实验六：数据恢复之文件修补

• Authro：ZERO-A-ONE
• Date：2021-05-11

一、实验目的

• 掌握利用winhex 编辑器工具恢复被恶意破坏的数据文件
• 合并被分割的文件以获取文件有效信息

二、实验原理

​ 正常情况下，操作系统根据文件的扩展名来识别文件类型并选择合适的应用程序打开它，然而，扩展名是可以随便被更改或者取消的，那么，我们该如何判断一个无扩展名或者带了错误扩展名文件的真正类型呢？

​ 事实上，所有文件都是以二进制形式存储的。在每一个文件（包括图片，视频或其他非ASCII文件）的开头，都有一部分区域显示这个文件的类型和数据存储的具体格式，这就是文件头标志（十六进制表示）。不同文件，具有不同的文件头标志，所以，我们可以通过文件头标志来判断文件类型，也可以利用十六进制编辑器，通过对文件头标志和文件数据部分具体内容的编辑，达到修复受损文件的目的，常见文件头及其十六进制标识见参考链接。

​ 日常生活中，我们有时需要将几G甚至几十G的大文件上传到网盘或者通过邮件发送，但很多服务器并不支持大文件上传（压缩软件压缩比也有限），此外，FAT32的操作系统也限制了文件大小不能超过4G。在这种情况下，我们可以使用文件分割工具（如split）将大文件按指定分割的子块大小和份数，分割成若干小文件，还可以在分割时进行加密，保护数据安全，分割后的文件则必须合并后才能获取有效信息。

三、实验题目

题目一

获取图片1中的FLAG

提示：文件头和文件尾

题目二

被分割的文件

提示：cat(linux)或copy(windows)

题目三

将被恶意破坏的波形文件修复

提示：原文件大小为 2140044Byte，采样频率22050HZ，每秒播放字节数44100，声道数 2，量化位数 16比特，PCM编码，sizeof(PcmWaveForma)=16字节

四、实验环境

• Windows 7系统或以上、连接Internet的主机
• 实验工具：010Edit或WinHex
• 参考链接：
  • https://blog.csdn.net/bluedoorzz/article/details/102797887
  • http://www.mamicode.com/info-detail-2558540.html
  • http://blog.csdn.net/xsjm206/article/details/6727023
  • https://www.cnblogs.com/douzujun/p/10600793.html(注意：wav文件格式实例分析部分，文件头18H的字节数为4，原文为2，修正格式图如下)
    

五、实验步骤与结果

5.1 PNG

修改文件头即可

flag{IS-2016}

5.2 被分割的文件

将文件拼接而成

key:ROIS{wHy_y0u_ar33_so_clev3r}

5.3 WAV

根据题目信息提示重新构造文件头可得

另外保存音乐