用WinHex修复损坏的OFFICE复合文档文件头
docx表头hex
docx表头hex
1，名称：OfficeFIX V5.27
简介：OfficeFIX是一个Microsoft Office的修复工具，它可以修复损坏的Excel，Access和Word文档。
提供修复文件的向导功能。
2，用专业的数据修复软件来修复损坏的文档结构，比如OfficeRecovery、EasyRecovery FileRepair及OfficeFix等Office 文件修复工具。
3，如果你到现在还没有向你的U盘重新写入数据那你可以试试一个我用过的好工具，最强大的EasyRecovery Pro支持所有WINDOWS系统，有30多M。
注意不要把恢复的数据写在要恢复的那些数据的所在盘里否则会覆盖原始数据的EasyRecovery是威力非常强大的硬盘数据恢复工具。
能够帮你恢复丢失的数据以及重建文件系统。
有的时候可能由于操作的问题，当你再次打开一个你认为没有问题的文档时，可能会看见文件中一片乱码更本就无法阅读！如果出现了这写情况可以通过下面的两个方法，来挽救你的文件。
一、替换格式法
这种方法就是把被破坏的Word文档另存为另一种格式。
1、打开被损坏的文档单击“文件/另存为”菜单，在“保存类型”列表中，选择“RTF格式”，然后单击“保存”按钮，并关闭word。
2、打开刚才刚才保存的RTF格式文件，再次使用“另存为”将文件重新保存为“Word文档”，现在打开这个word文件就可以发现文件已经被恢复过来了。
微软复合文档的数据修复技术
储
标 识 。
流 “１Ｔａｂｌｅ” 中存 储 表 格 ，数 据 流 “ＣｏｍｐＯｂｊ”
２ 复 合 文 档 的 数 据 修 复
中存储对象数据 ，数据流 “ＷｏｒｄＤｏｃｕｍｅｎｔ”中 存 储 文 字 内容 ，数据 流 “Ｓｕｍｍａｒｙｌｎｆｏｒｍ￣ｉｏｎ”
１ 复 合 文 档 的 文 件 格 式
关键 数 据 。
数据流不能重名；每个复合文档都有一个 叫做 目录 的索 引节 点 都 是 相 对 固定 的 ；但 是 当 索 引
“Ｒｏｏｔ Ｅｎｔｒｙ”的根 目录。每一个 目录 和数据 节 点是数据流时 ，其扇 区链首扇 区编号和大小
流 都 有 一 个 索 引 ，这 些 索 引存 储 在 ～ 个 单 独 的 是 最 关 键 的信 息 ，直接 影 响修 复 内容 的正 确 率 ，
流中 ，这个流就叫做全局索 引流 。全 局索引流 可 以通过扫描扇 区分配表识别所有的数据流 ，
由 一 系 列 的 索 引 节 点 组 成 。每 一 个 索 引节 点 表 再 根 据 经 验 尝 试 所 有 的 可 能 性 。
示一个 目录或数据流 ；索 引节 点固定为 １２８个 ２．３数据流 内容修复 字 节 ，每 个 扇 区 可 以包 含 ４个 索 引 结 构 。
复 合文 档的 逻辑 结构类 似 一个 小型 的文 件系统 ，其 由 目录和 数据 流组成；数据流相当 于文件系统 中的文件 ，数据流存储在 目录中： 目录 和 数 据 流 都 有 名 字 ， 一个 目录 可 以 有 多个
根据 复合 文档 的文 件格 式，针 对其 不 同 的损坏方式 ，数据修复一般分为物理修复 、逻 辑 修 复 和 内 容 修 复 。
文件 格 式是指 计算 机 中存储 文件 的特殊 编 码 方 式 ，用 于 计 算 机 操 作 系 统 识 别 不 同 的文 件类 型， 比如 程序 、文 字、 图片、视 频 等文 件，每一种文件格式通常会关联一个或 多个扩 展 名 ， 但 也 可 能 不 关 联 固 定 的 扩 展 名 。 微 软 复合 文档 （以下简称 复 合文 档）是 微软 公 司 制 定 的 文 件 格 式 ，广 泛 应 用 于 Ｗｏｒｄ、Ｅｘｃｅｌ、 ＰｏｗｅｒＰｏｉｎｔ等 办 公 文 档 中 ， 单 一 的 复 合 文 档 可 以包 含 多 个 文 本 、 图形 、 声 音 、 视 频 、 电子 表 格数据 等各种 多媒体 信息。
word文档恢复工具(word文件损坏修复软件)--
word文档恢复工具(word文件损坏修复软件)word文件损坏修复软件介绍如何修复文件损坏。
您可以在Internet上各处找到【文档损坏】解决方案。
文件损坏不是无法弥补的。
怎么修呢？下面介绍了三种可以有效修复文档损坏问题，但不能保证100％成功率的方法。
1。
文档格式方法此方法是将损坏的文档转换为另一种格式，然后再将其转换回文档格式。
这是最简单，最彻底的文档恢复方法。
因此，如果遇到混乱，建议首先使用此方法。
步骤如下：【此段来自网络】打开文档，在菜单栏中单击【文件】-【另存为】，在【另存为】窗口中单击“保存类型”，选择【格式（），单击【保存】按钮。
打开转换后的文件，然后在【文件】菜单中单击【另存为】命令，在【保存类型】列表中选择【文档（），然后单击【保存】按钮】文档之间的转换将保留格式，如果此转换不能修复文件，则可以尝试使用其他格式进行转换，这将在不同程度上保留文档的格式。
如果这些格式都不能解决问题，则可以将文档转换为纯文本格式（），然后将其转换回该格式。
由于纯文本的简单性，可以修复损坏，但是文档的所有格式都将丢失。
【本段来自网络】第二，重新格式化方法使用文档中的最后一段标记来关联各种格式信息，尤其是节和样式的格式信息。
这样，如果我们将最后一段标记以外的所有内容都复制到新文档中，则有可能将损坏的内容保留在原始文档中。
步骤1。
文档格式方法此方法是将损坏的文档转换为另一种格式，然后再将其转换回文档格式。
这是最简单，最彻底的文档恢复方法。
因此，如果遇到混乱，建议首先使用此方法。
步骤如下：在其中打开损坏的文档，选择“文件→另存为”，在“保存类型”列表中，选择“格式（）”，然后单击“保存”按钮。
关闭损坏的文档，打开刚刚保存的文件，选择“文件→另存为”，在“保存类型”列表中，选择“文档（）”，然后单击“保存”按钮。
关闭文档，然后打开文档。
文档和文件之间的转换将保留其格式。
如果此转换不能修复文件，则可以尝试在其他格式之间进行转换。
修复文件头
最近学习了复合文档的格式,在修复复合文档头方面做了不少实践,有了一些心得,经过梳理,做了个例子,把思路和过程介绍给大家,希望能解决你的不时之需!例子中用的文件如下图：名为“实验文档”，是个空文档，里面没有内容，看属性，10，752字节，刚好21扇区，复合文档的文件大小一定是512字节的整数倍，这跟复合文档的设计有关系。
EXCEL，PPT等文件也属于复合文档，也符合这样的特点。
后来我又想，可能有网友会对修复后的文件产生怀疑，没有内容的文件可能说明不了问题，所以我在文件中输入了很短的文本内容！如下图：实验文档是一个正常的文件，另外我用Winhex把该文件的文件头（前面512字节）全部写成了0，最彻底的破坏，保存为“损坏的实验文档”，大家可以用现有的修复软件试一下，能不能修复，我用EasyRecovery Professional没有修复成功！其它的软件没有试过！下面，就请大家跟我一起看，如何把“损坏的实验文档”修复成功！先介绍用到的工具软件Winhex,功能很强大，可以用二进制的方式打开文件，并进行编辑，保存！该软件不仅可以打开文件，还可以打开硬盘，对硬盘数据进行编辑，搜索功能什分强大，用起来非常方便，同时支持脚本，提供API函数。
软件界面如下图：用该软件打开“实验文档”和“损坏的实验文档”，可以对比一下前512字节，为了便于操作，我们需要将文件解释为硬盘，让软件以扇区的方式显示文件内容，看起来直观些！两个文件的在软件里显示如下图：可见，“损坏的实验文档”前面的512字节全是0，文件头被全部破坏，文件无法用office打开！复合文档文件头的定义：Offset Size Contents0 8 复合文档文件标识：D0H CFH11HE0HA1HB1H1AHE1H8 16 此文件的唯一标识(不重要, 可全部为0)24 2 文件格式修订号 (一般为003EH)26 2 文件格式版本号(一般为0003H)28 2 字节顺序规则标识(见3.2):：FEH FFH= Little-EndianFFH FEH= Big-Endian30 2 复合文档中sector的大小(ssz)，以2的幂形式存储, sector实际大小为s_size = 2ssz字节(一般为9即512字节, 最小值为7即128字节)32 2 short-sector的大小(见5.1)，以2的幂形式存储, short-sector实际大小为s_s_size = 2sssz字节(一般为6即64字节，最大为sector 的大小)34 10 Not used44 4 用于存放扇区配置表（SAT）的sector总数48 4 用于存放目录流的第一个sector的SID (见6)52 4 Not used56 4 标准流的最小大小(一般为4096 bytes), 小于此值的流即为短流。
用WinHex修复损坏的复合文档文件头
用WinHex修复损坏的复合文档文件头说明：1、本教程仅仅针对复合文档（比如Word、Excel等）的文件头损坏后的修复.2、请允许我假设你已经了解复合文档的结构，至少你能知道复合文档中的一些术语（比如：SAT、SSAT MSAT、标准流、短流等）现象打开这个文档时出现乱码（如图）：分析数据用WinHex打开这个文档，如下图：分析：这个文档的文件头损坏了，继续分析后面的内容损坏没有，现在把这个文档设置为磁盘（如图），复合文档在储存数据的最小单位是块（一个块是512个字节，相当于一个扇区的数据，所以有时我们也把它称为扇区），这样操作后看到的数据可以以一个扇区的形式呈现，便于分析和手工重建。
经过分析数据发现，这个文档好像只有第0扇区的数据完全破坏了，这个扇区的内容是复合文档的文件头内容，网上有恢复复合文档文件头的视频教程（这个论坛上就有！！），好像就是把一个正常的复合文档的前几行数据复制一下就行了，从理论上讲恢复的成功率极小，几乎是0。
因为复合文档的结构和FAT文件系统极其相似，但比它还要复杂一些（涉及到短流、SSAT和MSAT），复合文档的文件头相当于FAT文件系统中的DBR，有很多参数是要根据文件的具体数据进行相应的修改。
下图中红底黑字部分描述的就是一般要修改的内容（有7处，小的文档一般只改其中的5处），其它部分可以用一个正常的复合文档的相应数据代替。
说明：要修改的文件头内容：1、存放扇区配置表(SAT)的扇区总数（2CH －2FH ）2、存放目录流的第一个扇区的SID （30H －33H ）3、存放短扇区配置表(SSAT)的第一个扇区的SID （3CH －3FH ）4、存放短扇区配置表(SSAT)的扇区总数（40H －43H ）5、存放主扇区配置表的第一个扇区的SID （如果为－2表示没有附加扇区）（44H －47H ）6、存放主扇区配置表的扇区总数（48H －4BH ）7、存放主扇区配置表（MSAT ）的第一部分（从4CH 开始，视具体情况决定结束位置）备注：如果文件比较小（存放主扇区配置表的第一部分在第0扇区没有装满），第5、6两部分不用修改！！要修复文件头，一般从扇区配置表（SAT ）的数据分析开始，SAT 相当于FAT 文件系统中的FAT 表，它把这个复合文档的各类数据“链”在一起，所以我们反过来通过分析它们的链接情况和相应位置的数据，来分析整个文档的数据结构，最后根据相关信息重建文件头，达到修复文件头的目的。
使用winhex来恢复数据的方法
使用winhex来恢复数据的方法一、数据丢失的痛与恢复的希望。
1.1 数据丢失那可真是个让人头疼的事儿啊。
不管是误删了重要文件，还是硬盘出了故障，感觉就像丢了宝贝一样心急如焚。
不过呢，先别慌，咱还有winhex这个得力助手。
1.2 winhex就像是数据世界里的神奇小魔杖。
它功能强大，能在看似绝望的数据丢失状况下，给我们带来恢复数据的曙光。
二、winhex初了解。
2.1 winhex是啥呢？简单说，它就是一款专门用来处理十六进制数据的软件。
这听起来有点高大上，但实际操作起来也没那么难。
就像学骑自行车，一开始觉得难，上手了就顺溜了。
2.2 你得先把winhex安装好。
这就好比给战士配上武器，安装过程也不复杂，按照提示一步步来就行，别像没头苍蝇似的乱点。
三、开始用winhex恢复数据。
3.1 打开winhex后，首先要做的就是找到你丢失数据的存储设备。
这就如同在茫茫大海里寻找一艘沉船，得找准目标。
比如说你的数据在硬盘里丢了，那就找到对应的硬盘分区。
这一步可不能马虎，要是找错了地儿，那可就是竹篮打水一场空了。
3.2 接下来就是重头戏了。
winhex有个很厉害的功能叫磁盘克隆。
这就像做备份一样，把有问题的磁盘克隆一份。
这时候你得小心翼翼的，就像捧着个易碎的瓷器。
因为这个过程要是出了岔子，那恢复数据就更难了。
克隆完成后，就可以在克隆的副本上进行数据恢复操作。
3.3 查找丢失的数据片段。
这有点像大海捞针，但winhex有它的办法。
它可以通过分析十六进制数据的特征，找到那些可能是你丢失文件的部分。
这就要求你得有点耐心，心急吃不了热豆腐嘛。
有时候可能要花费一些时间去比对和查找，但只要坚持，往往就能找到那些“失踪”的数据。
3.4 恢复数据的时候，也要注意一些细节。
比如说数据的完整性，可不能只恢复个半拉子工程。
要确保恢复出来的数据是可用的，就像检查一件修好的东西是不是真的修好了一样。
四、数据恢复后的检查与预防。
4.1 数据恢复成功后，可别以为就万事大吉了。
WINHEX修复“文件教程”
WINHEX修复“文件教程”WINHEX修复“文件或目录损坏且无法读取” 远程做的一个“文件或目录损坏且无法读取”的恢复。
23G的NTFS分区D，XP系统，每簇扇区数8，用winhex无法读取分区，提示错误，通过物理磁盘访问该分区，根目录下看不到任何文件，检查DBR，没有发现明显的异常。
由于是远程恢复，原盘未做截图，本教程是模拟了原始分区数据丢失时的情景，请参考恢复思路，如有不足，请各位指正～跳转到第分区E的EBR(虚拟MBR)位置的上一个扇区，找到损坏的分区的备份的DBR，通过winhex提供的计算hash功能，计算哈希值。
再与第一个DBR的hash 值对比。
完全一样。
(也可以通过winhex提供的同步和对比功能进行验证，winhex 会不同的字节上显示黑色)跳转到$MFT的开始位置，也即是$MFT自身的记录。
发现其起始特征本应该是ASCII码的“FILE”四个字节，现在变成了ASCII码“BAD,”。
这是造成提示“文件或目录损坏且无法读取”的关键问题所在。
跳转到偏移512=242位置，也就是这个MFT项的文件名起始位置。
文件名正常:UNICODE码的“$MFT”。
检查标准属性(10H)，文件名属性(30H)，数据流属性(8H)属性，到8属性的时候，发现从8属性开始的第三行开始，都被清零，其他的重要的四个元数据文件中，$Volume属性也出现了同样的错误。
找到备份的前四个元数据文件的记录。
覆写错误的记录。
根据DBR找到了MFT 前四个元数据文件的备份，备份的元数据文件几乎跟前面四个一摸一样的错误。
只能是手工修复$MFT。
在$MFT自身的记录当中，发现”结束VCN”并没有遭到破坏，这为后期的修复工作节省了很多时间，复制一个正常分区(分区E)的第一个扇区到损坏的$MFT中，修改其中的一些数值。
在8属性中，第三行字节的开始位置应该是描述的datarun的起始位置，根据起始VCN和结束VCN得出$MFT的大小，计算方法:起始 VCN+1=LCN，根据这个数值，写入datarun。
WinHex恢复FDT清零或损坏过程
WinHex恢复FDT清零或损坏修复过程今天我们来讲FDT清零或损坏后的现象以及如何修复，我们知道FDT定义了文件名，文件大小以及文件存放的起始簇号如果他被清零或者损坏，那么所有的文件以及文件夹都对应不上起始的簇号，就会导致打开盘符后，里面是没有数据的，但其容量已被占用，如下图（我用Winhex将FDT清零了。
）怎么去解决这样的问题呢？其实方法很简单搜索目录项，把目录项重新指向根目录项就可以了。
具体方法如下首先向下搜索2E20,把搜索出的值都记录下来目录项所在扇区起如簇上一目录A 18576 3 0（也就是根目录）B 27952 296 3C 43920 795 3D 241040 6955 3E 242832 7011 3F 300688 8819 3G 301552 8846 0（也就是根目录）由这几个目录项分析出来我们可以得出以下结论：A G的上一目录是父目录BCDEF的上一级目录是A所以，只要在这个故障盘里新建二个文件夹，把起首簇号指向A、B就可以了如图图保存数据完全恢复最后补充一点子目录所在扇区的前四行是两个特殊的目录登记项，第一个目录登记项名称编码为“2E”，转化为文本就是“.”，第二个目录登记项名称编码为“2E2E”，转化为文本就是“..”。
这两个文本符号是区分子目录的最明显标志。
第一个目录登记项是该文件夹自身的目录登记项，首簇号就是该目录所在位置的簇号，第二个目录登记项其实就是父目录的目录登记项副本，首簇号指向父目录所在位置的簇号，如果父目录的目录登记项丢失的话，可以直接用这个副本做模板恢复，只需要改一下文件夹名称即可。
如果第二个目录登记项的首簇号全为“0”，说明该目录的父目录是根目录，如果不是“0”，说明该目录的父目录不是根目录如果有兴趣的朋友可以加我QQ867462090 注明数据恢复。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
用WinHex修复损坏的复合文档文件头
用WinHex修复损坏的复合文档文件头
说明：
1、本教程仅仅针对复合文档（比如Word、Excel等）的文件头损坏后的修复.
2、请允许我假设你已经了解复合文档的结构，至少你能知道复合文档中的一些术语（比如：SAT、SSAT MSAT、标准流、短流等），否则，请你弥补相关知识后继续阅读本教程（以前我曾发过一个相关内容的帖子：/viewthread.php?tid=37559extra=&page=1 )
3、这个教程中涉及到的文档样本大家可以到/thread-40685-1-1.html中下载.
4、网上这方面的资料很少，所以本教程中有的名词是自己“命名”的，因此，相关名词请只在本教程中使用和理解！！如有不明白之处，可以相互交流（我的QQ：409133413）
现象
打开这个文档时出现乱码（如图）：
分析数据
用WinHex打开这个文档，如下图：
分析：这个文档的文件头损坏了，继续分析后面的内容损坏没有，现在把这个文档设置为磁盘（如图），复合文档在储存数据的最小单位是块（一个块是512个字节，相当于一个扇区的数据，所以有时我们也把它称为扇区），这
样操作后看到的数据可以以一个扇区的形式呈现，便于分析和手工重建。
经过分析数据发现，这个文档好像只有第0扇区的数据完全破坏了，这个扇区的内容是复合文档的文件头内容，网上有恢复复合文档文件头的视频教程（这个论坛上就有！！），好像就是把一个正常的复合文档的前几行数据复制一下就行了，从理论上讲恢复的成功率极小，几乎是0。
因为复合文档的结构和FAT文件系统极其相似，但比它还要复杂一些（涉及到短流、SSAT和MSAT），复合文档的文件头相当于FAT文件系统中的DBR，有很多参数是要根据文件的具体数据进行相应的修改。
下图中红底黑字部分描述的就是一般要修改的内容（有7处，小的文档一般只改其中的5处），其它部分可以用一个正常的复合文档的相应数据代替。
说明：要修改的文件头内容：
1、存放扇区配置表(SAT)的扇区总数（2CH－2FH）
2、存放目录流的第一个扇区的SID（30H－33H）
3、存放短扇区配置表(SSAT)的第一个扇区的SID（3CH－3FH）
4、存放短扇区配置表(SSAT)的扇区总数（40H－43H）
5、存放主扇区配置表的第一个扇区的SID（如果为－2表示没有附加扇区）（44H－47H）
6、存放主扇区配置表的扇区总数（48H－4BH）
7、存放主扇区配置表（MSAT）的第一部分（从4CH开始，视具体情况决定结束位置）
备注：如果文件比较小（存放主扇区配置表的第一部分在第0扇区没有装满），第5、6两部分不用修改！！
要修复文件头，一般从扇区配置表（SAT）的数据分析开始，SAT相当于FAT文件系统中的FAT表，它把这个复合文档的各类数据“链”在一起，所以我们反过来通过分析它们的链接情况和相应位置的数据，来分析整个文档的数据结构，最后根据相关信息重建文件头，达到修复文件头的目的。
在分析前有必要作一个说明，不然你会越看越糊涂的！！我们现在看到的数据所在的扇区数据和复合文档中描述的扇区数有一个扇区的错位，比如说复合文档中描述的第0扇区在WinHex中看到的是第1扇区，为了便于区分，把用WinHex打开看到的扇区叫做物理扇区，文档的参数中描述的扇区叫参数扇区（这是我自己想的一个概念，请只
在本教程中使用和理解！！）。
我们可以这样理解：物理0扇区是这个复合文档的文件头，存放了复合文件的一些整体信息，它对后面的数据来说是一个隐藏扇区，所以对数据区来说，它把物理1扇区看成它的第一个扇区（即参数0扇区），物理2扇区就是参数1扇区，依此类推（如下图所示）。
物理扇区0123456…………N
参数扇区012345…………N－1
通过分析开始几个扇区的数据很容易判断出物理1扇区的数据就是SAT（如图）
第1扇区（物理）
从这个扇区中的数据可以看到，在参数0扇区和参数100扇区这两个扇区中的数据是SAT数据（因为相应的位置是FDFFFFFF，而FDFFFFFF是存放SAT扇区标志），参数0扇区就是物理1扇区的位置，现在的这个位置就是SAT数据，不必再分析，现在到参数100扇区，就是物理101扇区去看看（如图）：
第101扇区（物理）
这个扇区中没有FDFFFFFF，而且从偏移CA6BH开始，后面全部是FFFFFFFF（空闲的SID），综合这两个扇区（物理第1和第101扇区）的数据可以确定：存放扇区配置表(SAT)的扇区总数：2个（要修改的第1个参数）；这两个是：参数0扇区和参数100扇区（要修改的第7个参数）。
（其实存放扇区配置表的扇区总数可以根据这个文档的扇区总数直接判断！！）然后分析这两个扇区的SAT链接情况和相应扇区的数据获得以下信息（下面的扇区都是指参数扇区）：
SAT：0、100（共2个扇区）
DIR：1、154（共2个扇区）
SSAT：2（共1个扇区）
短流：3、153（共2个扇区）
标准流：4――（100）――152（从参数4扇区到152扇区，不包括参数100扇区，共148扇区）
三、手工修复文件头
1、将一个正常的复合文档的第一个扇区（物理0扇区）的数据复制到这个要修复的文档的物理0扇区位置（如图）
2、修复相应的数据
因为这个文档比较小，所以只修改5个位置，即：
1、存放扇区配置表(SAT)的扇区总数（2CH－2FH）：02000000
2、存放目录流的第一个扇区的SID（30H－33H）：01000000
3、存放短扇区配置表(SSAT)的第一个扇区的SID（3CH－3FH）：02000000
4、存放短扇区配置表(SSAT)的扇区总数（40H－43H）：01000000
5、存放主扇区配置表（MSAT）的第一部分：0000000064000000FFFFFFFF（后面全部是FF）
要修复的数据位置
修复后
然后保存，可以正常打开这个文档（因为这个文档设置的有密码，考虑到隐私问题，不便告诉大家。
大家在拿到这个样本文档边看这个教程边恢复的时候，如果最后恢复后打开这个文档提示输入密码时，说明你恢复成功了，对我们来说，文档的内容不是很重要）。