一招搞定99%的文档修复 文件损坏怎么修复回来

这题我会!遇见过文件无法打开,或文件打开乱码等情况的伙伴们看过来,从事数据恢复行业 20 余年的“技术宅”效哥,直接给大家上权威恢复方法啦~
方法一:通过手动重建文件头,修复损坏的 Microsoft Word文档
适用情形:文件头结构损坏导致文件无法打开

  • Step 1:打开复合文档
使用winhex 工具打开损坏复合文档以及正常复合文档;

一招搞定99%的文档修复 文件损坏怎么修复回来


  • Step 2:将页转换成扇区
winhex 打开之后将页转换成扇区进行分析;
【一招搞定99%的文档修复 文件损坏怎么修复回来】
一招搞定99%的文档修复 文件损坏怎么修复回来


  • Step 3:复制文件头
复制正常复合文档的文件头,覆盖掉损坏的文件头,然后逐一修改相应参数;

一招搞定99%的文档修复 文件损坏怎么修复回来


  • Step 4:定位目录流扇区起始扇区
目录流标志是“root entry”,十六进制搜索“52006F00”,偏移位置 512=0,如图 2 所示,在41 扇区找到目录流起始扇区,确定了目录流的起始扇区的参数为41-1=40,用十六进制表示就是28;

一招搞定99%的文档修复 文件损坏怎么修复回来


  • Step 5:短流开始位置及大小
接着我们找短流(SSAT) 。根据复合文档定义,目录流的第一表项 0x74 处的 4 个字节表示的是短流的起始扇区,如图 6 中十六进制 2B000000 值为 43,就是短流的开始 。
开始扇区为 43-1=42,十六进制值为 2A,0x78 处的 4 个字节表示的是短流的大小,大小就是十六进制 800000,等于 128/64=2,只有两项就是占用一个扇区,大小就是1;

一招搞定99%的文档修复 文件损坏怎么修复回来


  • Step 6:确定扇区分配表(SAT)
通过十六进制搜索“01000000”,偏移位置为 512=0,如图 9 所示,在 40 扇区找到标准扇区配置表,看到扇区中有一个“FDFFFFFF”,就可以确定就是 SAT 了 。
最后一项 SAT 配置表中会有 FDFFFFFF 的值,表示这是一个 SAT 配置表的结束,并且有几个 FDFFFFFF 就代表有几个 SAT 配置表 。本案例中只有一个 FDFFFFFF 那就只有一项 SAT 配置表;

一招搞定99%的文档修复 文件损坏怎么修复回来


  • Step 7:确定主扇区分配表(MSAT)的起始扇区号
主扇区分配表(MSAT)中存放的是扇区分配表(SAT)所在的扇区号 。
本例中,扇区分配表(SAT)只有一个,根据复合文档的格式定义,文件头中可以存放 109 项 SAT 值,也就是说,只要文件的扇区分配表不大于 109 个,就不需要主扇区分配表 。(严格的说是不需要额外的主扇区分配表,因为文件头就可以容纳下了,主扇区分配表(MSAT)是在 SAT 多于 109 项时,剩下的值用指定的扇区来记录!)
根据定义,无额外主扇区分配表(MSAT)时,主扇区分配表的起始扇区号为-2,十六进制表示为 FEFFFFFF,它占用的扇区数为 0;
  • Step 8:修复文件头
关键值都计算出来后总结一下算好的值,然后手动填写文件头信息,修复后文件头如图 10 所示,保存文件,此时文档仍然无法打开;

一招搞定99%的文档修复 文件损坏怎么修复回来


  • Step 9:修复文件内容
以上参数确定后,最后一步就是修复 MSAT 的内容了 。
在 0 扇区定位到 0X4C 处,此处后的每个字节填写一项 SAT 扇区编号 。本实验只有一个 SAT,位置为 39,转换成十六进制为 27000000,剩下的填写成 FFFFFFFF 。保存文件,本次复合文档手动修复工作圆满完成 。

推荐阅读