<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[bsmao的专栏]]></title><description><![CDATA[]]></description><link>https://blog.youkuaiyun.com/qlmin</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; qlmin]]></copyright><item><title><![CDATA[winhex先Add再XOR后的数据恢复]]></title><link>https://blog.youkuaiyun.com/qlmin/article/details/79365719</link><guid>https://blog.youkuaiyun.com/qlmin/article/details/79365719</guid><author>qlmin</author><pubDate>Sat, 24 Feb 2018 22:12:53 +0800</pubDate><description><![CDATA[近来经常有网友QQ问我，用winhex修改数据，先Add运算，再XOR运算，这样修改后（加密）的数据如何恢复（还原）？
 
      这个好像是中职（或高职）学生在参加全国数据恢复大赛时的题目。我试着做了一下，下面是过程：
 
      首先创建了一个名为“实验doc文档”，如下图：


 

 
      用winhex打开这个文件，选定所有字节，作如下运算：]]></description><category></category></item><item><title><![CDATA[FAT32根据文件目录项判断文件名大小写]]></title><link>https://blog.youkuaiyun.com/qlmin/article/details/63761099</link><guid>https://blog.youkuaiyun.com/qlmin/article/details/63761099</guid><author>qlmin</author><pubDate>Sun, 19 Mar 2017 22:51:27 +0800</pubDate><description><![CDATA[﻿﻿
      FAT32根据文件目录项判断文件名大小写的方法（仅限8.3命名规则）：
      
文件目录项0CH字节的值：
      1. 此值为18H时，文件名和扩展名都小写。
      2. 此值为10H时，文件名大写而扩展名小写。
      3. 此值为08H时，文件名小写而扩展名大写。
      4. 此值为00H时，文件名和扩展名都大写。
     
]]></description><category></category></item><item><title><![CDATA[7个碎片的excel重组实验]]></title><link>https://blog.youkuaiyun.com/qlmin/article/details/63680150</link><guid>https://blog.youkuaiyun.com/qlmin/article/details/63680150</guid><author>qlmin</author><pubDate>Sun, 19 Mar 2017 09:50:19 +0800</pubDate><description><![CDATA[Excel碎片重组实验

H盘是fat32系统，簇大小8
。根目录下有一个123.xls文件，winhex下查看文件共有7个碎片。现在删除这个文件，再用winhex分析查找到所有碎片，提取出来，最后在重组为一个文件，就是原来删除的123.xls
。

 



 



 



 



下面是恢复过程：打开winhex，根据目录项定位到他的文件头扇区]]></description><category></category></item><item><title><![CDATA[中维世纪监控某一特定时间段视频的恢复]]></title><link>https://blog.youkuaiyun.com/qlmin/article/details/51811193</link><guid>https://blog.youkuaiyun.com/qlmin/article/details/51811193</guid><author>qlmin</author><pubDate>Sat, 02 Jul 2016 15:23:05 +0800</pubDate><description><![CDATA[案例中硬盘被格式化，又录了一部分视频。此硬盘中有很多分区，用RS扫描后基本确定了这一时段视频所在的分区，并且把分区镜像了出来。
  
   

 
    在RS中确定文件的时间信息（本地时间需要加8小时），当然这个时间不一定准确，只作为参考。之后要在文件结构中确认准确的时间。
    在RS中确认这个文件的文件头所在扇区：202035786 。见下图：
     
 
    ]]></description><category></category></item></channel></rss>