Excel_2003文件碎片检验方法研究

Excel 2003文件碎片检验方法研究
外文题名 : Utilization of Excel 2003 Data Fragments to Restore the Original File
作者 : 徐国天
刊名 : 刑事技术
出版日期 : 2018
卷号 : 第43卷
期号 : 第1期
页码 : 22-25
ISSN : 1008-3650
影响因子 : 0.7677(2018)
作者简介 : 徐国天(1978—),男,辽宁沈阳人,硕士,副教授,研究方向为电子物证。E-mail:459536384@qq.com
关键词 : Excel；碎片；检验；恢复；特征值
参考文献格式 : 徐国天.Excel 2003文件碎片检验方法研究[J].刑事技术,2018,(第1期).
摘要 : 目的在实际办案工作中,我们发现存在这样一种情况,被删除的涉案Excel文件仍有大量数据残留在磁盘内,但是现有数据恢复工具却无法成功恢复。本文尝试建立一种手工提取残留Excel数据碎片的检验方法。方法首先确定原始Excel文件中的一组数据作为搜索特征值,之后使用winhex在磁盘空间内定位这组特征值,再通过人工分析方式排除误报,提取有效数据。结果使用本文提出的手工分析方法可以准确定位Excel数据碎片中的某个字段值,由于Excel的数据内容都在相邻扇区内存储,因此可以从相邻扇区提取出所有残留的字段值,再根据这些字段值之间的逻辑关系确定这是否为一个有效的Excel碎片。最后利用各个字段值的具体内容和不同字段值之间的逻辑关系来还原原始的Excel表格。结论使用本文提出的手工分析方法可以有效提取磁盘内残留的Excel数据碎片,恢复某些现有工具所不能提取的Excel数据。