winhex怎么读（如何用winhex软件识别一个word文档）

本文目录

• 如何用winhex软件识别一个word文档
• winhex怎么跳转簇号
• winhex打开文件全是0为什么文件还有大小

如何用winhex软件识别一个word文档

通常检查文件头是通过检查前两个字节来判断的（当然这样精度不是太够），一般来说也够了，比如说判断是不是doc或者xls，只要看前两个字节是不是D0 CF就可以了，这里还有一些
注：要真正识别文件，现在通常是调用一个叫做TrIDLib.dll的文件，它大约可以识别出3000多种文件格式。
PEG (jpg)，文件头：FFD8FF
PNG (png)，文件头：89504E47
GIF (gif)，文件头：47494638
TIFF (tif)，文件头：49492A00
Windows Bitmap (bmp)，文件头：424D
CAD (dwg)，文件头：41433130
Adobe Photoshop (psd)，文件头：38425053
Rich Text Format (rtf)，文件头：7B5C727466
XML (xml)，文件头：3C3F786D6C
HTML (html)，文件头：68746D6C3E
Email (eml)，文件头：44656C69766572792D646174653A
Outlook Express (dbx)，文件头：CFAD12FEC5FD746F
Outlook (pst)，文件头：2142444E
MS Word/Excel (xls.or.doc)，文件头：D0CF11E0
MS Access (mdb)，文件头：5374616E64617264204A
WordPerfect (wpd)，文件头：FF575043
Postscript (eps.or.ps)，文件头：252150532D41646F6265
Adobe Acrobat (pdf)，文件头：255044462D312E
Quicken (qdf)，文件头：AC9EBD8F
Windows Password (pwl)，文件头：E3828596
ZIP Archive (zip)，文件头：504B0304
RAR Archive (rar)，文件头：52617221
Wave (wav)，文件头：57415645
AVI (avi)，文件头：41564920
Real Audio (ram)，文件头：2E7261FD
Real Media (rm)，文件头：2E524D46
MPEG (mpg)，文件头：000001BA
MPEG (mpg)，文件头：000001B3
Quicktime (mov)，文件头：6D6F6F76
Windows Media (asf)，文件头：3026B2758E66CF11
MIDI (mid)，文件头：4D546864

winhex怎么跳转簇号

1、MFT：磁盘上的所有数据都是以文件的形式存储，其中包括元文件。 每个文件都有一个或多个文件记录，每个文件记录占用两个扇区 $MFT元文件就是专门记录每个文件的文件记录。 其中第五个目录是根目录的文件记录。 第一个目录是MFT本身的文件记录。
2、簇号： NTFS文件系统使用逻辑簇号（LCN）和虚拟簇号（VCN）对分区进行管理。 逻辑簇号：既对分区内的第一个簇到最后一个簇进行编号，NTFS使用逻辑簇号对簇进行定位。 虚拟簇号：既将文件所占用的簇从开头到尾进行编号的，虚拟簇号不要求在物理上是连续的。
3、索引项：每个文件在目录中有其索引项。结构如图：其中文件的MFT索引号（3个字节）是我们需要的，是虚拟索引号，是相对的。
4、属性
文件记录由两部分构成，一部分是文件记录头，另一部分是属性列表
10H类型属性它包含文件的一些基本信息
20H类型属性既属性列表，当一个文件需要好几个文件记录时，才会用到20H属性。
30H类型属，该属性用于存储文件名 ，它总是常驻属性。
80H属性 80H属性是文件数据属性，该属性容纳着文件的内容
5、runlist（在80或者A0属性里面可以找到）：
当属性不能存放完数据，系统就会在NTFS数据区域开辟一个空间存放，这个区域是以簇为单位的。
Run List就是记录这个数据区域的起始簇号和大小
举个栗子 31 0C 2C 22 45 其中3表示有3个字节表示这个数据流的开始簇号即 2C 22 45 1表示有1个字节描述这个数据流的大小即0C
当有多个Run List 的时候，都需要计算，并且相加，得到多个数据流。
二、具体实现（为了计算方便（懒），举例本机E盘上的一个140M左右的文件）
（1）选取的是文件12345aa.pdf，大小约140M：
（2）首先借助winhex工具打开可以直接得到其簇号，并且知道它直接位于E盘根目录之下（作为我们定位的验证
（3）大概的流程：
（MFT的结构一般第五个目录就是根目录，并且其一个目录一般都是2个扇区即一个字节，MFT逻辑簇号不是连续的，根目录也是，需要runlist来计算出，它到底有几个数据流，数据流的起始位置和大小分别是多少！）
算出MFT中第五个目录即根目录的扇区位置，转到该扇区得到根目录的runlist
计算出根目录所在的扇区，打开根目录，即可以找到我们的文件pdf
根据它在根目录中的数据找到它在MTF中的索引号，得到MTF中的记录
在MTF中找到它真正的数据流，即可以看到真正的文件内容。（因为大于100M，肯定是非常驻）
（4）用winhex打开我们的磁盘E盘（每个偏移的具体含义参见更加详细的博客）
分析boot文件可以在0DH中得到一个簇有8个扇区的大小。
030-037H是MFT的开始簇号0x00 00 00 00 00 0C 00 00
040-043H是每个MFT记录的大小为0x00 00 00 F6个簇
1C-1FH是隐藏扇区（MBR到DBR） 0x 00 00 10 00簇
（5）计算MFT本身的数据流情况
跳转到MFT的第一个扇区即6291456扇区，在80h属性处得到rundate
33 80 D1 00 00 00 0C 起始簇号786432 大小为53632簇 包括214528个目录项
33 0B C8 00 F5 7E 6F 起始簇号786432+（6F 7E F5）即7306997=8093429 大小为51211簇 包括204844个目录项
33 35 92 00 15 62 38 起始簇号 8093429+（38 62 15）即3695125=11788554 大小为 37429簇 包括149716个目录项
（一个簇8个扇区，2个扇区一个目录项，即一个簇4个目录项）
（6）可以计算得到MFT第五个记录（根目录）所在扇区为6291456+1*5*2=6291466 跳到这个扇区 找到其中的索引属性A0x，得到两个run data 41 05 62 C1 81 01 和 41 01
计算的第一个起始簇号为25280866，第二个起始簇号为1
（7）转到扇区25280866*8扇区得到根目录的扇区：利用winhex验证正确
（8）在根目录下找到我们的文件12345aa.pdf 如下（查找文件名）
（9计算出文件的MFT索引号为085EC4，为548548项。
（10）下面有两种方式找到MFT中的目录项：
（1）使用虚拟簇号，打开MFT，计算偏移为217B1000，跳转得到12345aa.pdf的目录

（2）使用逻辑簇号，根据上面分析的，可知MFT分为了3块，
因为548548》214528+204844 个目录项 ，所以我们的文件在第三块MFT表中
其簇号=（548548-214528-204844）/4+11788554（第三块MFT起始簇号）=11820848号
跳转到其簇号得到文件的目录项
（11）读其80H属性得到其run date为43 20 87 00 3C 7A C0 00 数据流起始位置为12614204簇，与我们直接用工具在右侧看到的簇号相同，转到该簇得到文件内容
（12）定位成功，有子文件夹的参考上门步骤重复计算到最后一个子文件夹就可以。

winhex打开文件全是0为什么文件还有大小

winhex打开文件全是0文件还有大小的原因有：文件被加密或压缩、文件格式不正确、数据损坏。
1、文件被加密或压缩：有些文件可能被加密或压缩，导致在WinHex中看到的文件内容是不可读的。如果确定该文件被加密或压缩，请使用相应的工具进行解密或解压缩。
2、文件格式不正确：WinHex可以打开各种文件格式，但并不是所有文件格式都能被正确识别。如果打开的是WinHex无法识别的文件格式，可能会出现全是0的情况。
3、数据损坏：文件在传输或存储过程中可能会发生数据损坏，导致文件内容被破坏。如果确定文件没有被加密或压缩，并且文件格式正确，但是文件内容全是0，那么很可能文件已经损坏。