Word文档结构分析及恢复

合集下载

相关主题

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

Ｓｅｃｔ０ｒｓ的大小都相同。Ｓｅｃｔｏｒｓ简单的以其在文件中的顺序列举，一个扇区的索引（从０开始）叫做扇区标识（ＳＩＤ：ｓｅｃｔｏｒｉｄｅｎｔｉｆｉｅｒ）。ＳＩＤ是一个有符号的３２位的整型值。如果一个ＳＩＤ的值非负，就表示真正存在的那个Ｓｅｃｔｏｒ；如果为负，就表示特殊的含义。用于存储流数据的所有Ｓｅｃｔｏｒｓ的列表叫做扇区链
２复合文件中的ｓｅｃｔｏｒ的大小（通常为９，则ｓｅｃｔｏｒ大小是２的９次幂．５１２ｂｙｔｅｓ）２ｓｈｏｒｔ — ｓｅｃｔｏｒ的大小（通常为６，则ｓｈｏｒｔ — ｓｅｃｔｏｒ大小是２的６次幂．６４ｂｙｔｅｓ）
１０Ｎｏｔｕｓｅｄ
流的ＳＩＤ链。ＳＡＴ的大小（ＳＩＤ个数）就等于复合文
档中所存在的ｓｅｃｔｏｒ的个数。ＳＡＴ的建立就是通过
按顺序读取ＭＳＡＴ中指定的ｓｅｃｔｏｒ中的内容。
３２
录人口（ｄｉｒｅｃｔｏｒｙｅｎｔｙ）ｒ组成。每一个目录入口都指向复合文档的一个仓库或流。目录人口以其在目录流中出现的顺序被列举，一个以０开始的目录入口索引称为目录入口标识（ＤＩＤ：ｄｉｒｅｃｔｏｙｒｅｎｔｙｒ
１６此文件的唯一标识（不重要，可全部为ｏ）
２文件格式修订号（一般为００３ＥＨ）
ＭＳＡＴ的大小（ＳＩＤ个数）就等于存放ＳＡＴ的ｓｅｃｔｏｒ数．在头中指明。扇区配置表（ＳＡＴ：ｓｅｃｔｏｒａｌｌｏｃａｔｉｏｎｔａｂｌｅ）是一个
２６
２８
２文件格式版本号（～般为０００３Ｈ）
２字节顺序：ＦＥＦＦ＝Ｌｉｔｌｆｅ — ＥｎｄｉａｎＦＦＦＥ＝Ｂｉｇ — Ｅｎｄｉａｎ
３０
ＳＩＤ数组，包含所有用户流（短流除外）和内部控制
（－＇）Ｗｏｒｄ文档头部特征
Ｗｏｒｄ文档头在文件的开始，且其大小必定为
５１２字节。这意味着第一个Ｓｅｃｔｏｒ的开始相对文件
的偏移量为５１２字节。Ｗ０ｒｄ文档头描述着这个文档的重要参数信息，其结构如表１所示。
（ＳｅｃｔｏｒＣｈａｉｎ）。这些Ｓｅｃｔｏｒｓ可以是无序的。因此用
ｉｄｅｎｔｉｉｆｅｒ）。根目录入口（ＲｏｏｔＥｎｔｙ）ｒ由很多目录入口（ＤｉｒｅｃｔｏｒｙＥｎｔｙ）ｒ组成，每一个目录人口都指向复合文档的一个仓库或流。
圜困国囫
赵振洲女赵永峰 — — ｗ０『ｄ文档结构分析及恢复
第１期
所有的流又分成更小的数据块，叫做数据扇区
（ｓｅｃｔｏｒｓ）。Ｓｅｃｔｏｒｓ可能包含控制数据或用户数据。整个文件由一个头（Ｈｅａｄｅｒ）结构以及其后的所有Ｓｅｃｔｏｒｓ组成。Ｓｅｃｔｏｒｓ的大小在头中确定，且每个
Ｂ１Ｈ１ＡＨＥ１Ｈ
ｔａｂｌｅ）是一个ＳＩＤ数组．指明了所有用于存放扇区配
置表（ＳＡＴ：ｓｅｃｔｏｒａｌｌｏｃａｔｉｏｎｔａｂｌｅ）的ｓｅｃｔｏｒ的ＳＩＤ。
８Baidu Nhomakorabea
２４
３４
当一个流的大小小于指定的值（在头中指定），
就称为短流（ｓｈｏｒｔ — ｓｔｒｅａｍ）。短流并不是直接使用
ｓｅｃｔｏｒ存放数据，而是内含在一种特殊的内部控制
流—— 短流存放流（ｓｈｏｔ— ｒｓｔｒｅａｍｃｏｎｔａｉｎｅｒｓｔｒｅａｍ）中。短流存放流象其他的用户流一样：先从目录中的
（一２）为结束标记。流的ＳＩＤ链是通过扇区配置表构建的。
主扇区配置表（ＭＳＡＴ：ｍａｓｔｅｒｓｅｃｔｏｒａｌｌｏｃａｔｉｏｎ
０
８复合文档文件标识：Ｄ０ＨＣＦＨ１１ＨＥ０ＨＡ１Ｈ
０ｆｆ＿ｓｅｔＳｉｚｅＣｏｎｔｅｎｔｓ
于指定一个流的Ｓｅｃｔｏｒｓ的顺序的ＳＩＤ数组就称为
ＳＩＤｃｈａｉｎ一个ＳＩＤｃｈａｉｎ总是以ＥｎｄＯｆＣｈａｉｎＳＩＤ