 15:26:21

字大好引起高手的注意嘛
呵呵
不过我知道答案了，不连续的和覆盖的是无法恢复的，只有连续的才能恢复

rma77 · 发表于 2009-12-18 15:27:35

但是我不理解的是如果一个DOC文件是连续的，以删除了，现在、、FAT表也清了，现在我们要把他恢复出来，知道了第一簇，但是我们应该怎么确定它的最后一簇呢？
还请版主和高手们指点指点，谢谢~~~

dgtan · 发表于 2009-12-18 15:40:22

但是我不理解的是如果一个DOC文件是连续的，以删除了，现在、、FAT表也清了，现在我们要把他恢复出来，知道了第一簇，但是我们应该怎么确定它的最后一簇呢？
还请版主和高手们指点指点，谢谢~~~
rma77 发表于 2009-12-17 20:27

登录/注册后可看大图

看目錄不就知道它的大小了?直接選取開始到結束扇區,然後另存成一個文件,然後改成 *.doc就ok

rma77 · 发表于 2009-12-18 16:59:05

看目錄不就知道它的大小了?直接選取開始到結束扇區,然後另存成一個文件,然後改成 *.doc就ok
dgtan 发表于 2009-12-18 15:40

登录/注册后可看大图

我是按照目录上的文件大小找的，如上面大小16进为00 40 02 00换为十进为576 字节，起始簇为7簇，转到7簇下面，换到了576个字节，另存为。DOC
但是打五一节乱七八糟的，根本不对
因为我在删除之前知道它占有42个簇，不知道是不是我大小搞错了，还是什么原因，应该是576字节才对呀。请教~~

tclrz100e · 发表于 2009-12-19 09:28:32

如果文件存放在硬盘中不是在连续的扇区中，就形成了所谓的“碎片”，恢复的方案要结合文件的结构来找其它的碎片，最后把碎片合并。

林群 · 发表于 2010-1-12 09:54:51

我是按照目录上的文件大小找的，如上面大小16进为00 40 02 00换为十进为576 字节，起始簇为7簇，转到7簇下面，换到了576个字节，另存为。DOC
但是打五一节乱七八糟的，根本不对
因为我在删除之前知道它占有42 ...
rma77 发表于 2009-12-18 16:59

登录/注册后可看大图

你算错了吧，“00 40 02 00”是147456字节

twq119 · 发表于 2010-1-13 10:05:26

路过，来学习的