关于复合文档

复合文档是一种多元化文档,不仅包含传统意义上的文本,还包括图形、电子表格数据、声音、视频图像以及其他信息,它的广泛应用极大的满足了现代化办公需求,同时复合文档的数据恢复已经成为现在数据恢复领域中一项重要内容,尤其是以文件头故障最为普遍。

当然,不同版本文件结构不同,本期#技术实战#源妹从具体实际案例出发,给大家分享有关手动修复损坏复合文档的其中一种方法,希望对你有一定参考价值!

一.案件详情

在一次案件侦破中,办案人员需要恢复嫌疑人计算机中的文档文件,通过数据恢复工具恢复了所需文档文件,但是部分office文件无法打开或者打开乱码,如下图1、图2所示:

1.jpg

图1 文件无法打开

1556504897957076627.jpg

图2 文件打开乱码

二.恢复思路

我们首先来对比分析损坏文档的文件头,如图3所示,用winhex打开后将其转换成扇区进行分析,通过对比初步判断是复合文件头结构损坏导致文档无法打开。

1556504951019008511.jpg

图3 复合文件头结构对比

三.恢复方法

确认是由于文件头结构损坏导致文件无法打开,我们接下来就可以分析复合文档结构,通过手动重建复合文件头达到修复损坏复合文件的目的。

修复文件头的数据只需计算填写以下几项:
☑扇区分配表(SAT)所占的扇区数;
☑目录流的起始扇区数;
☑短流扇区分配表(SSAT)的起始扇区号及占用扇区数;
☑主扇区分配表(MSAT)的起始扇区号及占用扇区数;
☑扇区分配表的扇区号。

其他内容所有的复合文档都是一样,从正常文件拷贝过来即可。

四.具体恢复步骤

1、打开复合文档
使用winhex工具打开损坏复合文档以及正常复合文档;

1556504999988066559.jpg

图4 打开复合文档

2、将页转换成扇区
winhex打开之后将页转换成扇区进行分析;

1556505038426059179.jpg

图5 将页转换成扇区

3、复制文件头
复制正常复合文档的文件头覆盖掉损坏的文件头,然后逐一修改相应参数;

1556505074363028823.jpg

图6 复制文件头

4、定位目录流扇区起始扇区
目录流标志是“root entry”,十六进制搜索“52006F00”,偏移位置512=0,如图5所示,在41扇区找到目录流起始扇区,确定了目录流的起始扇区的参数为41-1=40,用十六进制表示就是28;

1556505118019081910.jpg

图7 定位目录流起始扇区

5、短流开始位置及大小
接着我们找短流(SSAT)。根据复合文档定义,目录流的第一表项0x74处的4个字节表示的是短流的起始扇区,如图6中十六进制2B000000值为43,就是短流的开始。

开始扇区为43-1=42,十六进制值为2A,0x78处的4个字节表示的是短流的大小,大小就是十六进制800000,等于128/64=2,只有两项就是占用一个扇区,大小就是1;

1556505155988023788.jpg

图8 短流开始位置及大小

6、确定扇区分配表(SAT)
通过十六进制搜索“01000000”,偏移位置为512=0,如图9所示,在40扇区找到标准扇区配置表,看到扇区中有一个“FDFFFFFF”,就可以确定就是SAT了。

最后一项SAT配置表中会有FDFFFFFF的值,表示这是一个SAT配置表的结束,并且有几个FDFFFFFF就代表有几个SAT配置表。本案例中只有一个FDFFFFFF那就只有一项SAT配置表;

1556505193504044389.jpg

图9 确定扇区分配表

7、确定主扇区分配表(MSAT)的起始扇区号
主扇区分配表(MSAT)中存放的是扇区分配表(SAT)所在的扇区号。

本例中,扇区分配表(SAT)只有一个,根据复合文档的格式定义,文件头中可以存放109项SAT值,也就是说,只要文件的扇区分配表不大于109个,就不需要主扇区分配表。(严格的说是不需要额外的主扇区分配表,因为文件头就可以容纳下了,主扇区分配表(MSAT)是在SAT多于109项时,剩下的值用指定的扇区来记录!)

根据定义,无额外主扇区分配表(MSAT)时,主扇区分配表的起始扇区号为-2,十六进制表示为FEFFFFFF,它占用的扇区数为0;

8、修复文件头
关键值都计算出来后总结一下算好的值,然后手动填写文件头信息,修复后文件头如图10所示,保存文件,此时文档仍然无法打开;

1556505246191032952.jpg

图10 修复文件头

9、修复文件内容
以上参数确定后,最后一步就是修复MSAT的内容了。

在0扇区定位到0X4C处,此处后的每个字节填写一项SAT扇区编号。本实验只有一个SAT,位置为39,转换成十六进制为27000000,剩下的填写成FFFFFFFF。保存文件,本次复合文档手动修复工作圆满完成。

1556505276723010527.jpg

图11 修复后的文件头

源妹小贴士

复合文档头的大小是512字节,一般在文档头的位置,该结构如图12所示:

12.jpg

图12 复合文档头结构

本文主要介绍了有关手动修复损坏文档的操作方法,希望对您有一定的参考价值。欢迎点击【阅读原文】开始你的实操练习~

如对文中的操作、描述有任何疑问,或者有相关案件需要协助,欢迎拨打热线电话028-85211099或直接在微信公众号后台给我们留言。

 

【扩展阅读】

【技术实战】短信嗅探盗刷犯罪,如何进行数据提取与固定?

【技术实战】如何快速迁移PostgreSQL数据文件?

【技术实战】如何通过日志备份恢复SQL Server数据库删除数据?

【技术视界】数据库取证中,如何快速进行数据固定?

【技术视界】AI换脸“细思极恐”,教你鉴别视频真伪

【技术视界】Android微信撤回消息如何恢复?

 

微博、微信、支付宝,这些软件已然占据了现代年轻人的主要社交阵地。除了转账记录,文字、图片、视频等电子信息也都被记录。这类电子证据能否成为打官司的“呈堂证供”?


注意!5月1日起,这类电子证据可作为打官司的“呈堂证供”

 

新 规

2019年12月26日,最高人民法院发布了新修正的《最高人民法院关于民事诉讼证据的若干规定》,该规定将自2020年5月1日起施行。其中细化了电子数据的种类,包括5大类各种形式:


(一)网页、博客、微博客等网络平台发布的信息;


(二)手机短信、电子邮件、即时通信、通讯群组等网络应用服务的通信信息;


(三)用户注册信息、身份认证信息、电子交易记录、通信记录、登录日志等信息;


(四)文档、图片、音频、视频、数字证书、计算机程序等电子文件;


(五)其他以数字化形式存储、处理、传输的能够证明案件事实的信息。

这就意味着,自5月1日起,上述电子数据均可以正式作为打官司的证据。

案 例


电子数据有多管用?通过案例来了解。


案例一:公司违法解除合同 微信记录作为证据


陈女士去年4月到郑州市二七区一家公司上班,签了一年的合约,然而同年9月26日,公司通过微信通知员工,公司资金链出现断裂,无法继续经营,宣布停止运营,工资延期发放。


注意!5月1日起,这类电子证据可作为打官司的“呈堂证供”

 

△资料图

随后,陈女士起诉到法院,要求公司发放拖欠工资及违法解除劳动合同经济补偿金。陈女士提交的证据中,除了常规的劳动人事争议仲裁委员会不予受理通知书、劳工合同等,还包括一份微信记录。


最终,郑州市二七区人民法院认为这些具备证据的真实性、合法性、关联性,予以采信。今年4月初,法院一审判决公司支付陈女士工资3000元、经济补偿金3456.04元。


案例2:微信转账记录证实债权债务关系


冯先生手头紧张,跟张先生借了3万元。2019年10月11日、12日,张先生通过微信转账,分两笔向冯先生转了这笔钱。


过了两个月,见冯先生没有及时还款,张先生请他补了一张借条,载明从张先生处借到现金转账人民币叁万元整,并约定日利率以及本息归还的时间。


到了约定时间,冯先生依然没有还钱。今年3月初,张先生将其告上法庭。除了借条,微信转账记录以及催款对话记录等也是重要证据。


注意!5月1日起,这类电子证据可作为打官司的“呈堂证供”

 

△资料图

郑州市金水区人民法院审理后认为,被告向原告借款3万元未偿还事实清楚,由《借条》及微信转账记录为证,原告与被告之间的债权债务关系成立。一审判决被告偿还原告借款本金3万元及利息。


释 疑


以前电子数据也能当证据,此次修改目的是啥?


通过上述案例可以看出,在法院以往的审判过程中,微信聊天记录、短信、电子交易记录等已经可以作为证据。此次修改的意义是啥?


专业人士介绍,此次《修改决定》对电子数据范围作出比较详细的规定,明确了当事人提供和人民法院调查收集、保全电子数据的要求和电子数据审查判断规则,完善了电子数据证据规则体系。对于扩展证据收集途径、统一法律适用标准,保障当事人诉讼权利具有积极意义。


修改后,哪类案件相对更加受益?


专业人士表示,随着信息化的推进,诉讼中的证据越来越多以电子数据的形式呈现,尤其是因个人民间借贷、网络借贷、网络购物等引发的纠纷中,电子数据的应用较为频繁。且多数情况下,当事人能够提供的证据仅限于微信聊天记录、网络转账等电子数据。


因此,电子数据如何提取以及如何作为证据使用,对当事人尤为重要。


修改后,对于普通人维权有啥好处?


专业人士介绍,细化、明确电子数据范围,能有效扩展律师协助指导当事人收集证据的途径,促进案件事实查明,维护当事人合法权益。


提 示


电子数据有用处,平时咋保存?


专业人士介绍:“即将实施的关于民事诉讼证据的若干规定明确,当事人以电子数据作为证据的,应当提供原件。电子数据的制作者制作的与原件一致的副本,或者直接来源于电子数据的打印件或其他可以显示、识别的输出介质,视为电子数据的原件。”


例如,微信记录能否作为“呈堂证供”,取决于两个前提:


第一是要能够证明微信使用人是当事人双方,因为微信并非实名制;


第二要保证微信记录的完整性,因为微信证据为生活化的片段式记录,如果不完整可能导致断章取义,法庭不会采纳。

专业人士提醒,一旦有金钱往来,第一明确对方身份;第二明确用途,备注要注明转账用途;第三保留原始记录,仅有截屏会无法证明真实性,转账记录、重要对话等不要随意删除。此外,辅助电话录音、短信催款、借条明确等证据,是相互补充印证的证据链条。”


来源:央视新闻

 

关于效率源

注意!5月1日起,这类电子证据可作为打官司的“呈堂证供”

 

注意!5月1日起,这类电子证据可作为打官司的“呈堂证供”

 

效率源成立于2001年,是一家拥有自主知识产权,掌握数据恢复核心技术,并应用到信息安全、电子数据取证、大数据、人工智能等诸多领域的国家高新技术企业。

为了第一时间响应客户需求,效率源在全国7大区设立12个分支机构,服务全国30余个省市、全球130多个国家,10000+客户。

依托效率源扎实的技术积累、完善的产品体系、深厚的行业基础,不断为纪委监委、公安、检察、军队、高校、企业、金融机构、个人客户等带去高质量、专业化、定制化的产品、服务及解决方案,形成了研发、生产、销售、服务、培训和解决方案于一体的生态发展体系。

我们这一代人的生活,变化实在是太快了。拨号上网仿佛还在昨天,今天就要迎来5G时代了。那么,5G到底是个啥?对我们又有啥好处?

什么叫5G?
5G的G是英文Generation的缩写,也就是“世代”的意思。说白了,5G就是第五代移动通讯系统。

5G全名?
它就跟大哥大变成智能手机,DOS系统变Win10,绿皮车变复兴号一样,都是一种大幅度的技术升级。

D1.jpg

技术迭代

将来5G升完级以后,不但比现在的4G厉害,很可能比现在的4G和家庭宽带加起来还要厉害很多!所以,世界各国的通信服务商都倾尽全力提前布局,希望能赶上5G这趟大幅升(zhuàn)级(qián)的快车!

D2.jpg

那么,说实在的,5G实现了以后,到底有啥好处呢?

5G的三大好处?

从咱老百姓的角度看,5G主要有三大好处:一是办事快,二是不拖延,三是挤不爆。

办事快。

根据一项互联网报告,把世界上最快的4G网速(挪威,平均63 Mb/s)和最快的宽带网速(新加坡,平均189 Mb/s)加到一块儿,也没有5G的网速高(理论网速10000 Mb/s)。

D3.jpg

有了5G以后,下载一部4K电影,可能就是上个洗手间的功夫。

D4.jpg

不拖延

在网上办事,就像在路上开车,你不可能一路都是高速。

正常的办事流程,一定是一会儿高速一会儿省道,运气不好的时候还得进市区等红灯。所以,甭管4G和宽带看起来有多快,玩游戏、看视频时,难免遇到卡顿的现象。这就是——网络延迟。

D5.jpg

5G前

有了5G以后,网络延迟基本上就治好了。因为5G的网络延迟大约是1毫秒。1毫秒什么概念?就是千分之一秒。5G完美解决了网络延迟。

D6.jpg

5G后

挤不爆

一条高速公路,车道再多、车速再快,也架不住春运的流量高峰。

同样的道理,咱们平时挤地铁、逛商场、看比赛的时候总是会发现,要么4G死活连不上,要么连上了却发不了朋友圈。这是因为你身边的手机太多太密集了,大家都在刷手机把网络挤爆了。

D7.jpg

5G前

有了5G以后,就算十万人一起在足球场看比赛,网络也不会挤爆。因为5G在每平方公里可以让100万台设备同时上网。

D8.jpg

5G后

当然,5G的办事快、不拖延和挤不爆这三大好处,并不仅是为了提升现有的上网体验。有了这三大好处,它还能实现更远大的野心!

5G的三大野心?

5G的三大野心,其实就是要搞定三个长期吹牛、始终没落地的技术:VR(虚拟现实)、自动驾驶,物联网。

VR

VR要想玩的溜,图像就得逼真,不然只能叫虚拟Windows屏保。而且,如果网络延迟太厉害,戴VR头盔的人就会头晕。

所以,要想随时随地玩VR,就得先用上5G。

D9.jpg

自动驾驶

举个例子,现在的汽车自动驾驶系统做得再厉害,它的摄像头也只能看到一小段路况。如果大卡车、弯道、坡道挡住了它的视线,汽车就可能发生危险。

要想解决这个问题,汽车的自动驾驶系统,必须保持时刻在线。而且,它收到的数据必须没有延迟。

所以,要想没驾照也能开车,就得先用上5G。

D10.jpg

物联网

所谓物联网,就是说不但你的手机、VR和汽车能上网,你家电视、空调、冰箱、浴霸、花盆、门锁都能上网,甚至连你吃的水果、蔬菜、牛肉、三文鱼在生产、加工、运输的过程中都能上网。

大家都知道,物联网的概念已经提(chuī)出(niú)很多年了,之所以没有实现,一个很重要的原因是网络容量不够。

D11.jpg

所以,要想连花盆都能上网,就得先用上5G。

D12.jpg

那么,如何才能让5G真的很厉害,而不是像那三个技术一样,长期吹牛、始终不落地呢?

如何把5G造出来?

要想把5G造出来,只用一两个小发明小创新远远不够。从技术的角度看,5G是对现有移动通信系统的全面革新。

我们用5个方面的例子说明,这5个例子是天线多、道路宽、色号全、站点密和瞄的准。

天线多

5G和其他几G一样,都是用电磁波来运送信息。但是5G信号的波长比其他信号的波长更短,属于毫米级。

D13.jpg

信号发生原理

波长短了,天线就短,天线短了,一个设备就能同时放进很多根天线。这就能保证5G设备同时发出和接收很多组信号。这叫做大规模多进多出技术(massive MIMO)。

D14.jpg

信号接收原理

道路宽

由于5G信号的频率范围是28~39 GHz,它可以给每个频道的信息分配400MHz宽的道路,比4G的道路宽20倍。这就保证每条道路上能同时容纳更多的“车流”。

D15.jpg

色号全

在每一个频道中,5G信号可以发出很多组信号,每一组信号的频率非常接近,而且不会导致接收信号的时候分不清谁是谁。这叫做正交频分复用(OFDM)。

D16.jpg

这就好比5G让不同颜色的口红传递不同类型的信息,因为接收信息的人分得清口红色号,所以5G敢于把色号配齐,不怕混淆。

D17.jpg

站点密

说白了,移动通信就是让手机一边到处走,一边和附近的基站说话。由于5G信号的波长变短,它必须把基站建得很密。这样一来,每个手机附近总会有一个基站。手机和基站离得近了,它们说话时就不用使劲喊,结果就是更加省电。

D18.jpg

瞄的准

5G允许你坐在每小时500公里的车上而不掉线。这就要求,手机和基站之间互相联系的时候,必须知道对方在哪个方向,并且得正对着那个方向说话。所以,5G会用到一种特殊的技术,叫作波束赋形。

D19.jpg

如果不用波束赋形,电磁波的波束就会很宽。这时,基站必须朝着一个范围使劲发信号。手机多了,基站发出的信号会相互干扰,传输质量肯定保证不了。

D20.jpg

当然,上面说的几个创新也只是5G的一个方面。要想赶快用上5G,我们还需要标准制定、芯片设计、硬件生产、系统集成、设备部署和服务运营等全行业的不懈努力。我们期待,作为拥有14亿人口的世界第二大经济体,我们国家能够早日普及5G,让每一个老百姓都能进一步享受到信息革命带来的巨大便利。

本文内容来源:http://www.51cto.com/

 

1543819634037037468.jpg

基础完结篇

成为一名优秀的电子数据取证人员,应该是每个电子数据取证人员的终极梦想。但是如何成为一名优秀的电子数据取证人员?却是不少从事电子数据取证工作者的困惑。

      诚然,以源妹初浅的行业认知和积累很难给大家太多可行的、有价值的分享,所以我们整理了一些行业大咖的分享和自己的心得,希望能给在电子数据取证这条路上奋力前行的朋友一些启迪和思考。

 

1543819765321020024.jpg

为什么会说到效哥的梦想呢?因为最近效哥都在废寝忘食、刻苦努力的学习电子数据取证知识。
问其缘由,说做一名优秀的电子数据取证人员,也能将犯罪分子绳之以法,也算是以另一种方式来圆了小时候的梦想。

3.jpg

效哥告诉我们说,真正接触电子数据取证学习后,才知道要成为一名优秀的电子数据取证人员并不是那么容易。

借用,重庆市公安局网安总队年轻的正高级大咖—田庆宜老师的话就是:

1543819850964059942.jpg

1543819885918068144.jpg

1、首要的是:热爱

是不是觉得说“热爱”很老套?

但是可能正是因为热爱我们才会选择进入这个行业,并为之不畏艰难,坚持下去。热爱,是有能量的,能让我们变得勇敢和坚持。

1543820001624083888.jpg

2、有规划,有重点的多学习

1543819959123068393.jpg

这可能会是贯穿每个电子数据取证工作者整个工作生涯的事情。

除了庞杂的知识体系需要学习和掌握,还得时时面临着新的技术难关、新的工作挑战。怎么学,学什么,在哪学都非常重要。

效哥说,学习也得讲究方法,像他开始那样没计划、没想法的乱学一通是不可取的。

8.jpg

1) 弄清楚需求:

首先要清楚电子数据取证到底需要具备哪些技能、需要哪些知识、这些技能和知识需要达到什么水平,然后根据实际需求有针对性的学习和进修,避免一把抓,浪费时间;

2) 分阶段学习:
不要总想着一口吃个胖子,打好基础,实实在在的积累,才更有利于高阶知识的摄取和运用;

3) 不仅限于学习技术:
取证技术并不是学习的全部,技术更好地使用有赖于各种基础知识的扎实。而且技术只是我们侦破案件的一种手段,多种思维和知识的灵活运用才能事半功倍;

4) 发挥优势,重点出击:
如果不能做一个优异全能型的选手,不如集中自身优势,重点出击,专攻某一项,或许未来会成为一位密码破解顶级专家、视频侦查顶级专家……

5)不断获取新东西:
不囿于行业,将其他行业、领域的新思路、新技术、新方法运用结合到电子数据取证中来,助力电子数据取证发展;

效哥学习渠道推荐

〓基础学科知识,比如计算机基础、法律、犯罪心理学等可以通过网易公开课、腾讯课堂等视频课堂学习,也可以购买相关的基础书籍;

〓行业知识和技能,可以通过行业线上交流群、行业微信公众号、线下培训班进修钻研、国外的一些行业技术论坛等;

〓这里也有一些效哥经常取经学习的优质微信公众号、网站等,有需求的话您也可以去看看哦:
【微信公众号】:网安杂谈、疯人杂说、电子物证、丁爸 情报分析师的工具箱、数据安全与取证、信息时代的犯罪侦查、吴胖子讲取证、电子数据取证与鉴定、电子取证、腾讯网络安全与犯罪研究基地、EMLab攻防实验室、网监研究、看雪学院、FreeBuf、刑事实务、小警之家。

【网站】:安全村、FreeBuf、forensic focus(英文网站可下载翻译插件查看)、华盟网。

这些公众号、网站上不乏行业大咖、专家、前辈们的精彩分享,是我们平时学习的宝贵渠道,在这里也把这些心爱之物分享给大家。

PS:肯定还有非常多的优秀公众号、网站、论坛,我们还没有关注到,也欢迎大家来补充哦!

3、重实践,多动手

1543820075798006421.jpg

“读万卷书,行万里路”,学习是为了更好的实践,通过实际演练才能将学习的知识融会贯通。
只有通过实践才能知道不同品牌、型号的手机最适合的数据提取方法;为什么这个厂家的监控视频总是播放不了;拿到一块不明情况的硬盘怎么避免误操作导致数据的损坏;能够从细微的细节判断出案件中涉及的数据库、服务器有什么问题、该怎么解决……通过丰富的实践积累宝贵的经验,提升技能能力。

1543820111783028468.jpg

1543820112112038799.jpg

1、电子数据取证的修炼之道——从小工到专家

2、疯人胡话:电子取证中的几个道道儿——瞎说的别信(上)

疯人胡话:电子取证中的几个道道儿——瞎说的别信(下)

效哥说,这几篇行业大咖的分享让他醍醐灌顶、受益良多,所以想在这里分享给大家。
虽然每个人对电子数据取证的理解有所不同,希望这些行业前辈的不同理解和认识可以给您一些启迪和思考的方向。

12.jpg

后记

为什么今天会给大家分享这些内容?

因为,我们经常在微信后台收到客户对技术点的咨询,前几天晚上11点多还有客户在后台留言咨询某个技术点如何操作。

所以,想要跟大家分享一些行业大咖的经验和心得,希望给正在电子数据取证学习路上的朋友一些参考。

其实每次只要我们公众号有好的技术文章分享,知识、技术、行业书籍分享活动时,大家都非常关注和活跃。大家对技术、知识的热衷和渴望,对行业钻研的意志和态度,常常让我们感动。

众所周知,现在电子数据取证工作越来越繁重,而新的取证技术、趋势要求等一再的增加电子数据取证工作的难度和挑战。

在面对越来越繁重、艰巨的电子数据取证工作时,电子数据取证人员迫切的想要丰富自己的取证知识、提升取证技能、开阔取证眼界。虽然我国电子数据取证发展迅速,但是国内电子数据取证全面兴起的时间并不长,电子数据取证专业资料、专业书籍、渠道并不是太多、对电子数据取证人员全面系统的培训相对欠缺、加之取证工作任务繁重,因此对电子数据取证的学习虽然迫切但是还是比较困难,所以我们希望能有更多的学习经验、渠道和平台跟大家分享。

如果您正好有好的学习渠道和方法
也希望您能在评论区留言
跟大家分享哦!

ps.今天这篇文章是“趣味学取证基础篇”的最后一篇分享,下一期的趣味学取证我们会开启“趣味学取证进阶篇”,希望大家继续关注我们哦!

 

【相关阅读】

【趣味学取证】你想看的电子数据取证知识都在这里

【趣味学取证】电子数据取证现场勘验知多少?