李喜英 李保華

摘要：Word是人們工作、學習和生活中最為常用的文字處理軟件，U盤作為移動存儲設(shè)備為數(shù)據(jù)傳輸和存儲帶來極大的方便，但多種因素會造成U盤中文件的丟失或損壞，像Word文檔等在U盤損壞后用普通軟件很難恢復成功。該文基于對U盤文件管理機制的分析和Word文檔的特征分析，給出了一種基于Winhex軟件的碎片拼接的方法修復碎片化的Word文檔。

關(guān)鍵詞：文件丟失;FAT32;文檔特征;Winhex;碎片拼接

中圖分類號：TP311? ? ? ? 文獻標識碼：A? ? ? ? 文章編號：1009-3044（2019）01-0248-02

Word作為一種應(yīng)用最為廣泛的文字處理軟件，已成為人們工作學習的一部分，但WORD文檔在存儲過程中可能出現(xiàn)丟失或損壞現(xiàn)象。

U盤小巧便攜，在工作和生活中通常作為WORD文檔資料的存儲設(shè)備，但在使用過程中因病毒的破壞，產(chǎn)品本身質(zhì)量問題或者用戶的誤刪除、誤格式化等不當操作等因素，U盤中的數(shù)據(jù)受損現(xiàn)象經(jīng)常發(fā)生。U盤中丟失的圖片、視頻等類型的文件使用Final Data、萬能數(shù)據(jù)恢復大師等軟件都能成功地進行恢復，但對于Word等Office文檔損壞后恢復起來常有失敗情況發(fā)生。本文基于U盤分區(qū)管理機制分析、Word文檔特征分析，給出一種通過碎片重組修復Word文檔的方法。

1 FAT32格式的U盤管理

目前常規(guī)使用的U盤還多采用的是FAT32格式來實現(xiàn)文件管理，而Windows操作系統(tǒng)在進行U 盤格式化時也默認為FAT32。

1.1 FAT32文件系統(tǒng)

FAT32文件系統(tǒng)采用32位的文件分配（File Allocation Table）標識磁盤空間基本分配單元即簇的文件占用情況，可以勝任容量達到幾十G磁盤的管理。FAT32格式的分區(qū)分為保留扇區(qū)、FAT區(qū)、數(shù)據(jù)區(qū)3個部分[1]，具體分布情況如圖1所示。分區(qū)管理信息占用空間也很少，有利于提高小容量存儲介質(zhì)的空間利用率。

1.2 FAT32格式的U盤管理

U盤是以閃存顆粒為存儲載體的，其壽命受擦寫次數(shù)的限制，許多存儲顆粒標稱的擦寫次為1000000次，但事實上許多U盤只能擦寫10000次左右。目前硬盤多采用的NTFS即便不進行文件數(shù)據(jù)讀寫，也需要因管理頻繁地修改日志文件而擦寫存儲器，所以盡管FAT32有文件大小不能超過4GB的限制，但為了延長U盤的使用壽命，提高U盤空間的使用效率， U盤都多是首選采用FAT32格式。

FAT32的一個嚴重的缺點就是文件反復刪除后，會形成大量的碎片，而有些用戶為了便利直接對U盤上的文件反復編輯和保存，更加劇了文件的碎片化存儲。由于普通用戶很少反復編輯圖片、影音等文件，這些文件大多都集中存儲，出現(xiàn)問題時掃描恢復的結(jié)果都能正常使用，但碎片化存儲的Word文檔恢復時連續(xù)提取的不是Word文檔自身的內(nèi)容，自然也無法正常訪問。

2 Winhex及Word文檔特征分析

2.1 功能強大的WinHex

通過Winhex能以16進制形式查看和編輯磁盤上包含DBR分區(qū)信息和文件系統(tǒng)信息的所有信息。Winhex支持對磁盤上所有文件狀態(tài)、目錄項、空間分配和數(shù)據(jù)的查看，是一個專門用來檢查和修復各種文件、恢復刪除的文件、損壞的文件的軟件。

2.2 Word文檔的特征分析

Word由軟件定制創(chuàng)建，其結(jié)構(gòu)與PNG、JPG圖片一樣，也有固定的結(jié)構(gòu)。采用Winhex軟件對Word創(chuàng)建的.docx文件結(jié)構(gòu)進行分析，可以清晰地看到文檔的文件頭和文件尾，由于分區(qū)是以簇為單位為文件分配空間，文檔尾所在扇區(qū)在文檔信息有效數(shù)據(jù)之后總會有16進制狀態(tài)下顯現(xiàn)的相當數(shù)量的連續(xù)的“00”存在，文檔頭之前的那個扇區(qū)尾部多數(shù)情況下了也會如此，所在通過Winhex下的數(shù)據(jù)分析，可以準確鎖定Word文檔的首尾。

3 碎片化的Word文檔修復

前段時間有同事拿過來一個U盤，說是不小心刪除了幾個文件，其中包含幾張圖片和兩三個Word文檔，希望能夠恢復丟失的數(shù)據(jù)。經(jīng)仔細詢問，他的很多文稿都是在U盤上編輯多次、反復保存的。

3.1 應(yīng)用常規(guī)軟件進行文檔修復

拿到U盤后，先嘗試用性能較為穩(wěn)定的Final Data軟件掃描磁盤，對識別出來誤刪除的圖片文件進行恢復，幾張丟失的圖片都成功地恢復了出來，但恢復出的word文檔對象卻無法訪問，嘗試打開時，總彈出如圖4所示的內(nèi)容無法讀取的提示。后來進行網(wǎng)絡(luò)調(diào)查，進一步用性能出眾的360 U盤數(shù)據(jù)恢復、R-Studio等的軟件針對磁盤上的Word文檔進行掃描和恢復，結(jié)果都與Final Data相同。

深入思考后，懷疑時FAT32格式的性能和反復編輯造成的文檔碎片化造成的修復失敗，通過Winhex查看修復后文件的內(nèi)容，發(fā)現(xiàn)文件沒一個具有完整的文件結(jié)構(gòu)，也就無法接受正常訪問。

3.2 應(yīng)用Winhex進行文檔修復

通過Winhex打開U盤后看到該磁盤分區(qū)的文件目錄情況顯示如圖5所示，其中名為“1.docx”且標記為“?”， 即已刪除的文件即為用戶要恢復的對象。該文件名對應(yīng)有多個目錄項是用因為用戶反復編輯、文件逐漸擴大、多次轉(zhuǎn)存造成的。

分析文檔大小和修改時間，選擇圖中加深顯示的對象為最終的文檔對象，初步恢復后果然也無法訪問。查看該目錄項后，通過查看文件的“位置/簇列表”信息得到文件目錄中所記錄的文件位置，文件首處于分區(qū)的第98簇，共占用91簇。通過Windex軟件的定位功能，查看分區(qū)的第98簇，該簇第一扇區(qū)就是Word文檔的文件頭。繼續(xù)通過定位功能去查看分區(qū)的FAT表，其中顯示該分區(qū)的第98簇到第130簇、第214簇到第247簇、第273簇到第322簇三個依次區(qū)域標記為未分配狀態(tài)，這三個碎片共計有116簇，共計約650KB的空間，與用戶所反映文件大小大致一致。進行轉(zhuǎn)到第322簇進行觀察，發(fā)現(xiàn)該簇的第3扇區(qū)中包含有完整的Word文檔尾，且在該扇區(qū)尾部有連續(xù)的16進制的“00”數(shù)據(jù)出現(xiàn)，可判斷為文件的結(jié)尾。

通過Winhe數(shù)據(jù)塊選擇和置入文件功能將提取三個碎片區(qū)的數(shù)據(jù)分別提取出來，再按文檔頭、數(shù)據(jù)塊、文檔尾的順序?qū)⑷齻€數(shù)據(jù)塊拼接成一個文件，拼接后的文件更名為.docx文檔。

嘗試用word軟件打開恢復出的文件，初次訪問時由于提取的數(shù)據(jù)塊中包含少量其他的數(shù)據(jù)碎片，會彈出如圖4所示的“Word在*中發(fā)現(xiàn)無法讀取的內(nèi)容。是否恢復此文檔的內(nèi)容？如果您信任此文檔的來源，請單擊是”的提示，在此請單擊按鈕“是”選擇信任，即可正常查看Word文稿中所有內(nèi)容。文檔正常查看后，請再次進行保存操作，經(jīng)再次保存后，修復時文件中所包含的其他文件遺留的干擾數(shù)據(jù)即可清除，最終文件大小即與原目標文件大小相當，文檔即可正常使用。

4 總結(jié)

許多成熟的軟件為U盤的數(shù)據(jù)安全和數(shù)據(jù)恢復提供了有效的保障，能夠快速恢復許多集中存儲的文件，本文也提出一種基于Winhex的數(shù)據(jù)分析和碎片拼接、實現(xiàn)Word文檔恢復的思路，但當U盤里丟失了大量的Word文檔，且隸屬于多個文件的大量碎片嚴重摻雜時，數(shù)據(jù)的恢復將很難實現(xiàn)。因而，U盤使用中選擇合適的文件系統(tǒng)、正常卸載插拔、經(jīng)常查殺病毒、經(jīng)常整理碎片，文件在計算機上編輯保存后再拷貝到U盤中，使文件盡量少的碎片化存儲，都可以有效地降低您信息丟失的風險。

參考文獻：

[1] 武春嶺.數(shù)據(jù)恢復技術(shù)[M].高等教育出版社，2016：65-70，104-106.

[2] 劉偉. 數(shù)據(jù)恢復技術(shù)深度揭秘[M].2版.電子工業(yè)出版社，2012：55-58，229-267.