全站搜索
自定内容

文章正文
一个6M的EXCEL文件手工碎片恢复案例
作者:管理员    发布于:2017-08-06 03:05:30    文字:【】【】【
摘要:故障存储:120G文件系统为FAT32的逻辑盘 故障现象: 一个6M多经常编辑的EXCEL文件(扩展名为XLS),客户描述可能对硬盘上所有文件进行了删除操作,删除后又写了一些数据进去,但是量不大。使用RSTUDIO扫描也能发现客户需要的这个文件名,由于此文件经常进行修改,RSUTDIO找出了一大堆同名文件以及TMP文件。 恢复后的文件,基本上都无法打开,直接乱码。 故障分析: 第1由于FAT32是一种产生碎片率高的文件系统,第2由于经常性的编辑而且此逻辑盘IO量又比较大。虽然是硬盘空间足够大,但是两种情况结合到一起让碎片化程度变高!
故障存储:120G文件系统为FAT32的逻辑盘

故障现象:
一个6M多经常编辑的EXCEL文件(扩展名为XLS),客户描述可能对硬盘上所有文件进行了删除操作,删除后又写了一些数据进去,但是量不大。使用RSTUDIO扫描也能发现客户需要的这个文件名,由于此文件经常进行修改,RSUTDIO找出了一大堆同名文件以及TMP文件。

恢复后的文件,基本上都无法打开,直接乱码。

故障分析:
第1由于FAT32是一种产生碎片率高的文件系统,第2由于经常性的编辑而且此逻辑盘IO量又比较大。虽然是硬盘空间足够大,但是两种情况结合到一起让碎片化程度变高!

再来说下XLS结构(新版本的XLSX结构和其不相同为PK结构,感兴趣的可以自行到网站下载PK解析程序),XLS使用一种微软自创的变态级“二进制”结构,不同的“二进制”编码代表不同的意义比如EXCEL中的一个单元格中的文字用0XFD00表示,当然这里说的结构是指记录级。而XLS的整体结构借鉴了FAT文件系统,像SAT就和FAT表作用相同。

老早前曾经深入研究过XLS结构,所以现在遇到此类案例还是习惯性的用WINHEX手工去搞,软件搞出来的毕竟会少一些东西,不够全面。

故障处理:
RSTUDIO找到了文件头,判断文件头截止,然后发现SHEET表名记录正好在此碎片中,和客户核对后确定此碎片为客户所需,然后继续向下查找碎片(这一点很重要,由于FAT32的高位清0,如果目录指向并非客户所需要文件那么只会导致一个错误的开始)。从文件头中获取一些结构性信息,可以有助于碎片的查找,像SAT表,当然这是大体结构,还是需要“二进制”记录级结构配合使用!

经过2小时奋战,成功搞定,这个文件总共有4个碎片,其中第三个较大有差不多5M多,提取相应碎片重新组合数据完美重现!


标签:XLS碎片重组
脚注信息
 晋ICP备12008728号-1   客服邮箱:cpx-cym@163.com  客服QQ1:490476236   客服QQ2:908138976
自定内容
51客服