李喜英 李保華

摘要：Word是人們工作、學(xué)習(xí)和生活中最為常用的文字處理軟件，U盤作為移動存儲設(shè)備為數(shù)據(jù)傳輸和存儲帶來極大的方便，但多種因素會造成U盤中文件的丟失或損壞，像Word文檔等在U盤損壞后用普通軟件很難恢復(fù)成功。該文基于對U盤文件管理機(jī)制的分析和Word文檔的特征分析，給出了一種基于Winhex軟件的碎片拼接的方法修復(fù)碎片化的Word文檔。

關(guān)鍵詞：文件丟失;FAT32;文檔特征;Winhex;碎片拼接

中圖分類號：TP311? ? ? ? 文獻(xiàn)標(biāo)識碼：A? ? ? ? 文章編號：1009-3044（2019）01-0248-02

Word作為一種應(yīng)用最為廣泛的文字處理軟件，已成為人們工作學(xué)習(xí)的一部分，但WORD文檔在存儲過程中可能出現(xiàn)丟失或損壞現(xiàn)象。

U盤小巧便攜，在工作和生活中通常作為WORD文檔資料的存儲設(shè)備，但在使用過程中因病毒的破壞，產(chǎn)品本身質(zhì)量問題或者用戶的誤刪除、誤格式化等不當(dāng)操作等因素，U盤中的數(shù)據(jù)受損現(xiàn)象經(jīng)常發(fā)生。U盤中丟失的圖片、視頻等類型的文件使用Final Data、萬能數(shù)據(jù)恢復(fù)大師等軟件都能成功地進(jìn)行恢復(fù)，但對于Word等Office文檔損壞后恢復(fù)起來常有失敗情況發(fā)生。本文基于U盤分區(qū)管理機(jī)制分析、Word文檔特征分析，給出一種通過碎片重組修復(fù)Word文檔的方法。

1 FAT32格式的U盤管理

目前常規(guī)使用的U盤還多采用的是FAT32格式來實(shí)現(xiàn)文件管理，而Windows操作系統(tǒng)在進(jìn)行U 盤格式化時也默認(rèn)為FAT32。

1.1 FAT32文件系統(tǒng)

FAT32文件系統(tǒng)采用32位的文件分配（File Allocation Table）標(biāo)識磁盤空間基本分配單元即簇的文件占用情況，可以勝任容量達(dá)到幾十G磁盤的管理。FAT32格式的分區(qū)分為保留扇區(qū)、FAT區(qū)、數(shù)據(jù)區(qū)3個部分[1]，具體分布情況如圖1所示。分區(qū)管理信息占用空間也很少，有利于提高小容量存儲介質(zhì)的空間利用率。

1.2 FAT32格式的U盤管理

U盤是以閃存顆粒為存儲載體的，其壽命受擦寫次數(shù)的限制，許多存儲顆粒標(biāo)稱的擦寫次為1000000次，但事實(shí)上許多U盤只能擦寫10000次左右。目前硬盤多采用的NTFS即便不進(jìn)行文件數(shù)據(jù)讀寫，也需要因管理頻繁地修改日志文件而擦寫存儲器，所以盡管FAT32有文件大小不能超過4GB的限制，但為了延長U盤的使用壽命，提高U盤空間的使用效率， U盤都多是首選采用FAT32格式。

FAT32的一個嚴(yán)重的缺點(diǎn)就是文件反復(fù)刪除后，會形成大量的碎片，而有些用戶為了便利直接對U盤上的文件反復(fù)編輯和保存，更加劇了文件的碎片化存儲。由于普通用戶很少反復(fù)編輯圖片、影音等文件，這些文件大多都集中存儲，出現(xiàn)問題時掃描恢復(fù)的結(jié)果都能正常使用，但碎片化存儲的Word文檔恢復(fù)時連續(xù)提取的不是Word文檔自身的內(nèi)容，自然也無法正常訪問。

2 Winhex及Word文檔特征分析

2.1 功能強(qiáng)大的WinHex

通過Winhex能以16進(jìn)制形式查看和編輯磁盤上包含DBR分區(qū)信息和文件系統(tǒng)信息的所有信息。Winhex支持對磁盤上所有文件狀態(tài)、目錄項(xiàng)、空間分配和數(shù)據(jù)的查看，是一個專門用來檢查和修復(fù)各種文件、恢復(fù)刪除的文件、損壞的文件的軟件。

2.2 Word文檔的特征分析

Word由軟件定制創(chuàng)建，其結(jié)構(gòu)與PNG、JPG圖片一樣，也有固定的結(jié)構(gòu)。采用Winhex軟件對Word創(chuàng)建的.docx文件結(jié)構(gòu)進(jìn)行分析，可以清晰地看到文檔的文件頭和文件尾，由于分區(qū)是以簇為單位為文件分配空間，文檔尾所在扇區(qū)在文檔信息有效數(shù)據(jù)之后總會有16進(jìn)制狀態(tài)下顯現(xiàn)的相當(dāng)數(shù)量的連續(xù)的“00”存在，文檔頭之前的那個扇區(qū)尾部多數(shù)情況下了也會如此，所在通過Winhex下的數(shù)據(jù)分析，可以準(zhǔn)確鎖定Word文檔的首尾。

3 碎片化的Word文檔修復(fù)

前段時間有同事拿過來一個U盤，說是不小心刪除了幾個文件，其中包含幾張圖片和兩三個Word文檔，希望能夠恢復(fù)丟失的數(shù)據(jù)。經(jīng)仔細(xì)詢問，他的很多文稿都是在U盤上編輯多次、反復(fù)保存的。

3.1 應(yīng)用常規(guī)軟件進(jìn)行文檔修復(fù)

拿到U盤后，先嘗試用性能較為穩(wěn)定的Final Data軟件掃描磁盤，對識別出來誤刪除的圖片文件進(jìn)行恢復(fù)，幾張丟失的圖片都成功地恢復(fù)了出來，但恢復(fù)出的word文檔對象卻無法訪問，嘗試打開時，總彈出如圖4所示的內(nèi)容無法讀取的提示。后來進(jìn)行網(wǎng)絡(luò)調(diào)查，進(jìn)一步用性能出眾的360 U盤數(shù)據(jù)恢復(fù)、R-Studio等的軟件針對磁盤上的Word文檔進(jìn)行掃描和恢復(fù)，結(jié)果都與Final Data相同。

深入思考后，懷疑時FAT32格式的性能和反復(fù)編輯造成的文檔碎片化造成的修復(fù)失敗，通過Winhex查看修復(fù)后文件的內(nèi)容，發(fā)現(xiàn)文件沒一個具有完整的文件結(jié)構(gòu)，也就無法接受正常訪問。

3.2 應(yīng)用Winhex進(jìn)行文檔修復(fù)

通過Winhex打開U盤后看到該磁盤分區(qū)的文件目錄情況顯示如圖5所示，其中名為“1.docx”且標(biāo)記為“?”， 即已刪除的文件即為用戶要恢復(fù)的對象。該文件名對應(yīng)有多個目錄項(xiàng)是用因?yàn)橛脩舴磸?fù)編輯、文件逐漸擴(kuò)大、多次轉(zhuǎn)存造成的。

分析文檔大小和修改時間，選擇圖中加深顯示的對象為最終的文檔對象，初步恢復(fù)后果然也無法訪問。查看該目錄項(xiàng)后，通過查看文件的“位置/簇列表”信息得到文件目錄中所記錄的文件位置，文件首處于分區(qū)的第98簇，共占用91簇。通過Windex軟件的定位功能，查看分區(qū)的第98簇，該簇第一扇區(qū)就是Word文檔的文件頭。繼續(xù)通過定位功能去查看分區(qū)的FAT表，其中顯示該分區(qū)的第98簇到第130簇、第214簇到第247簇、第273簇到第322簇三個依次區(qū)域標(biāo)記為未分配狀態(tài)，這三個碎片共計有116簇，共計約650KB的空間，與用戶所反映文件大小大致一致。進(jìn)行轉(zhuǎn)到第322簇進(jìn)行觀察，發(fā)現(xiàn)該簇的第3扇區(qū)中包含有完整的Word文檔尾，且在該扇區(qū)尾部有連續(xù)的16進(jìn)制的“00”數(shù)據(jù)出現(xiàn)，可判斷為文件的結(jié)尾。

通過Winhe數(shù)據(jù)塊選擇和置入文件功能將提取三個碎片區(qū)的數(shù)據(jù)分別提取出來，再按文檔頭、數(shù)據(jù)塊、文檔尾的順序?qū)⑷齻€數(shù)據(jù)塊拼接成一個文件，拼接后的文件更名為.docx文檔。

嘗試用word軟件打開恢復(fù)出的文件，初次訪問時由于提取的數(shù)據(jù)塊中包含少量其他的數(shù)據(jù)碎片，會彈出如圖4所示的“Word在*中發(fā)現(xiàn)無法讀取的內(nèi)容。是否恢復(fù)此文檔的內(nèi)容？如果您信任此文檔的來源，請單擊是”的提示，在此請單擊按鈕“是”選擇信任，即可正常查看Word文稿中所有內(nèi)容。文檔正常查看后，請再次進(jìn)行保存操作，經(jīng)再次保存后，修復(fù)時文件中所包含的其他文件遺留的干擾數(shù)據(jù)即可清除，最終文件大小即與原目標(biāo)文件大小相當(dāng)，文檔即可正常使用。

4 總結(jié)

許多成熟的軟件為U盤的數(shù)據(jù)安全和數(shù)據(jù)恢復(fù)提供了有效的保障，能夠快速恢復(fù)許多集中存儲的文件，本文也提出一種基于Winhex的數(shù)據(jù)分析和碎片拼接、實(shí)現(xiàn)Word文檔恢復(fù)的思路，但當(dāng)U盤里丟失了大量的Word文檔，且隸屬于多個文件的大量碎片嚴(yán)重?fù)诫s時，數(shù)據(jù)的恢復(fù)將很難實(shí)現(xiàn)。因而，U盤使用中選擇合適的文件系統(tǒng)、正常卸載插拔、經(jīng)常查殺病毒、經(jīng)常整理碎片，文件在計算機(jī)上編輯保存后再拷貝到U盤中，使文件盡量少的碎片化存儲，都可以有效地降低您信息丟失的風(fēng)險。

參考文獻(xiàn)：

[1] 武春嶺.數(shù)據(jù)恢復(fù)技術(shù)[M].高等教育出版社，2016：65-70，104-106.

[2] 劉偉. 數(shù)據(jù)恢復(fù)技術(shù)深度揭秘[M].2版.電子工業(yè)出版社，2012：55-58，229-267.