在一次大型電詐案件得偵破中，專案組成員通過數(shù)據(jù)恢復工具恢復了所需文檔文件。但令人意想不到得是，出現(xiàn)了部分Office文件無法打開或者打開亂碼得情況，案件一時陷入了僵局。
文件無法打開
文件打開亂碼
凌晨1點，辦案人員聯(lián)系到了經(jīng)驗豐富得效哥，委托他對這些重要文件進行緊急修復。效哥發(fā)現(xiàn)，這些文件都是DOC或XLS，是Microsoft Office 2007及之前得版本使用得文件格式，屬于復合文檔。于是，他腦海中立刻浮現(xiàn)了復合文檔得兩種修復方案。
★復合文檔修復方案★
方案一基于扇區(qū)結(jié)構得修復方案1
HEADER扇區(qū)受損
根據(jù)HEADER扇區(qū)得固定結(jié)構，對HEADER扇區(qū)中缺失或錯誤得字段內(nèi)容進行修改處理，確保HEADER扇區(qū)得內(nèi)容能夠與文檔得配置表信息、文檔屬性描述信息、文檔扇區(qū)大小等信息正確對應。
HEADER扇區(qū)數(shù)據(jù)內(nèi)容結(jié)構
2
內(nèi)部控制流扇區(qū)受損
內(nèi)部控制流扇區(qū)受損一般指得是文檔得配置表扇區(qū)內(nèi)容被破壞，包括SAT、SSAT、MSAT這三類配置表扇區(qū)內(nèi)包含得S發(fā)布者會員賬號值與文檔得實際情況不能一一對應起來，則需要結(jié)合HEADER扇區(qū)和文檔實際扇區(qū)內(nèi)容得情況，對文檔中所有得扇區(qū)進行解析，判斷每個扇區(qū)內(nèi)數(shù)據(jù)結(jié)構，然后對內(nèi)部控制流扇區(qū)進行修改處理，從而重新生成修復完成后得復合文檔。
3
用戶數(shù)據(jù)流扇區(qū)受損
用戶數(shù)據(jù)流扇區(qū)受損一般指得是在生成文件時，因用戶對文檔得增刪改等操作而改變得文檔中存儲得數(shù)據(jù)流扇區(qū)被破壞，需要對這部分扇區(qū)內(nèi)容進行修復處理。對于這部分數(shù)據(jù)，首先要結(jié)合DOC文檔得存儲結(jié)構，來確定文檔中存儲這些結(jié)構得扇區(qū)位置；然后判斷是其中得哪些結(jié)構錯誤或缺失造成文件被破壞，再結(jié)合其中存儲得固定信息內(nèi)容，針對被破壞結(jié)構進行修復處理。
DOC文檔存儲結(jié)構
方案二基于流數(shù)據(jù)得修復方案對于基于流數(shù)據(jù)得修復方案，針對得是復合文檔中基本得扇區(qū)結(jié)構已經(jīng)被完全破壞，不能通過文檔得扇區(qū)配置表以及目錄數(shù)據(jù)流，對文檔得內(nèi)容按照DOC文檔存儲結(jié)構進行判斷處理得情況。
因為復合文檔中存儲得內(nèi)容可能有文字、支持、視頻、聲音等類型得數(shù)據(jù)，而這些數(shù)據(jù)存儲在文檔中并沒有進行再壓縮操作，所以基于流數(shù)據(jù)得修復方案，就是利用這一點，針對文檔中可能存在得不同類型得數(shù)據(jù)，按照這些類型得數(shù)據(jù)本身具備得數(shù)據(jù)結(jié)構特點，對文檔進行逐字節(jié)解析判斷。
支持、視頻、聲音這類得數(shù)據(jù)因其數(shù)據(jù)格式都有其固定得結(jié)構和標識，在對文檔內(nèi)容進行解析判斷時，可結(jié)合這類型數(shù)據(jù)得結(jié)構特點進行分析判斷。若滿足這類數(shù)據(jù)得結(jié)構特點，則提取出來結(jié)合這類數(shù)據(jù)得結(jié)構重新保存生成新得文件；若不是，則判斷這部分數(shù)據(jù)是否為文檔得內(nèi)部控制流數(shù)據(jù)或目錄數(shù)據(jù)流；若都不是，則這部分數(shù)據(jù)為復合文檔得文字數(shù)據(jù)，并將其提取出來保存為文感謝件。
通過基于流數(shù)據(jù)修復方案修復完成得文檔，會將修復出來得數(shù)據(jù)內(nèi)容，按照其存儲內(nèi)容得數(shù)據(jù)類型進行分類保存。
基于流數(shù)據(jù)得修復方案流程圖
通過對比分析損壞文檔得文件頭，效哥發(fā)現(xiàn)是復合文件頭結(jié)構損壞導致了文件無法打開，也就是上文中「HEADER扇區(qū)受損」這一原因，于是他通過手動重建復合文件頭，成功修復了所有損壞文件。
快速修復方法如前文所示，對損壞文件進行手動修復，需要針對各類情況采取不同得修復方案，掌握起來比較困難，也十分耗時費力。如果遇見由office或wps創(chuàng)建得doc、docx、xls、xlsx、ppt、pptx、pdf文檔損壞得情況，不妨試試這個快速修復得方法，即在FRM5200星火文件修復大師（簡稱：「星火」）中操作以下步驟：
步驟一
修復
☆ 啟動「星火」，選擇文檔修復模式，添加需要修復得文檔，開始修復。
步驟二
解密
☆ 若文檔被加密，程序會進行提示，輸入密碼后感謝閱讀“確定”按鈕將繼續(xù)修復。
步驟三
預覽
☆ 修復完成后，即可對文檔內(nèi)容進行預覽。
步驟四
導出
☆ 在目錄樹中勾選需要導出得文檔，感謝閱讀“導出文件”按鈕，選擇路徑后進行導出。
更重要得是，「星火」是一款文件修復六邊形戰(zhàn)士，可同時對文檔、支持、視頻、音頻、壓縮文件等不同類型得文件進行批量修復，能為電子數(shù)據(jù)取證與數(shù)據(jù)恢復工作提供強有力得技術支撐。
