e2e7
BANNED | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Цитата:| Ищите текстовым поиском на разделе в hex редакторе. |
Да, так тоже можно. WinHex - View - Text Display Only, Character Set - UCS-2LE (aka UTF-16LE) или (в последних версиях WinHex) Character set No. 1 - UTF-16LE, Character set No. 2 - ANSI (сразу двойная раскладка, чтобы не переключать с одной на другую), Tools - OpenDisk - Simultaneous Search (Alt+F10), галочки на ANSI, оба Unicode, List search hits, Match case снимаем. И ищем по словам, которые были в документе, учитывая, что название документа и автор хранятся в ANSI, а текст в UTF-16LE, хотя наверное это еще зависит от версии Офиса, в совсем старых, например, по-моему все в ANSI хранилось, а во временных, вот один открыл, который рядом с документом создался, у меня вообще ничего нет - 162 байт для 73 КБ документа, а которые в Temp для просмотра недоступны, но тоже всего по 512 байт, так что во временных файлах может ничего и не быть. Или по сигнатуре (заголовку файла) в hex, взяв для образца какой-нибудь уцелевший документ. Потом визуально определить начало и конец файла и Edit - Copy Block - Into New File. Но WinHex глючный, если будет валиться, надо пробовать разные версии (например, у меня 16 валится, 19 нормально, а при поиске по RAM наоборот, причем начиная где-то с 17-ой они уже не валятся, а выдают какую-то ошибку). Хотя по RAM (да и в целом) у меня и 16 нестабильна, не знаю от чего зависит, на другом компе такого не было, надо ловить момент.
Да, и такой способ почти с гарантией покажет, есть ли файл на диске или он уже затерся чем-то новым. |
Всего записей: 97 | Зарегистр. 06-09-2016 | Отправлено: 02:23 24-04-2018 | Исправлено: e2e7, 03:15 24-04-2018 |
|
И до такого уже "додумались"? Да здравствует дивный новый мир 
