一个6M的EXCEL文件手工碎片恢复案例
摘要：故障存储:120G文件系统为FAT32的逻辑盘
故障现象：
一个6M多经常编辑的EXCEL文件（扩展名为XLS），客户描述可能对硬盘上所有文件进行了删除操作，删除后又写了一些数据进去，但是量不大。使用RSTUDIO扫描也能发现客户需要的这个文件名，由于此文件经常进行修改,RSUTDIO找出了一大堆同名文件以及TMP文件。
恢复后的文件，基本上都无法打开，直接乱码。
故障分析：
第1由于FAT32是一种产生碎片率高的文件系统，第2由于经常性的编辑而且此逻辑盘IO量又比较大。虽然是硬盘空间足够大，但是两种情况结合到一起让碎片化程度变高！
故障存储:120G文件系统为FAT32的逻辑盘
故障现象：
一个6M多经常编辑的EXCEL文件（扩展名为XLS），客户描述可能对硬盘上所有文件进行了删除操作，删除后又写了一些数据进去，但是量不大。使用RSTUDIO扫描也能发现客户需要的这个文件名，由于此文件经常进行修改,RSUTDIO找出了一大堆同名文件以及TMP文件。
恢复后的文件，基本上都无法打开，直接乱码。
故障分析：
第1由于FAT32是一种产生碎片率高的文件系统，第2由于经常性的编辑而且此逻辑盘IO量又比较大。虽然是硬盘空间足够大，但是两种情况结合到一起让碎片化程度变高！
再来说下XLS结构（新版本的XLSX结构和其不相同为PK结构，感兴趣的可以自行到网站下载PK解析程序），XLS使用一种微软自创的变态级“二进制”结构，不同的“二进制”编码代表不同的意义比如EXCEL中的一个单元格中的文字用0XFD00表示，当然这里说的结构是指记录级。而XLS的整体结构借鉴了FAT文件系统，像SAT就和FAT表作用相同。
老早前曾经深入研究过XLS结构，所以现在遇到此类案例还是习惯性的用WINHEX手工去搞，软件搞出来的毕竟会少一些东西，不够全面。
故障处理：
RSTUDIO找到了文件头，判断文件头截止，然后发现SHEET表名记录正好在此碎片中，和客户核对后确定此碎片为客户所需，然后继续向下查找碎片（这一点很重要，由于FAT32的高位清0，如果目录指向并非客户所需要文件那么只会导致一个错误的开始）。从文件头中获取一些结构性信息，可以有助于碎片的查找,像SAT表，当然这是大体结构，还是需要“二进制”记录级结构配合使用！
经过2小时奋战，成功搞定，这个文件总共有4个碎片，其中第三个较大有差不多5M多，提取相应碎片重新组合数据完美重现！