qlmin-优快云博客

原创中维世纪监控某一特定时间段视频的恢复

案例中硬盘被格式化，又录了一部分视频。此硬盘中有很多分区，用RS扫描后基本确定了这一时段视频所在的分区，并且把分区镜像了出来。在RS中确定文件的时间信息（本地时间需要加8小时），当然这个时间不一定准确，只作为参考。之后要在文件结构中确认准确的时间。在RS中确认这个文件的文件头所在扇区：202035786 。见下图：

2016-07-02 15:23:05 3362 2

原创 winhex先Add再XOR后的数据恢复

近来经常有网友QQ问我，用winhex修改数据，先Add运算，再XOR运算，这样修改后（加密）的数据如何恢复（还原）？这个好像是中职（或高职）学生在参加全国数据恢复大赛时的题目。我试着做了一下，下面是过程：首先创建了一个名为“实验doc文档”，如下图：用winhex打开这个文件，选定所有字节，作如下运算：

2018-02-24 22:12:53 6848 7

原创 FAT32根据文件目录项判断文件名大小写

FAT32根据文件目录项判断文件名大小写的方法（仅限8.3命名规则）：文件目录项0CH字节的值： 1. 此值为18H时，文件名和扩展名都小写。 2. 此值为10H时，文件名大写而扩展名小写。 3. 此值为08H时，文件名小写而扩展名大写。 4. 此值为00H时，文件名和扩展名都大写。

2017-03-19 22:51:27 2020 1

原创 7个碎片的excel重组实验

Excel碎片重组实验H盘是fat32系统，簇大小8。根目录下有一个123.xls文件，winhex下查看文件共有7个碎片。现在删除这个文件，再用winhex分析查找到所有碎片，提取出来，最后在重组为一个文件，就是原来删除的123.xls。下面是恢复过程：打开winhex，根据目录项定位到他的文件头扇区

2017-03-19 09:50:19 1958